LUKS – „Wiederherstellungsschlüssel“ erstellen

Lösungen zur Vollverschlüsselung von Betriebssystemen wie FileVault oder BitLocker bieten in der Regel die Möglichkeit einen so genannten Wiederherstellungsschlüssel während des Verschlüsselungsprozesses zu erzeugen. Denn auch wenn man es in dem Moment für unmöglich hält, Passwörter geraten immer mal wieder in Vergessenheit. LUKS bietet das standardmäßig nicht.

Das Thema wird nur sehr selten behandelt und kürzlich von Viktor aufgegriffen. Wenn man sein System in einen verschlüsselten LVM-Container gesteckt hat und das Passwort vergisst ist man aufgeschmissen. Daher sollte man prophylaktisch von der Möglichkeit Gebrauch machen mehrere Keys anzulegen (bis zu 8 Keys kann man für das gleiche LUKS-Volume anlegen).

Um also einen s. g. Wiederherstellungsschlüssel anzulegen gibt man in der Konsole des laufenden und entsperren Systems ein:

# cryptsetup luksAddKey /dev/sdaX

Das X ersetzt man durch die Nummer des verschlüsselten Laufwerks. Es erfolgt eine Abfrage des bei der Ersteinrichtung festgelegten Passworts, das man zu diesem Zeitpunkt hoffentlich noch kennt.

Anschließend gibt man einen sehr langen neuen Schlüssel ein. LUKS erlaubt maximal 39 Zeichen. Diesen bewahrt man anschließend an einem sichereren Ort auf.

Nebenbei zeigt Viktor auch sehr schön wie man ohne Kenntnis des Kennworts bei einem laufenden System sich einen neuen Schlüssel anlegen kann. Eine kleine Erinnerung daran, dass Verschlüsselung nur sinnvoll ist, wenn man keinen unbeaufsichtigten Zugriff auf das eigene System zulässt.

Mehr aus dem Blog

Firmware Updates (BIOS) mit fwupd

Mein privates Hauptgerät ist schon länger ein HP EliteBook G7. Firmware-Updates für einzelne Hardwarekomponenten gab es schon länger via fwupd, aber nun geht darüber...

Boxcryptor von Dropbox übernommen

Ein bisschen untergegangen ist bei mir und vielen anderen vermutlich die Meldung, dass Dropbox von der Secomba GmbH deren Produkt Boxcryptor erworben hat. Das...

Firmen benötigen kein „zweites Leben“ mit Linux

Heise bringt mal wieder eine Serie zum Umstieg auf Linux. Dieses mal für Unternehmen im Angesicht der Windows 11-Migration. Das geht völlig am Thema...

Warum man „Face unlock“ mit einem Google Pixel 7 nicht nutzen sollte

Biometrische Entschlüsselung ist ein Thema für sich. Selbst wenn man dem nicht gänzlich ablehnend gegenüber steht, sollte man nicht leichtfertig jede Lösung nutzen. Gesichtserkennung...