Ich denke darüber nach, eine LUKS-Verschlüsselung zu erstellen, indem ich zum Entsperren meiner Festplatte anstelle einer Passphrase einen USB-Stick verwende.
Einige Leute haben mir jedoch gesagt, dass die Verwendung eines USB-Sticks zur Authentifizierung weniger sicher ist als eine Passphrase. Meine Frage ist: Warum ist das weniger sicher? Und ich denke an ein Szenario, in dem ich den besagten USB-Stick nur auf meinen eigenen Geräten verwende und in diesem Szenario mein USB-Stick nie gestohlen wird.
Ich weiß, ich könnte noch weiter gehen und eine Zwei-Faktor-Authentifizierung einrichten, aber das ist nicht das, wonach ich frage.
Antwort1
Das hängt von Ihrem Standpunkt ab. Es ist sicherer, da Schlüsseldateien normalerweise wirklich zufällig sind, während Passphrasen eher kurz und schwach sind.
Andererseits kostet es etwa 5 US-Dollar, eine Passphrase zu knacken, entweder mit einem Keylogger-Dongle oder einem modifizierten Bootloader/Initramfs oder dem berüchtigtenXKCD-EntschlüsselungsschlüsselDasselbe gilt für Schlüsseldateien, wenn sich nur diese Datei auf dem USB-Stick befindet, während der Bootloader/Initramfs ungeschützt auf der Festplatte liegt.
Der USB-Stick hingegen gewährt jedem Zugriff – sofern man ihn eingesteckt lässt, statt ihn ständig bei sich zu tragen. Einen unbeaufsichtigten USB-Stick kann jeder schnell und einfach kopieren...
Ich mache beides ... einen USB-Stick, der Bootloader, Kernel, Initramfs mit LUKS-verschlüsselten Schlüsseldateien enthält, für deren Zugriff eine Passphrase erforderlich ist. Sie benötigen also sowohl Schlüssel als auch Passphrase zum Entsperren. Ich bin mir nicht sicher, ob man das eine Zwei-Faktor-Authentifizierung nennen kann – es ist ungefähr das Limit dessen, was ich tun wollte, solange es praktisch war. (Ein bootfähiger USB-Stick ist auch nützlich, um ein Dutzend Live-CDs mit sich herumzutragen).
Wie sieht überhaupt Ihr Bedrohungsmodell aus, haben Sie überhaupt darüber nachgedacht?
Wenn Sie mich in Ihr Haus einziehen lassen, möchten Sie, dass ich ohne oder mit geringem Aufwand auf Ihre Daten zugreifen kann?
Wenn Sie morgen sterben würden, möchten Sie, dass Ihre Verwandten Ihre Daten entschlüsseln können?
Mit einem USB-Stick, der keine Passphrase benötigt, wäre dies möglich – und wünschenswert für die Familienfotos, von denen nur Sie eine Kopie haben …
Ich habe einen Server, der sich beim Hochfahren selbst entschlüsselt [mithilfe von Hardware-Fingerabdrücken wie CPU, RAM, MAC-Adresse usw.], ohne dass überhaupt eine Interaktion erforderlich ist. Das Bedrohungsmodell besteht hier darin, dass jemand das Laufwerk entfernen und in die Box eines anderen Kunden legen könnte oder ähnliches.