Algorithmen¶

TrueCrypt bietet AES, Twofish und Serpent als Verschlüsselungsalgorithmen an. Nebst der Wahl eines einzelnen Algorithmus gibt es die Möglichkeit, die Algorithmen zu kombinieren.

Container¶

TrueCrypt kennt zwei Arten, wie es mit verschlüsselten Daten umgehen kann:

Volumetypen¶

Konfiguration¶

Das System kann noch konfiguriert werden, um alle Möglichkeiten von TrueCrypt verwenden zu können. Dabei geht es insbesondere um das Einhängen von den verschlüsselten Geräten in das Dateisystem, was normalerweise nur ein Administrator-Konto darf bzw. Root-Rechte erfordert. TrueCrypt fragt hier dann automatisch nach dem Passwort des Administrators.

Wenn ein Nutzer TrueCrypt nutzen will, aber keine Root-Rechte besitzt, kann eine Gruppe truecrypt angelegt werden. Ihr fügt man sämtliche Benutzer hinzu, die TrueCrypt benutzen dürfen. Wie das geht, ist im Artikel Benutzer und Gruppen erklärt. Man sollte sich bewusst machen, dass mit diesen Rechten TrueCrypt auch missbraucht werden kann, um Daten zu vernichten, die so privilegierten Nutzer sollten also vertrauenswürdig sein.

Nun muss die /etc/sudoers-Datei bearbeitet werden ^[4]. Hinweise dazu findet man im Artikel sudo/Konfiguration. Darin wird folgende Zeile angefügt:

%truecrypt ALL=(root) NOPASSWD: /usr/bin/truecrypt

Diese Zeile bestimmt, dass die Gruppe truecrypt das Programm TrueCrypt mit Root-Rechten ohne jegliche Passwortabfrage benutzen darf.

Container erstellen und verschlüsseln¶

Hier wird ein Dateisystem in einem Ordner erstellt und verschlüsselt, was die Benutzung einer eigenen Partition unnötig macht. "Create Volume" öffnet den Assistenten. Ausgewählt wird "Create a file container". Beim nächsten Schritt muss zwischen einem normalen Laufwerk und einem versteckten Laufwerk gewählt werden.

Partition verschlüsseln¶

Zuerst muss man natürlich eine Partition erstellen, die verschlüsselt werden soll. Instruktionen dazu findet man im Artikel Partitionierung. Wie bei einem Container klickt man auf den Button "Create Volume" und startet damit den Assistenten.

Nun wählt man "Create a volume within a partition/device" und klickt auf "Next". Nun muss man sich zwischen einem versteckten Volume oder einem normalen Volume entscheiden. Hat man sich entschieden, klickt man wieder auf "Next".

Nun muss man den Namen der Partition angeben, beispielsweise /dev/sdb2. Die korrekte Bezeichnung erfährt man im Partionierungsprogramm. Hat man den Namen ausgewählt, klickt man abermals auf "Next" und wählt im nächsten Fenster den Verschlüsselungs- und Prüfsummenalgorithmus, zum Beispiel die doppelte Verschlüsselung mit "AES-Twofish" und dem Prüfsummenalgorithmus "SHA-512". Hat man sich entschieden, klickt man wieder auf "Next" und wählt nun das Passwort. Die empfohlene Länge liegt bei 20 Zeichen. Abermals klickt man auf "Next" und falls man das Standard Volume gewählt hat, kann man nun noch entscheiden, ob die schnelle oder die normale Formatierung benutzt werden soll.

Partitionen beim Systemstart einbinden lassen¶

Um die TrueCrypt Partitionen gleich nach dem Systemstart einbinden zu lassen und die Passwort-Eingabe auf ein Minimum zu beschränken kann man folgendes tun

Dem eigenen User vollen Zugriff auf TrueCrypt geben: In einer shell

sudo visudo 

ausführen, und dort am Ende folgenden Eintrag hinterlassen ("BENUTZERNAME" anpassen):

BENUTZERNAME ALL=(ALL) NOPASSWD: /usr/bin/truecrypt

Damit beim Systemstart schon die Eingabe für das/die TrueCrypt-Volume(s) auftauchen, können in TrueCrypt die gewünschten Volumes als Favoriten markiert werden. Dann erstellt man ein Skript ^[5] (z.B. ~/bin/mount_truecrypt-favorits.sh) mit folgendem Inhalt:

1
2
3

#!/bin/bash
# automount of the favorite truecrypt-volumes
truecrypt --auto-mount=favorites --load-preferences;

Dieses ausführbar ^[6] machen:

chmod +x ~/bin/mount_truecrypt-favorits.sh 

Letztendlich muss dieses Skript noch zum Autostart hinzugefügt werden^[7].

Das Skript kann nur zuverlässig funktionieren, wenn die Geräte immer am selben Punkt unter /dev erscheinen. Dazu ist es erforderlich, die udev-Regeln zu erweitern: udev

Nachdem die Regeln erstellt und die Geräte neu verbunden worden sind, dann erscheinen diese unter /dev.

Ein weiteres Problem besteht jetzt noch darin, dass Truecrypt diese Geräte in seiner Auswahlliste nicht anbietet. Dazu muss man die Geräte einmal von Hand einbinden und danach in Truecrypt als Favorit hinzufügen:

Vorher ist darauf zu achten, dass das im folgenden Beispiel verwendete Ziel (/media/USB-Stick) existiert. Ansonsten ist es mit Root-Rechten

sudo mkdir /media/USB-Stick 

anzulegen und mit

sudo chmod go+w /media/USB-Stick/ 

zugreifbar ^[5] zu machen. Danach könnte das Laufwerk mit

truecrypt /dev/USB-Stick /media/USB-Stick 

eingehängt und zu den Truecrypt-Favoriten hinzugefügt werden. Momentan bindet Truecrypt beim ersten Start Laufwerke nicht automatisch ein, wenn symbolische Links verwendet werden. Bindet man das Laufwerk erst mit dem originalen Namen (z.B. /dev/sdc1) ein und löst diese Bindung wieder, kann man danach auch den symbolischen Link verwenden.

Laufwerke beim Anstecken per mounttruecrypt anmelden¶

Um per TrueCrypt verschlüsselte Laufwerke automatisch beim Anstecken anzumelden, kann das Programm mounttruecrypt verwendet werden. Das Programm kann im Launchpad als DEB heruntergeladen werden: DEB für mounttruecrypt

Die udev-Regel könnte folgendermaßen aussehen (/etc/udev/user.rules):

sudo touch /etc/udev/user.rules
sudo ln -sv  /etc/udev/user.rules /etc/udev/rules.d/80-user.rules 

/etc/udev/user.rules

1

BUS=="usb", KERNEL=="sd?1", ATTRS{serial}=="5A08092298331", SYMLINK+="Backup", RUN+="/usr/bin/mounttruecrypt -u [Benutzer] /dev/[Inhalt von SYMLINK]"

Der Wert für SYMLINK+ kann frei gewählt werden. Der Wert für ATTRS{serial} kann mit unten stehendem Befehl ermittelt werden. Dabei muss /dev/sdc an die eigenen Gegebenheiten angepasst werden.

udevadm info -a -p `udevadm info -q path -n /dev/sdc` | grep ATTRS{serial} 

1

BUS=="usb", KERNEL=="sd?1", ATTRS{serial}=="5A08092298331", SYMLINK+="tc-320", RUN+="/usr/bin/mounttruecrypt -u heinz /dev/tc-320"

UTF8-Codierung verwenden¶

Wenn man einen Container oder Partitionen einbindet, die gelegentlich auch unter Windows verwendet werden, dann kann es vorkommen, dass Umlaute und Sonderzeichen falsch dargestellt werden. Abhilfe schafft hier, den Container oder Partition mit UTF8-Codierung einzubinden. Je nachdem, ob man TrueCrypt über die grafische Oberfläche oder über das Terminal benutzt, muss man hier unterschiedlich vorgehen.

In der grafischen Oberfläche fügt man unter "Settings -> Preferences -> Mount Options -> Filesystem -> Mount Options" das Wort utf8 ein.

Bei der Benutzung im Terminal verwendet man die Option --fs-options="utf8". Beispielsweise so

truecrypt --fs-options="utf8" /Pfad/zum/Container /Pfad/zum/Einhängepunkt