Scroll to navigation

CRYPTTAB(5) Cryptsetup-Handbuch CRYPTTAB(5)

BEZEICHNUNG

crypttab - statische Informationen über verschlüsselte Dateisysteme

BESCHREIBUNG

Die Datei /etc/crypttab enthält beschreibende Informationen über verschlüsselte Dateisysteme. crypttab wird von Programmen nur gelesen (z.B. cryptdisks_start und cryptdisks_stop) und nicht geschrieben; es ist die Aufgabe des Systemadministrators, diese Datei korrekt zu erstellen und zu warten. Jedes Dateisystem wird auf einer getrennten Zeile beschrieben; Felder auf jeder Zeile werden durch Tabulatoren oder Leerzeichen getrennt. Zeilen, die mit »#« beginnen, sind Kommentare, leere Zeilen werden ignoriert. Die Reihenfolge der Einträge in crypttab ist wichtig, da die Init-Skripte der Reihe nach durch crypttab zur Erledigung ihrer Aufgaben gehen.

Das erste Feld, Ziel, beschreibt den gemappten Gerätenamen. Es muss ein einfacher Dateiname ohne Verzeichniskomponente sein. Ein gemapptes Gerät, das Daten aus dem oder in das Quellgerät ver- bzw. entschlüsselt, wird durch cryptsetup unter /dev/mapper/target erstellt.

Das zweite Feld, Quellgerät, beschreibt entweder eine blockorientierte Spezialdatei oder eine Datei, die die verschlüsselten Daten enthält. Anstatt das Quellgerät explizit anzugeben, wird auch die UUID (bzw. LABEL, PARTUUID und PARTLABEL) mittels »UUID=<uuid>« (bzw. »LABEL=<Bezeichnung>«, »PARTUUID=<partuuid>« und »PARTLABEL=<Teilbezeichnung>«) unterstützt.

Das dritte Feld, Schlüsseldatei, beschreibt die Datei, die als Schlüssel für die Entschlüsselung der Daten auf dem Quellgerät verwandt werden soll. Im Falle eines Schlüsselskripts wird der Wert dieses Feldes als Argument an das Schlüsselskript übergeben. Werte mit Leerzeichen und besonderen Zeichen müssen als oktale Sequenz maskiert werden, wie bei fstab(5). Beachten Sie, dass die gesamte Schlüsseldatei als die Passphrase verwandt werden wird; der Passphrase darf kein Zeilenumbruch folgen.

Sie kann auch ein Gerätename sein (z.B. /dev/urandom). Beachten Sie allerdings, dass LUKS einen dauerhaften Schlüssel benötigt und daher Schlüssel aus zufälligen Daten nicht unterstützt.

Falls als Schlüsseldatei die Zeichenkette none übergeben wird, dann wird eine Passphrase interaktiv von der Konsole eingelesen. In diesem Fall könnten die Optionen check, checkargs und tries nützlich sein.

Das vierte Feld, Optionen, ist eine optionale, durch Kommata getrennte Liste von Optionen und/oder Schalter, die den Gerätetyp ((luks, tcrypt, bitlk oder die Vorgabe plain) beschreiben und die Cryptsetup-Optionen, die dem Verschlüsselungsprozess zugeordnet sind. Die unterstützten Optionen werden nachfolgend beschrieben. Für einfache dm-crypt-Geräte sind die Optionen cipher, hash und size notwendig. Einige Optionen können auf aktiven Mappings mittels cryptsetup refresh [<Optionen>] <Name> geändert werden. Desweiteren können einige Optionen mittels des Schalters --persistent von Cryptsetup dauerhaft in die Metadaten der LUKS2-Kopfzeilen geschrieben werden.

Beachten Sie, dass die ersten drei Felder verpflichtend sind und dass ein fehlendes Feld zu nicht definiertem Verhalten führt.

ÜBER VERSCHIEDENE CRYPTTAB-FORMATE

Bitte beachten Sie, dass es mehrere, voneinander unahbhängige Wrapper für Cryptsetup mit ihrem eigenen crypttab-Format gibt. Diese Handbuchseite deckt die Debian-Implementierung für initramfs- und SysVinit-Init-Skripte ab. systemd stellt seine eigene crypttab-Implementierung bereit. Wir versuchen, die Unterschiede zwischen der Implementierung von systemd und unserer in dieser Handbuchseite darzustellen, im Zweifelsfall prüfen Sie aber besser die Handbuchseite crypttab(5) von systemd, z.B. online unter https://www.freedesktop.org/software/systemd/man/crypttab.html.

OPTIONEN

cipher=<Chiffre>
Verschlüsselungsalgorithmus (für LUKS- und TCRYPT-Geräte ignoriert). Siehe cryptsetup -c.

size=<Größe>

Größe des Verschlüsselungsschlüssels (für LUKS- und TCRYPT-Geräte ignoriert). Siehe cryptsetup -s.

sector-size=<Byte>

Sektorgröße. Siehe cryptsetup(8) für mögliche Werte und den Vorgabewert dieser Option.

hash=<Hash>

Hash-Algorithmus (für LUKS- und TCRYPT-Geräte ignoriert). Siehe cryptsetup -h.

offset=<Versatz>

Startversatz (für LUKS- und TCRYPT-Geräte ignoriert). Siehe cryptsetup -o.

skip=<Sprung>

Am Anfang übersprungene Sektoren (für LUKS- und TCRYPT-Geräte ignoriert). Siehe cryptsetup -p.

keyfile-offset=<Schlüsseldatei-Versatz>

Legt die Anzahl der am Anfang der Schlüsseldatei zu überspringenden Byte fest.

keyfile-size=<Schlüsseldateigröße>

Legt die maximale Anzahl der aus der Schlüsseldatei zu lesenden Byte fest. Standardmäßig wird die gesamte Datei bis zum einkompilierten Maximum eingelesen, was mit cryptsetup --help abgefragt werden kann. Diese Option wird für einfache dm-crypt-Geräte ignoriert, da dann die Schlüsseldateigröße durch die Schlüsselgröße gegeben ist (Option size).

keyslot=<Position>, key-slot=<Position>

Schlüsselposition (für nicht-LUKS-Geräte ignoriert). Siehe cryptsetup -S.

header=<Pfad>

Abgetrennte Kopfzeilen-Datei (für einfache dm-crypt-Geräte ignoriert). Siehe cryptsetup --header.

verify

Passwort überprüfen. Verwendet cryptsetup -y.

readonly, read-only

Richtet ein schreibgeschütztes Mapping ein.

tries=<num>

Versucht das Gerät <num> zu entsperren, bevor das Programm fehlschlägt. Dies ist insbesondere nützlich, wenn eine Passphrase verwandt wird oder ein Schlüsselskript, das um interaktive Eingabe bittet. Falls Sie Mehrfachversuche verbieten wollen, übergeben Sie »tries=1«. Die Vorgabe ist »3«. Die Angabe von »tries=0« bedeutet, dass beliebig viele Versuche möglich sind.

discard

Erlaubt die Verwendung von »discard«- (TRIM-)Anfragen für das Gerät.

Beginnend mit Debian 10 (Buster) wird diese Option standardmäßig zu neuen dm-crypt-Geräten durch den Debian-Installer hinzugefügt. Falls Sie keine Probleme mit der Preisgabe von Zugriffsmustern (Dateisystemtyp, benutzter Platz) haben sowie keine versteckten Truecrypt-Datenträger innerhalb dieses Datenträgers vorliegen, dann sollte es sicher sein, diese Option zu aktivieren. Lesen Sie die nachfolgende Warnung für weitere Informationen.

WARNUNG: Beurteilen Sie die speziellen Sicherheitsrisiken sorgfältig, bevor Sie diese Option aktivieren. Beispielsweise kann das Erlauben von »discards« bei verschlüsselten Geräten dazu führen, dass Informationen über das chiffrierte Gerät (wie Dateisystemtyp, verwandter Platz usw..) preisgegeben werden könnten, falls die ausrangierten Blöcke später leicht auf dem Gerät gefunden werden können.

luks

Erzwingt den LUKS-Modus. Wenn dieser Modus verwandt wird, werden die folgenden Optionen ignoriert, da sie durch die LUKS-Kopfzeilen auf dem Gerät bereitgestellt werden: cipher=, hash=, size=.

plain

Erzwingt den einfachen Verschlüsselungsmodus.

bitlk

Erzwingt BITLK- (Windows BitLocker-kompatiblen) Modus. WARNUNG: Die Unterstützung in crypttab ist derzeit experimentell.

tcrypt

Verwendet den TrueCrypt-Verschlüsselungsmodus. Beim Einsatz dieses Modus werden die folgenden Optionen ignoriert, da sie durch die TrueCrypt-Kopfzeilen bereitgestellt werden oder nicht anwendbar sind: cipher=, hash=, keyfile-offset=, keyfile-size=, size=.

veracrypt, tcrypt-veracrypt

Verwendet VeraCrypt-Erweiterungen für das TrueCrypt-Gerät. Nur nützlich im Zusammenspiel mit der Option tcrypt (ignoriert für nicht-TrueCrypt-Geräte).

tcrypthidden, tcrypt-hidden

Verwendet versteckte TCRYPT-Kopfzeilen (ignoriert für nicht-TCRYPT-Geräte).

swap

Führt mkswap auf dem erstellten Gerät aus.

Diese Option wird für initramfs-Geräte ignoriert.

tmp=<Tmpfs>

Führt mkfs mit dem Dateisystem <tmpfs> auf dem erstellten Gerät aus. Vorgabe ist ext4.

Diese Option wird für initramfs-Geräte ignoriert.

check=<Prüfprogramm>

Überprüft den Inhalt des Zielgerätes mit einem geeigneten Programm; falls die Überprüfung fehlschlägt, wird das Gerät entfernt. Falls ein Programm als Argument bereitgestellt wird, wird es ausgeführt, wobei der entschlüsselte Datenträger (Zielgerät) als erstes Argument übergeben wird und der Wert der Option »checkargs« als zweites Argument. Cryptdisks/cryptroot sucht zuerst nach dem angegebenen Programm in /lib/cryptsetup/checks/, aber ein vollständiger Pfad zu dem Programm wird auch unterstützt.

Die Vorgabe wird in /etc/default/cryptdisks (blkid) eingestellt.

Diese Option ist für das crypttab-Format von Debian spezifisch. Sie wird nicht von systemd unterstützt.

checkargs=<Argumente>

Übergibt <Argumente> als das zweite Argument an das Überprüfungsskript. Siehe den Abschnitt CHECKSCRIPTS für weitere Informationen.

Diese Option ist für das crypttab-Format von Debian spezifisch. Sie wird nicht von systemd unterstützt.

initramfs

Der Initramfs-Hook verarbeitet das Wurzelgerät, sämtliche Wiederaufnahmegeräte und alle Geräte, bei denen die Option initramfs gesetzt ist. Diese Geräte werden innerhalb der Initramfs-Stufe beim Systemstart verarbeitet. Dies erlaubt beispielsweise die Verwendung einer Entsperrung aus der Ferne mit Dropbear.

Diese Option ist für das crypttab-Format von Debian spezifisch. Sie wird nicht von systemd unterstützt.

noearly

Die Cryptsetup-Init-Skripte werden während des Systemstarts zweimal aufgerufen - einmal bevor LVM, RAID usw. gestartet werden und dann erneut danach. Manchmal müssen Sie Ihre verschlüsselten Platten in einer bestimmten Reihenfolge entschlüsseln. Mit dieser Option wird das Gerät während des ersten Aufrufs der Cryptsetup-Init-Skripte ignoriert.

Diese Option wird für initramfs-Geräte ignoriert und ist für das crypttab-Format von Debian spezifisch. Sie wird von systemd nicht unterstützt.

noauto

Ignoriert das Gerät während des Systemstartes komplett. Es ist weiterhin möglich, Geräte manuell mit cryptdisks_start zuzuordnen.

Diese Option wird für initramfs-Geräte ignoriert und ist für das crypttab-Format von Debian spezifisch. Sie wird von systemd nicht unterstützt.

loud

Ausführliche Ausgabe. Warnungen werden ausgegeben, falls ein Gerät nicht existiert. Diese Option setzt die Option loud außer Kraft.

Diese Option wird für initramfs-Geräte ignoriert und ist für das crypttab-Format von Debian spezifisch. Sie wird von systemd nicht unterstützt.

quiet

Knappe Ausgabe. Warnungen werden nicht ausgegeben, falls ein Gerät nicht existiert. Diese Option setzt die Option loud außer Kraft.

Diese Option wird für initramfs-Geräte ignoriert und ist für das crypttab-Format von Debian spezifisch. Sie wird von systemd nicht unterstützt.

keyscript=<Pfad>

Das unter dem angegebenen Pfad existierende Programm wird mit dem Wert des dritten Feldes als einziges Argument ausgeführt. Die Schlüsselskript-Ausgabe wird an Cryptsetup als Entschlüsselungsschlüssel weitergegeben. Wird dies in der Initramfs verwandt, muss das Programm entweder abgeschlossen sein (d.h. nicht von irgendwelchen Programmen abhängen, die in einer Initramfs-Umgebung nicht vorhanden sind) oder die Abhängigkeiten müssen auf irgendwelche andere Weise zu dem Initramfs-Abbild hinzugefügt werden.

BESCHRÄNKUNGEN: Sämtliche Programme und Dateien, von denen das Schlüsselskript abhängt, müssen zum Ausführungszeitpunkt verfügbar sein. Für verschlüsselte Dateisysteme wie /usr oder /var muss besondere Vorsicht walten gelassen werden. Beispielsweise darf das Entsperren eines verschlüsselten /usr nicht von Programmen aus /usr/(s)bin abhängen.

Diese Option ist für das crypttab-Format von Debian spezifisch. Sie wird nicht von systemd unterstützt.

WARNUNG: Ist Systemd das Init-System, dann könnte diese Option ignoriert werden. Zum Zeitpunkt der Erstellung dieses Textes (Dezember 2016) unterstützt das Cryptsetup-Hilfsprogramm die Schlüsselskript-Option von /etc/crypttab nicht. Derzeit ist die einzige Möglichkeit, Schlüsselskripte zusammen mit Systemd zu verwenden, die Verarbeitung der entsprechenden Geräte in der Initramfs zu erzwingen. Siehe die Option »initramfs« für weitere Informationen.

Alle Felder der entsprechenden Crypttab-Einträge sind für das Schlüsselskript als exportierte Umgebungsvariablen verfügbar:

CRYPTTAB_NAME

Der Zielname.

CRYPTTAB_SOURCE

Das Quellgerät.

CRYPTTAB_KEY

Die Schlüsseldatei.

CRYPTTAB_OPTIONS

Eine Liste von exportierten Crypttab-Optionen.

CRYPTTAB_OPTION_<Option>

Der Wert der entsprechenden Crypttab-Option, wobei der Wert auf »yes« gesetzt wird, falls die Option einfach ein Schalter ist. Für Options-Aliase, wie »readonly« und »read-only«, beziehen sich die Variablennamen auf die erste aufgeführte Alternative (daher in diesem Fall »CRYPTTAB_OPTION_readonly«). Falls die Crypttab-Option Minuszeichen (»-«) enthält, dann werden diese durch »_« in dem exportierten Dateinamen ersetzt. Beispielsweise wird der Wert der Umgebungsvariablen »CRYPTTAB_OPTION_keyfile_offset« auf den Wert der Crypttab-Option »keyfile-offset« gesetzt.

CRYPTTAB_TRIED

Anzahl der vorherigen Versuche seit dem Start von Cryptdisks (zählt, bis die maximale Anzahl der Versuche erreicht wurde).

CHECKSCRIPTS

blkid
Prüft auf alle bekannten Dateisysteme. Unterstützt einen Dateisystemtyp als Argument mittels <checkargs>:

•checkargs nicht angegeben - erfolgreich, falls irgendein gültiges Dateisystem auf dem Gerät gefunden wird.

•»none« - erfolgreich, falls kein gültiges Dateisystem auf dem Gerät gefunden wird.

•»ext4« [oder ein anderes Dateisystem wie xfs, swap, crypto_LUKS, … ] - erfolgreich, falls ein Ext4-Dateisystem auf dem Gerät gefunden wird.

un_blkid

Überprüft auf keine bekannten Dateisysteme. Unterstützt ein Dateisystemtyp als Argument mittels <checkargs>:

•keine checkargs - erfolgreich, falls kein gültiges Dateisystem auf dem Gerät gefunden wird.

•»ext4« [oder ein anderes Dateisystem wie xfs, swap, crypto_LUKS, … ] - erfolgreich, falls kein Ext4-Dateisystem auf dem Gerät gefunden wird.

BEISPIELE

# Verschlüsseltes Auslagerungsgerät
cswap /dev/sda6 /dev/urandom cipher=aes-xts-plain64,size=256,hash=sha1,swap
# Verschlüsselte LUKS-Platte mit interaktivem Passwort, identifiziert durch seine UUID, discard aktiviert
cdisk0 UUID=12345678-9abc-def012345-6789abcdef01 none luks,discard
# Verschlüsselte TCRYPT-Platte mit interaktivem Passwort, discard aktiviert
tdisk0 /dev/sr0 none tcrypt,discard
# Verschlüsselte ext4-Platte mit interaktivem Passwort, discard aktiviert
# - fünf Mal versuchen, falls die Überprüfung fehlschlägt
cdisk1 /dev/sda2 none discard,cipher=aes-xts-plain64,size=256,hash=sha1,checkargs=ext4,tries=5
# Verschlüsselte Platte mit interaktivem Passwort, discard aktiviert
# - verwendet ein Nicht-Standard-Überprüfungsskript
# - keine Neuversuche
cdisk2 /dev/sdc1 none discard,cipher=aes-xts-plain64,size=256,hash=sha1,check=customscript,tries=1
# Verschlüsselte Platte mit interaktivem Passwort, discard aktiviert
# - Twofish als die Chiffre, RIPEMD-160 als den Hash
cdisk3 /dev/sda3 none dscard,cipher=twofish,size=256,hash=ripemd160

UMGEBUNGSVARIABLEN

CRYPTDISKS_ENABLE
Setzen Sie dies auf yes, um Cryptdisk-Initskripts beim Hochfahren auszuführen. Setzen Sie dies auf no, um Cryptdisk-Initskripts zu deaktivieren. Standardmäßig yes.

CRYPTDISKS_MOUNT

Legt die Einhängepunkte fest, die eingehängt werden, bevor Cryptdisk aufgerufen wird. Akzeptiert in /etc/fstab konfigurierte Einhängepunkte als Argumente. Trennen Sie Einhängepunkte durch Leerzeichen. Dies ist für Schlüssel auf Wechselmedien wie CD-ROM, USB-Stick, Flashcard usw. nützlich. Standardmäßig nicht gesetzt.

CRYPTDISKS_CHECK

Legt das Checkskript fest, das standardmäßig gegen das Zielgerät ausgeführt werden soll, nachdem Cryptdisk aufgerufen wurde. Das Zielgerät wird als erstes und einziges Argument an das Checkskript übergeben. Dies wird wirksam, falls die Option check in Crypttab ohne Wert angegeben ist. Siehe die vorstehende Dokumentation der Option check für weitere Informationen.

BEKANNTE PROBLEME BEIM UPGRADE

Die Vorgaben der Originalautoren für die Chiffre, den Hash und die Schlüsselgröße wurden in der Vergangenheit mehrfach geändert und es wird erwartet, dass sie sich auch in der Zukunft ändern werden, beispielsweise wenn Sicherheitsprobleme auftauchen. Auf LUKS-Geräten werden die verwandten Einstellungen in den LUKS-Kopfzeilen gespeichert und müssen daher nicht in /etc/crypttab konfiguriert werden. Für einfache dm-crypt-Geräte sind überhaupt keine Informationen über die verwandte Chiffre, den Hash und die Schlüsselgröße verfügbar. Daher empfehlen wir nachdrücklich, für einfache dm-crypt-Geräte die Chiffre, den Hash und die Schlüsselgröße in /etc/crypttab zu konfigurieren, selbst wenn sie mit den aktuellen Vorgabewerten übereinstimmen.

SIEHE AUCH

cryptsetup(8), cryptdisks_start(8), cryptdisks_stop(8), /usr/share/doc/cryptsetup-initramfs/README.initramfs.gz

AUTOR

Diese Handbuchseite wurde ursprünglich von Bastian Kleineidam <calvin@debian.org> für das in der Debian-Distribution enthaltene Cryptsetup geschrieben. Sie wurde weiter von Michael Gebetsroither <michael.geb@gmx.at>, David Härdeman <david@hardeman.nu> und Jonas Meurer <jonas@freesources.org> verbessert.

ÜBERSETZUNG

Die deutsche Übersetzung dieser Handbuchseite wurde von Helge Kreutzmann <debian@helgefjell.de> erstellt.

Diese Übersetzung ist Freie Dokumentation; lesen Sie die GNU General Public License Version 3 oder neuer bezüglich der Copyright-Bedingungen. Es wird KEINE HAFTUNG übernommen.

Wenn Sie Fehler in der Übersetzung dieser Handbuchseite finden, schicken Sie bitte eine E-Mail an <debian-l10n-german@lists.debian.org>.

14. Januar 2021 cryptsetup 2:2.3.4-2