festplatte mit gbde verschlüsseln

Nicht immer sollen Daten unverschlüsslt auf einem Server rumliegen.
Einbrecher sollen im Falle eines Diebstahls bitte schön nicht auch noch in den Genuß der Geschäftsdaten kommen, wichtige Dokumente vor Systemeindringlinge verbergen, den privaten Teil eines Verschlüsselungszertifikats, oder einfach nur den BND ärgern,…..
Jeder hat seine privaten, eigenen Gründe Daten sicher und vor allem dauerhaft zu verschlüsseln.
Nur weil ich nix zu verbergen habe, lauf ich nicht nackt durch die Fußgängerzone.

Auch hier bietet einem FreeBSD das geeignete Werkzeug: GBDE

Ausgangssituation: Eine leere Festplatte
Für dieses Beispiel nutze ich eine extene USB-Festplatte (da0)

Diese wird erstmal komplett mit einer FreeBSD Partiton belegt:

#> fdisk -v -I /dev/da0

Daraufhin wird ein Standardlabel geschrieben:

#> bsdlabel -w /dev/da0s1

Damit ist /dev/da0s1a das erste Slice auf der Platte und es belegt alles

Nun erfolgt die Verschlüsselung von /dev/da0s1a um dann ein Dateisystem zu erstellen
(wir ham ja bisher nix formatiert, gelle)

Als erstes initialisieren wir unsere Zielpartition mit:

#> gbde init /dev/da0s1a

Direkt darauf erfolgt die Passwortabfrage mit dem das Image verschlüsselt wird.
NICHT VERGESSEN! EIN GBDE IMAGE KANN NICHT WIEDERHERGESTELLT WERDEN!
ES IST NICHT KNACKBAR ODER IRGENDWIE ANDERS RETTBAR, SOLLTE DAS PASSWORT VERLOREN GEHEN!

Um mit der Partition arbeiten zu können, muss sie quasi “geöffnet” werden:

#> gbde attach /dev/da0s1a

Daraufhin erscheint unter /dev/da0s1a ein neuer Eintrag: /dev/da0s1a.bde
Nun ist die Partion (/dev/da0s1a.bde) bereit, weiter verschlüsselt bearbeitet zu werden.
Nun erstmal formatieren:

#> newfs -U -O2 /dev/da0s1a.bde

Und letztendlich als normale Platte mounten:

#> mount /dev/da0s1a.bde /mnt/

Sind alle geheimen Daten verschoben, kann die Platte ausgehängt und das Schloss verschlossen werden:

#> umount /mnt
#> gbde detach /dev/da0s1a

Kurz: benutzen

#> gbde attach /dev/da0s1a
#> mount /dev/da0s1a.bde /mnt/

Kurz: entfernen

#> umount /mnt
#> gbde detach /dev/da0s1a

Hier noch zwei kleine Skriptvorlagen, die das ganze etwas angenehmer machen könnten:

#> ee attach.sh
#!/bin/sh
gbde attach /dev/da0s1a
fsck_ufs -p /dev/da0s1a.bde
mount /dev/da0s1a.bde /mnt

#> ee detach.sh
#!/bin/sh
umount /mnt
gbde detach /dev/da0s1a

#> chmod +x attach.sh
#> chmod +x detach.sh