Arch Linux auf verschlüsselte Festplatte installieren

(Beachtet auch meine aktuelle Anleitung: Arch Linux mit LUKS Verschlüsselung auf UEFI System installieren https://legacy.thomas-leister.de/arch-linux-luks-verschluesselt-auf-uefi-system-installieren-2/)

… korrekt müsste es eigentlich heißen: „Arch verschlüsselt installieren“, denn tatsächlich wird nur die Arch Installation (Root-, Swap- und Homepartition) verschlüsselt. Die /boot Partition und der Bootloader müssen von der Verschlüsselung befreit werden, denn die Initialsysteme müssen ja auch ohne Passwort starten können ;)
In der Realität sieht es dann so aus, dass man vor dem Start von Arch Linux nach einem Passwort gefragt wird, um die entsprechende root-Partition zu entschlüsseln. Erst, wenn das richtige Passwort eingegeben wurde und die Partition entschlüsselt werden kann, ist es möglich, sich ganz normal über Benutzernamen und Passwort einzuloggen.

Vor allem bei Notebooks oder anderen mobilen Geräten ist eine Festplattenverschlüsselung empfehlenswert. Wird das Gerät gestohlen, hat der Dieb keine Chance, an persönliche Daten oder die Inhalte des Rootverzeichnisses zu kommen. Mit den unverschlüsselten Partitionen für den Bootvorgang kann man absolut nichts anfangen. Sie sind völlig uninteressant.

Meine erstes Arch überhaupt habe ich gleich verschlüsselt installiert und bin dabei auf ein paar Schwierigkeiten gestoßen. Im Arch Linux gibt es natürlich Anleitungen für eine einfache Installation und eine verschlüsselte Festplatte, aber eine komplette Anleitung „aus einem Guss“ fehlt. Manche Stellen bleiben unklar. Dennoch habe die verschlüsselte Arch Installation über das Wiki zum Laufen bekommen und seitdem läuft es einwandfrei. Weil die Einrichtung für Arch-Anfänger evtl. nicht immer einfach ist, biete ich auf dieser Seite eine komplette Anleitung für die Installation an, sodass man sich das Recherchieren und Suchen im Arch Wiki sparen kann und lediglich diese Anleitung befolgen muss.

Diese Anleitung geht von folgendem Setup aus:

Eine Festplatte „sda“ soll vollständig für Arch Linux genutzt werden. Eine getrennte Homepartition wird nicht angelegt; das Homeverzeichnis wird in /root angelegt. Das macht die Sache einfacher. Zudem arbeite ich auf einem System mit BIOS und GPT. In der Beschreibung meines Mainboards steht zwar etwas von UEFI BIOS, aber mit einem richtigen UEFI hat das herzlich wenig zu tun. Ich konnte bei der Installation UEFI einfach ignorieren und eine herkömmliche, einfache Installation ohne EFI vornehmen.
Wer EFI nutzt/nutzen will/nutzen muss, muss sich eine zusätzliche EFI Partition des Dateisystem-Typs ef00 anlegen. Wie das mit EFI Funktioniert, könnt ihr hier nachlesen: https://wiki.archlinux.org/index.php/UEFI#MBR_partitioned_disks. Bei der Installation von GRUB muss dann auch etwas anders vorgegangen werden: https://wiki.archlinux.org/index.php/GRUB#UEFI_systems_2
Passt mit euren Partitionen auf, wenn ihr eine zusätzliche EFI Partition habt! Ich hab hier keine solche Partition. Also auf die richtigen Partitionsziffern acht geben! ;)

Demnächst folgt vielleicht noch ein extra Guide für EFI Systeme. UEFI und nicht-UEFI Systeme hier in einen Beitrag zu quetschen sorgt nur für Verwirrung. Zurück zum Setup!

Die Festplatte wird in drei Partitionen geteilt:

• sda1: Bootpartition für den GRUB Bootloader
• sda2: Linux Bootpartition („/boot“)
• sda3: Partition, die verschlüsselt wird und einen LVM Container enthält

Der LVM Container (Bezeichnung „main“) wiederum enthält:

• „root“ Das Rootverzeichnis inkl. Home
• „swap“ Das Swapverzeichnis zum Auslagern des Arbeitsspeichers

Ich gehe davon aus, dass Arch Linux bereits von USB Stick oder CD / DVD gestartet wurde und die Kommandozeile auf dem Bildschirm zu sehen ist.

Wer eine Tastatur mit deutscher Tastenbelegung hat, will sie Tasten vermutlich richtig einstellen ;) Im Moment ist das „z“ beispielsweise noch mit dem „y“ belegt, und die ?-Taste mit dem Bindestrich. Das richtige Layout kann man so aktivieren:

loadkeys de-latin1-nodeadkeys

Partitionen anlegen

Startet das Partitionierungstool gdisk:

gdisk /dev/sda

Stellt sicher, dass eure Festplatte unpartitioniert ist oder löscht schon vorhandene Partitionen. Dabei gehen natürlich alle Daten verloren; ihr habt also jetzt die letzte Chance, eure Daten in Sicherheit zu bringen. Evtl. vorhandene Partitionen könnt ihr auflisten, indem ihr den Befehl „p“ eingebt. Eine Liste aller vorhandenen Partitionen wird ausgegeben. Mit dem Kommando „d“ könnt ihr die aufgelisteten Partitionen löschen.

Jetzt werden nach obigen Muster drei neue Partitionen unterschiedlicher Größe angelegt. Gebt „n“ ein, um eine neue Partition anzulegen und haltet euch an diese Eingaben:

„Partition number“ => ENTER
„First sector“ => ENTER
„Last sector“ => +3M
"Hex code" => ef02

Damit wurde eine Partition der Größe 3 MB am Anfang des Laufwerks für den Grub Bootloader angelegt. Jetzt folgt die 100MB große  /boot Partition; wählt wieder „n“ und gebt folgendes an:

„Partition number“ => ENTER
„First sector“ => ENTER
„Last sector“ => +100M
"Hex code" => ENTER

Zum Schluss die dritte Partition, die den restlichen Platz auf dem Laufwerk einnehmen soll. Hier braucht ihr die Fragen nur mit ENTER abnicken, also 4x ENTER.
Wenn ihr nochmal eine Übersicht mit allen angelegten Partitionen bekommen wollt, gebt den Befehl „p“ ein.

Wichtig:

Die Änderungen sind noch nicht auf die Festplatte geschrieben. Das wird jetzt mit dem Befehl „w“ erledigt.

Die Bootpartition wird gleich mit dem ext4 Dateisystem formatiert:

mkfs.ext4 /dev/sda2

Hauptpartition mit LUKS verschlüsseln

Um evtl. noch vorhandene Daten sicher zu vernichten, wird die Partition sda3 mit Nullen überschrieben:

shred -vn 0 -z /dev/sda3

Um die nötigen Kryptographiefunktionen nutzen zu können, muss noch das entsprechende Kernelmodul eingebunden werden:

modprobe dm-crypt

Jetzt kann die Partition endlich verschlüsselt werden. Das geschieht mit folgendem Befehl:

cryptsetup -c aes-xts-plain -y -s 512 luksFormat /dev/sda3

Für Partitionen von einer Größe von mehr als 2 TB sollte „aes-xts-plain64“ verwendet werden. Gebt YES in Großbuchstaben ein und legt ein sicheres (!) Passwort für die Verschlüsselung fest. Die verschlüsselte Partition wird gleich eingebunden, damit mit der Einrichtung von LVM fortgefahren werden kann:

cryptsetup luksOpen /dev/sda3 lvm

Übrigens: Das Passwort kann später problemlos geändert werden. Auch das Hinzufügen von zusätzlich gültigen Passwörtern ist möglich.

LVM Einrichten

Mit LVM können virtuelle Partitionen erstellt werden, die leicht in ihrer Größe veränderbar sind und wie normale Partitionen in das Betriebssystem eingebunden werden. Innerhalb unserer verschlüsselten Partition sda3 wird ein LVM Container angelegt, der die beiden virtuellen Partitionen root und swap beinhaltet.

Erstellen des Containers und der Volume Group mit der Bezeichnung „main“:

pvcreate /dev/mapper/lvm
vgcreate main /dev/mapper/lvm

SWAP Partition mit 4 GB Größe erstellen: (Etwa Größe des Arbeitsspeichers)

lvcreate -L 4GB -n swap main

Die Rootpartition inkl. Home bekommt den Rest des zur Verfügung stehenden Platzes:

lvcreate -l 100%FREE -n root main

Die Rootpartition wird mit ext4 formatiert:

mkfs.ext4 /dev/main/root

Partitionen einbinden

Im nächsten Schritt werden Boot- und Rootpartition ins Dateisystem des Livemediums (USB Stick, CD / DVD) eingebunden:

mount /dev/main/root /mnt

mkdir /mnt/boot
mount /dev/sda2 /mnt/boot

… und SWAP aktiviert:

mkswap /dev/main/swap
swapon /dev/main/swap

Netzwerk- / Internetverbindung herstellen

Für die Installation von Arch Linux ist eine Internetverbindung nötig. Sollte der Rechner über ein LAN Kabel an den Router angeschlossen sein, ist normalerweise direkt ein Zugriff auf das Internet möglich. Prüfen kann man das über

ping -c3 8.8.8.8

Werden Antworten geliefert, ist mit der Verbindung alles in Ordnung.
Sollte keine Verbindung möglich sein, kann man versuchen, sich vom Router eine IP Adresse zuteilen zu lassen. In den meisten Fällen funktioniert die Internetverbindung dann:

ip link

… um die Bezeichnung der Netzwerkschnittstelle auszulesen. Sie beginnt mit „enp…“ Über den Befehl

dhcpcd enpxxx

wird dem Rechner eine IP Adresse zugeteilt.

Spiegelserver einstellen

Für die bestmögliche Verbindung zu den Software Repositories wird die Liste der Spiegelserver bearbeitet. Macht ein Backup der Datei „mirrorlist“ und öffnet sie dann:

cp /etc/pacman.d/mirrorlist /etc/pacman.d/mirrorlist.bak
nano /etc/pacman.d/mirrorlist

Bewegt den Cursor zu einem Eintrag und löscht die Zeile mit STRG+K. Ich empfehle alle Einträge zu entfernen, bis auf die ersten 3 „Germany“ Server. Speichert die Datei ab und verlasst den Editor.

Arch installieren

Arch Linux kann nun auf der Festplatte installiert werden:

pacstrap /mnt base base-devel

Je nach Leistung der Internetverbindung kann der Vorgang eine Weile dauern. Die wichtigsten Softwarepakete werden heruntergeladen und installiert.

fstab erstellen

Fehlt noch die fstab Datei, die die einzubindenden Partitionen festlegt. Diese wird folgendermaßen erstellt:

genfstab -p /mnt > /mnt/etc/fstab

Spiegelserver in neues System übernehmen

Die Spiegelserverliste des aktuellen Live-Systems kann direkt in das neu installierte System übernommen werden:

cp /etc/pacman.d/mirrorlist /mnt/etc/pacman.d/mirrorlist

Weitere Konfigurationsarbeiten

Für alle weiteren Konfigurationen wird in die neue Arch Installation gewechselt:

arch-chroot /mnt/

Hostname festlegen

Der Hostname des Computers (z.B. thomas-pc) wird festgelegt:

echo myhost > /etc/hostname

wobei „myhost“ der Hostname ist.

Spracheinstellungen

echo LANG=de_DE.UTF-8 > /etc/locale.conf
echo LC_COLLATE=C >> /etc/locale.conf

Tastaturbelegung

echo KEYMAP=de-latin1 > /etc/vconsole.conf

Zeitzone

ln -s /usr/share/zoneinfo/Europe/Berlin /etc/localtime

Locale generieren

Öffnet die Datei „/etc/locale.gen“ und entfernt bei den folgenden Einträgen das Kommentarsymbol (#) am Anfang der Zeile:

#de_DE.UTF-8 UTF-8
#de_DE ISO-8859-1
#de_DE@euro ISO-8859-15

Zur Generierung wird noch ein

locale-gen

ausgeführt.

Initramfs erzeugen

Bevor die initial ramdisk generiert werden kann, muss noch eine Änderung in der Datei „/etc/mkinitcpio.conf“ vorgenommen werden:

nano /etc/mkinitcpio.conf

„HOOKS“ muss so abgeändert werden:

HOOKS="base udev autodetect modconf block filesystems keyboard keymap encrypt lvm2 fsck"

… damit wird dem Kernel gesagt, dass er die angegebenen Module beim Start laden soll, sodass die Hauptpartition vor dem Start entschlüsselt werden kann. Außerdem wird dafür gesorgt, dass eine Eingabe über die Tastatur möglich ist.

Sind die Änderungen durchgeführt, wird initramfs generiert:

mkinitcpio -p linux

GRUB Bootloader installieren

Für einen Start ist auch noch ein Bootloader nötig.
GRUB  installieren:

pacman -S grub

Auch in der GRUB Konfiguration muss noch etwas geändert werden:

nano /etc/default/grub

GRUB_CMDLINE_LINUX_DEFAULT="quiet“

wird so abgeändert:

GRUB_CMDLINE_LINUX_DEFAULT="cryptdevice=/dev/sda3:main lang=de locale=de_DE.UTF-8"

Die GRUB Konfiguration wird auf die Boot-Partition geschrieben und GRUB auf die Festplatte installiert:

grub-mkconfig -o /boot/grub/grub.cfg
grub-install /dev/sda

Arch Linux neu starten

Die Installation ist abgeschlossen. Zum Schluss werden die Partitionen noch ausgehangen und der Computer neu gestartet:

exit

umount /dev/sda2
umount /dev/main/root

reboot

Vergesst nicht, den Live-Datenträger aus dem Laufwerk zu entfernen bzw den USB Stick zu ziehen, sonst startet Arch nicht von der Festplatte. ;)

Nach einem Neustart wird man nach dem Passwort für die verschlüsselte Partition gefragt. Danach startet Arch Linux und ein ganz normaler Login über die Konsole ist möglich. Für alle weiteren Schritte (Netzwerkeinrichtung, Desktopumgebung, etc) könnt ihr der Anleitung im Arch Wiki ab dem Punkt „Netzwerkverbindung erneut herstellen“ folgen.

Vergesst nicht, das Passwort für den root User zu ändern. Loggt euch als root ein und führt ein

passwd

aus, um ein neues Passwort festzulegen.

Hinweis für Systeme mit verschlüsselter SSD

Damit die TRIM / Discard – Funktion bei verschlüsselten SSDs funktioniert, folgt diesem Beitrag: TRIM für verschlüsselte SSDs ermöglichen

 Quellen:

Anleitung für Einsteiger | wiki.archlinux.de
Festplatte verschlüsseln | wiki.archlinux.de
GPT | wiki.archlinux.de