BEZEICHNUNG

systemd-cryptsetup@.service, systemd-cryptsetup - Logik zur vollständigen Verschlüsselung von Datenträgern

ÜBERSICHT

systemd-cryptsetup@.service

/lib/systemd/systemd-cryptsetup

BESCHREIBUNG

Systemd-cryptsetup@.service dient zur Einrichtung von verschlüsselten Blockgeräten. Eine Instanz des Dienstes wird für jedes Gerät aufgerufen, welches entschlüsselt werden muss, um darauf zugreifen zu können.

Systemd-cryptsetup@.service erfragt gemäß der Passwordagent-Logik[1] die Festplattenpasswörter, damit die Eingabe des Passworts durch den Benutzer während des Systemstarts und im laufenden Betrieb nach dem korrekten Mechanismus geschieht.

In der frühen Phase des Systemstarts und beim Neuladen der Konfiguration der Systemverwaltung wird die /etc/crypttab von systemd-cryptsetup-generator(8) in Systemd-cryptsetup@.service-Units übersetzt.

Um einen Datenträger zu entsperren, wird ein Passwort oder ein binärer Schlüssel benötigt. systemd-cryptsetup@.service versucht, ein geeignetes Passowrt oder einen binären Schlüssel zu erlangen, indem in dieser Reihenfolge folgender Mechanismus durchlaufen wird:

1.Falls (mittels der dritten Spalte in /etc/crypttab) explizit eine Schlüsseldatei konfiguriert ist, wird ein daraus eingelesener Schlüssel verwandt. Falls (mittels der Option pkcs11-uri=) ein PKCS#11-Token konfiguriert ist, wird der Schlüssel vor der Verwendung entschlüsselt.

2.Falls auf diese Weise keine Schlüsseldatei explizit konfiguriert ist, wird eine Schlüsseldatei automatisch aus /etc/cryptsetup-keys.d/Datenträger.key und /run/cryptsetup-keys.d/Datenträger.key geladen, falls diese vorhanden sind. Auch hier gilt, dass jeder so gefundene Schlüssel vor der Verwendung entschlüsselt wird, falls ein PKCS#11-Token konfiguriert ist.

3.Falls die Option try-empty-password konfiguriert ist, dann wird versucht, den Datenträger mit dem leeren Passwort zu entsperren.

4.Dann wird der Kernel-Schlüsselbund auf ein geeignetes zwischengespeichertes Passwort aus vorherigen Versuchen übeprüft.

5.Schließlich wird der Benutzer nach einem Passwort gefragt, möglicherweise mehrfach.

Falls kein geeigneter Schlüssel mittels eines der oben beschriebenen Mechanismen erlangt werden kann, schlägt die Aktivierung des Datenträgers fehl.

SIEHE AUCH

systemd(1), systemd-cryptsetup-generator(8), crypttab(5), cryptsetup(8)

ANMERKUNGEN

1.: Passwortagent-Logik

https://systemd.io/PASSWORD_AGENTS/

ÜBERSETZUNG

Die deutsche Übersetzung dieser Handbuchseite wurde von Mario Blättermann <mario.blaettermann@gmail.com> und Helge Kreutzmann <debian@helgefjell.de> erstellt.

Diese Übersetzung ist Freie Dokumentation; lesen Sie die GNU General Public License Version 3 oder neuer bezüglich der Copyright-Bedingungen. Es wird KEINE HAFTUNG übernommen.

Wenn Sie Fehler in der Übersetzung dieser Handbuchseite finden, schicken Sie bitte eine E-Mail an die Mailingliste der Übersetzer.

systemd 247