(K)Ubuntu aufsetzen und verschlüsseln - wie vorgehen?

[cyberjonny]

Hi miteinander,

ich möchte sobald es die Zeit zulässt ein frisches Linux-System aufsetzen (vermutl. Kubuntu, evtl. Ubuntu) und habe dazu ein paar grundlegende Fragen:

1. Welche Partitionen sollte ich anlegen, warum sollte ich das tun und wie groß sollten sie sein?
Üblich sind ja - wenn ich das richtig sehe - root, home und swap sowie ggf. noch boot (bei vollständig verschlüsselten Systemen). Root ist klar, ohne geht ja nicht. Aber macht es wirklich zwingend Sinn, eine home-Partition einzurichten? Der grundsätzliche Gedanke dahinter, die persönlichen Daten vom restlichen System zu trennen (und so beim Neuaufsetzen weniger Aufwand zu haben), ist mir schon klar. Allerdings erscheint mir bei einem ohnehin vorhandenen Backup das nicht allzu wichtig, davon abgesehen wüsste ich nicht, welche Größe ich der home-Partition geben sollte, zumal sich die Menge der persönlichen Daten über die Zeit ja drastisch ändern kann. Wird eine swap-Partition automatisch angelegt bzw. ist diese zwingend notwendig/sinnvoll? Wie groß sollte sie bei 8GB RAM sein? Muss ich eine boot-Partition für ein vollständig verschlüsseltes System bereits von Anfang an anlegen? Welche Größe sollte diese haben?

2. Welches Dateisystem sollte ich wählen und warum?
Ext4? Ext3? Btrfs? Ein ganz anderes? Welche Vor- und Nachteile haben die jeweiligen Dateisysteme, gerade auch im Hinblick auf eine Komplettverschlüsselung des Systems?

3. Wie richte ich eine Verschlüsselung für das komplette System ein?
Welche Lösung sollte ich dafür nutzen und wie konkret dabei vorgehen? Muss ich das vor, während oder nach der Installation des OS tun? Welche Lösung bringt am wenigsten Leistungseinbußen in der Alltagsnutzung mit sich?

4. Welche Sprache sollte ich wählen?
Anders formuliert: Hat es praktische Vorteile, Englisch statt Deutsch als Sprache zu wählen, oder ist das im Grunde egal? Kann man die Sprache für das komplette System auch nachträglich einfach wechseln oder muss man sich da bei der Installation festlegen?


Es handelt sich um ein normales Desktop-System ohne Dualboot o.ä.

Danke euch!
Gruß, Jonny

 

[ggrohmann]

Ok, hier auch mal eine Ladung Senf zum Thema:

Der Ubuntu-Installer, besonders das Partitionierungs-Tool macht nicht wirklich brauchbare Vorschläge. Swap (und /home) in einer erweiterten Partition z.B. ist mal überhaupt nicht sinnvoll. Es ist sehr empfehlenswert, wenn man sich einien eigenen Plan macht und dann manuell (benutzerdefiniert?) partitioniert.

Bei 8 GB RAM muß Swap nicht unbedingt sein, aber wenn man eine 250GB große SSD hat, kann man das bischen swap aber doch verschmerzen. Die Swap-Datei unter Windows ist nur als zum Standard erhobene Notlösung anzusehen - es beseht keinen Grund, diesen Unfug auch bei einem Linux zu treiben.

Hat man nur eine 60-100GB große SSD, braucht man allerdings keinen Gedanken an eine Partitionierung verschwenden.

Wenn man eine 250er SSD in 40GB für /, 8GB für swap und Rest für /home aufteilt, ist man locker auf der sicheren Seite (es sei denn, man ist ein wegen Geiz aus Schottland ausgewiesener Schwabe). Und wenn dir über 200GB fürs Home zu klein sind, ist auch die 250er SSD zu klein.

Der Grund, warum man unter Windows die Benutzerdaten nicht auf eine andere Partition legt, ist nur der, daß es das System nicht so ohne weiteres unterstützt (ja ich weiß, es geht).

GUIDO

 

[enrico]

Ich rate zu mindestens 30 GB für root! Ich nutze Xubuntu 14.04 und neben Texlive 2014 (ca. 3 GB, so summa summarum) habe ich so noch die üblichen Verdächtigen LO, Gimp und Audacity installiert und es sind trotzdem 17 GB voll.

 

[cyberjonny]

Wichtig ist, daß man die SSD möglichst nicht randvoll schreibt, sondern daß es freie Blöcke gibt. Diese müssen aber nicht im unpartitionierten Bereich liegen, sondern können auch gerne ein Teil einer Partition sein.
Letztlich hat man darüber ja eh keine Kontrolle, weil der Controller der SSD die physischen Datenblöcke den logischen Adressen nach Lust und Laune zuordnet.

Aber das ist ja gerade das Problem: Ein vollverschlüsseltes System kann für die SSD womöglich so aussehen, als sei sie komplett vollgeschrieben. Die Frage ist, wann das so ist bzw. ob das mit meiner SSD (MX100) so ist... Falls ja, würde sich ein kleinerer unpartitionierter Bereich evtl. lohnen?

Ubuntuusers sagt, daß Trim auch bei Vollverschlüsselung funktioniert, solange man die richtigen Einstellungen vornimmt: http://wiki.ubuntuusers.de/SSD/TRIM#TRIM-mit-Festplattenverschluesselung

Persönlich habe ich da aber keine Erfahrungen.

Das stimmt - Ubuntuusers sagt aber auch, dass TRIM für das vollverschlüsselte System eine theoretische Schwachstelle ist: http://wiki.ubuntuusers.de/SSD/Verschlüsselung#Komplettverschluesselung-mit-TRIM
Die Frage ist nun, ob man dafür auf TRIM verzichten kann/sollte oder nicht... und ob es da eine eindeutige Wahl gibt oder man das für sich abwägen muss.

 

[ggrohmann]

Ich frag mich nur: Warum will man das Betriebssystem selber unbedingt verschlüsseln? Das frißt doch nur unnötig Rechenleistung.

 

[cyberjonny]

Weil es mit der richtigen Hardware (SSD, CPU mit AES-NI...) heutzutage eben quasi keine Rechenleistung mehr frisst, dafür aber potenzielle Schwachstellen ausmerzt.

Nach allem, was in den letzten Wochen, Monaten, Jahren so ans Licht kam und immer noch kommt, verschlüssele ich lieber etwas zuviel als etwas zu wenig. Und das nicht, weil ich es muss, sondern einfach nur, weil ich es kann.

 

[SammysHP]

Aber das ist ja gerade das Problem: Ein vollverschlüsseltes System kann für die SSD womöglich so aussehen, als sei sie komplett vollgeschrieben.

Nein. Die Verschlüsselung arbeitet blockweise. Beim Löschen werden diese Blöcke ganz normal als gelöscht markiert, ganz normal TRIM.

Standardmäßig ist dieses Weiterleiten vom Dateisystem über dm-crypt an den SSD-Controller deaktiviert. Macht aber eher für paranoide Leute Sinn, da ein Angreifer lediglich wüsste, in welchem Bereich keine Daten mehr stehen. Einen sinnvollen Angriff gibt es dafür nicht.

 

[cyberjonny]

Okay, also SSD einfach voll nutzen, komplett partitionieren, TRIM aktivieren und ich sollte eine gesunde Mischung aus Performance, SSD-Lebenserwartung und Sicherheit haben?

 

[SammysHP]

Ja.