Ubuntu 10.04 Installation SSD+HDD im Ultrabay (verschlüsselt)

[jaro]

Es handelt sich um ein R400, dass ich von amue hier im Forum gekauft habe (das legendäre Aceton-Opfer, was man dem guten Stück aber fast nicht ansieht)

@fishmac: Wie hast/hattest du denn dein System verschlüsselt? Da gibt's ja durchaus Unterschiede, die sich auch in der Performance zeigen. So pauschal wie du dich ausdrückst würde ich mich linrunners Meinung mit dem Käse anschließen... ;-)

 

[kalibari]

Und welche CPU? Ich glaube beim R400 sieht es schlecht aus. Ohne AES New Instructions kannst du eine Software Verschlüsselung auf SSD total vergessen. Prüfen kannst du hier: http://ark.intel.com. Dann bleibt dir noch eine Hardwareverschlüsselung die manche Hersteller anbieten wobei die Sicherheit da etwas fragwürdig ist aber besser als nix... Ich schätze bei das bei 20-30% der Performance mit Software-Verschlüsselung flöten geht. Aber pauschal lässt sich das schwer vergleichen weil es von der SSD von der Verschlüsselungsart vom Prozessor usw. abhängt. Ich hatte z.B. mit einem i7-620UM eine schlechte Performance festgestellt, obwohl dieser auch AES unterstützt. Mfg kalibari

 

[linrunner]

Ich hab auch kein AES-NI bei meinen TPs und bin trotzdem mit der Performance sehr zufrieden (64bit System). Mache ich was falsch?

 

[kalibari]

Ich hab auch kein AES-NI bei meinen TPs und bin trotzdem mit der Performance sehr zufrieden (64bit System). Mache ich was falsch?

vielleicht bist du einfach leichter zufrieden zu stellen. Ohne AES-NI wird die CPU stärker belastet. Zumindest war das bei mir so als ich das Modul entladen hab. Von der Performance her kann eine starke CPU da einiges ausgleichen. Auf einem SU4100 hatte ich das auch Mal getestet (OK das ist wirklich schon fast ein kleiner Atom) und da kam ich im seq. Schreiben nicht über 60 MB/sec hinaus.

 

[dirkk]

10.04 mit Kernel 2.6.32 kann kein TRIM. Aber auch alle neueren Versionen unterstützen kein TRIM bei Verschlüsselung und/oder LVM-Einsatz.

Hmm, das wurde hier mir mal auf eine ähnliche Frage ander beantwortet. Nämlich, dass TRIM ab Kernel 2.6.33 (?) auch mit ecryptfs funktioniert, da es dateibasiert sei. Ich habe ja mal den TRIM-Test gemacht, bin jetzt aber nicht mehr sicher, ob er auch die Home-Partition betraf. Eine Klärung dieser Sache wäre mir wichtig.

 

[dirkk]

Vollverschlüsselung

Welchen Sinn macht denn eine Vollverschlüsselung? Die (i.d.R.) freie Software verschlüsseln? Wozu?

 

[kalibari]

Hmm, das wurde hier mir mal auf eine ähnliche Frage ander beantwortet. Nämlich, dass TRIM ab Kernel 2.6.33 (?) auch mit ecryptfs funktioniert, da es dateibasiert sei. Ich habe ja mal den TRIM-Test gemacht, bin jetzt aber nicht mehr sicher, ob er auch die Home-Partition betraf. Eine Klärung dieser Sache wäre mir wichtig.

Ich glaube das geht mit ecryptfs. Aber zu Not kannst du es selbst testen. Die Pfade musst du natürlich noch anpassen.

TRIM Check:
hdparm -I /dev/sda | grep -i trim
dd if=/dev/urandom of=/testfile count=100 bs=512k oflag=direct
hdparm --fibmap /testfile
-> begin_LBA 12345678
hdparm --read-sector 12345678 /dev/sda
rm -I /testfile
sync
hdparm --read-sector 12345678 /dev/sda
-> 0000 0000 0000 0000 0000 0000 0000 0000

Das ist die Kurzfassung. Ausführlich ist es hier auch im Forum beschrieben.

Welchen Sinn macht denn eine Vollverschlüsselung? Die (i.d.R.) freie Software verschlüsseln? Wozu?

Na ich meine mit der Vollverschlüsselung bist du auf der sicheren Seite und hast alles bis auf /boot verschlüsselt. Ansonsten müsstest du halt wirklich dafür sorgen, dass alles was dir Wichtig erscheint auch tatsächlich verschlüsselt wird. Inklusive der Verzeichnisse für temporäre Dateien, Druckjobs, oder der Swap. Auch unter /var/log/ lässt sich ja einiges herauslesen.

 

[jaro]

Und welche CPU? Ich glaube beim R400 sieht es schlecht aus. Ohne AES New Instructions kannst du eine Software Verschlüsselung auf SSD total vergessen. Prüfen kannst du hier: http://ark.intel.com.

Es ist vom Vorbesitzer ein T9600 Core 2 Duo mit 2,8 Ghz nachgerüstet worden. Aber wenn ich das richtig gesehen habe, dann gibt's das im Notebookbereich eh erst ab den i7-Modellen, oder?

Ich werde es einfach mal ausprobieren und wenn es mir dann zu langsam ist, dann kann ich mir immer noch weiter schauen... werde wohl erst Mitte nächster Woche dazu kommen, aber dann hier wieder berichten.

 

[kalibari]

Also bei Intel haben das die i5 (teilweise) und die i7. Der T9600 ist ja an sich nicht gerade schwach auf der Brust - wenn du Teil-verschlüsselst und noch so viel wie möglich in den RAM legst, könnte das sogar noch gut funktionieren. Viel Erfolg

 

[jaro]

Ich melde mich hier mal wieder zu Wort. Eigentlich wollte mich ich heute an die Installation machen und das System so aufsetzen, wie von linrunner skizziert.

Nun bin ich ueber die Wiki-Artikel bei ubuntuusers.de zu den SSDs gestossen. Gerade der sich noch in Arbeit befindende Aritkel zur Verschluesselung und die dazugehoerige Diskussion haben mich noch mal ins Schwanken gebracht. Ich frage mich nun, ob es nicht doch eine zufriedenstellende Moeglichkeit gibt nur die Daten auf der HDD zu verschluesseln.

Wenn es keine optimale Loesung gibt (was mir so schein): Welche relevanten Daten wuerde ich denn dadurch Preis geben?

 

[jaro]

Nach viel Lektüre ist das nun meine Idee:

Auf der SSD:

• /boot 250 MB
• / 12 GB
• /home 18 GB (Einstellungen der Programme, Profile)

Auf der HDD (verschlüsselt):

• /home (große Datenmengen) 250 GB

Zudem eine Auslagerung von /tmp, /var/lock und /var/run (eventuell /var/log?) in den RAM wie hier beschrieben.
Auf eine swap-Partition verzichte ich (habe 4 GB RAM)

Haltet ihr das für eine sinnvolle Idee (auch bezüglich der Größenaufteilung)? Gibt es in /var noch weitere Unterverzeichnisse, die sicherheitsrelevante Informationen enthalten? Kann man die in den RAM ausgelagerten Informationen theoretisch auch irgendwie auslesen?

Ich bin für jede Anregung/Anmerkung dankbar...

 

[linrunner]

Hier hakt es in deinem Konzept:

Auf der SSD: /home (Einstellungen der Programme, Profile)

Das genau sind private Daten, z.B. das Browserprofil. Wenn schon, dann muß das mit auf die verschlüsselte HDD, dann wird aber die Performance etwas schlechter.

Was /var/log (oder weitere Unterverzeichnisse von /var) anbetrifft: laß es bitte. Ich hätte wohl die Warnung noch sehr viel drastischer formulieren sollen (hatte den Abschnitt dort überarbeitet, vorher war es völlig untragbar).

Ich persönlich halte die Argumentation in SSD/Verschlüsselung für nicht stichhaltig (siehe auch meinen Diskussionsbeitrag). Fakt ist nur, daß kein automatisches TRIM möglich ist. Meine vollverschlüsselte Intel X25-M im X200 zeigt trotzdem auch nach einem Jahr Betrieb keinen Verschleiß. Relevante Smart-Werte (Ausgabe von tlp-stat):

            9 Power_On_Hours            =     1975 [h]
          225 Host_Writes_32MiB         =    1.320 [TB]
          232 Available_Reservd_Space   =       99 [%]
          233 Media_Wearout_Indicator   =       99 [%]

Kann natürlich sein, daß ich sie nicht genug quäle ...

 

[jaro]

Vielen Dank für deine Antwort.

Hier hakt es in deinem Konzept:
Das genau sind private Daten, z.B. das Browserprofil. Wenn schon, dann muß das mit auf die verschlüsselte HDD, dann wird aber die Performance etwas schlechter.

Hmm... das habe ich in der Tat nicht bedacht. Wenn ich es auf der SDD verschlüsseln würde, dann würde die Performance zwar auch schlechter, aber wohl nicht so viel wie auf der HDD, oder? Zudem müsste ich ja /var auch noch verschlüsseln, da sonst der Rest ja im Grund hinfällig ist...

Ich persönlich halte die Argumentation in SSD/Verschlüsselung für nicht stichhaltig (siehe auch meinen Diskussionsbeitrag). Fakt ist nur, daß kein automatisches TRIM möglich ist. Meine vollverschlüsselte Intel X25-M im X200 zeigt trotzdem auch nach einem Jahr Betrieb keinen Verschleiß. Relevante Smart-Werte (Ausgabe von tlp-stat):

            9 Power_On_Hours            =     1975 [h]
          225 Host_Writes_32MiB         =    1.320 [TB]
          232 Available_Reservd_Space   =       99 [%]
          233 Media_Wearout_Indicator   =       99 [%]

Kann natürlich sein, daß ich sie nicht genug quäle ...

Das spricht also dann doch wieder für eine Vollverschlüsselung... ein Punkt, der mir dabei noch besonders wichtig ist: Durch Vollverschlüsselung wird ja auch die CPU stärker belastet (mehr als bei der Teilverschlüsselung, oder?), was sich dann wieder in höheren Temperaturen = lauterem Lüfter bemerkbar macht. Dies würde ich gerne so gering wie möglich halten. Gibt es Anhaltspunkte mit welcher Größenordnung ich hier rechnen muss?

 

[linrunner]

Solange Du nicht ununterbrochen riesige Dateien schreibst/liest wird sich das wohl kaum bemerkbar machen. Das R400 ist doch ohnehin eines der leisesten ThinkPads überhaupt. Ich merke auf meinem X200 gar nichts.

ps. natürlich kostet Verschlüsselung etwas Ressourcen, aber entweder Du brauchst eine Verschlüsselung oder Du brauchst Sie nicht ...