Frage(n) zu dm-crypt

[-hanky-]

Hi,

ich dachte mir heute ich probiere einfach mal dm_crypt aus, da es mir gegenüber loop-aes einige Vorteile bietet. Dazu habe ich mir diverse Tutorials angesehen und soweit auch alles am Laufen, allerdings ist mir die Benutzung noch etwas unklar.

Ich habe per



cryptsetup -y create crypt0 /dev/hda5


und anschließend



mount /dev/mapper/crypt0 /crypto


die Partition unter /crypto gemountet.

Anschließend habe ich das ganze wieder ausgehängt und per



cryptsetup remove crypt0


wieder entfernt.

Nun meine Frage:

Um erneut auf meine Daten zugreifen zu können, muss ich jedes Mal erneut



cryptsetup create crypt0
[...]
mount /dev/mapper/crypt0 /crypto


ausführen. Wenn ich nun ein anderes Passwort als das von mir zuerst vergebene wähle, versucht er die Partition einzubinden, allerdings findet er kein Dateisystem. Nur wenn ich mein korrektes Passwort beim Erstellen angebe, ist alles Bestens ( wie es auch sein sollte ;) ).

Ist das normal/so beabsichtigt? Oder mache ich da etwas falsch? Es stört mich eigentlich nicht, es kommt nur eben seltsam vor dass ich quasi jedes Mal erneut ein Device anlegen muss.

Dann hätte ich noch eine Frage zum verwendeten Algorithmus. Wenn ich richtig informiert bin, wird standardmäßig Rijndael AES genutzt, allerdings kann ich auch bspw. Serpent nutzen ( wenn ich beispielsweise dem Tutorial auf [1] Glauben schenke ). Gibt es hier Erfahrungswerte welchen Algorithmus man wählen sollte ( in Bezug auf Geschwindigkeit/Sicherheit ) oder eventuell sogar einen Vergleich? Per Google bin ich nicht fündig geworden.

-hanky-

[1] http://docs.linux.com/article.pl?sid=04/06/07/2036205&tid=72&tid=14&tid=35

[obzidian]

Ja du mußt die maps nach jedem Booten anlegen, automatisch erzeugt werden alle maps, die in /etc/crypttab abgelegt sind. (kann natürlich bei deiner Distri anders sein)

[-hanky-]

Ja du mußt die maps nach jedem Booten anlegen, automatisch erzeugt werden alle maps, die in /etc/crypttab abgelegt sind. (kann natürlich bei deiner Distri anders sein)

Hi,

die /etc/crypttab gibt es bei meiner Distribution nicht. Macht aber nix, ich hab mir ein kleines Bashskript zum Entschlüsseln geschrieben, welches wunderbar funktioniert.

Bis jetzt macht dm_crypt einen sehr guten Eindruck.

Leider hat es neben den Vorteilen ( deutlich einfachere Einrichtung und Administration gegenüber loop-aes, bei dem bekanntlich util-linux gepacht und bei jedem neuen Kernel das loop-Modul wieder neu gebaut werden muss ) auch Nachteile - subjektiv ist loop-aes flotter und nicht so CPU-lastig ( was auch objektiv belegt werden kann, siehe [1] ) , laut diversen Berichten ist es zudem sicherer.

Ich schwanke momentan noch was ich nehmen soll. Auf diesem PC hier habe ich beim Kopieren von Dateien einen Durchsatz von knapp 20-25 mb/s, was ok ist, allerdings mit extremer CPU-Last. Da es sich jedoch um einen Celeron 2400 handelt kann das durchaus normal sein - ich werde in Kürze auf dem flotten Haupt-PC mal dm_crypt antesten und dort vergleichen. Wenn die Unterschiede minimal sind werde ich wohl zu dm_crypt wechseln.

Unverschlüsselt habe ich mit der Platte hier übrigens einen Durchsatz von knapp 55 mb/s.

-hanky-

[1] http://deb.riseup.net/storage/encryption/benchmarks/dmcrypt-v-loopaes/

[cane]

Nettes Paper :)

Auf http://openvpn.net existiert auch ein Paper, das die Performance der verschiedenen, gängigen Algorithem vergleicht...

mfg
cane

[-hanky-]

So, hier mal ein kleines Fazit:

Auf dem Hauptrechner verwende ich nach wie vor loop-aes, da es schneller ist und wie bereits erwähnt weniger CPU-Last verursacht.

In Zahlen ausgedrückt:



root@hanky:/dev/mapper# hdparm -tT /dev/loop0

/dev/loop0:
Timing cached reads: 1456 MB in 2.00 seconds = 726.30 MB/sec
Timing buffered disk reads: 62 MB in 3.07 seconds = 20.17 MB/sec


( loop-aes )



root@hanky:/# hdparm -tT /dev/mapper/sicherung

/dev/mapper/sicherung:
Timing cached reads: 1460 MB in 2.00 seconds = 728.65 MB/sec
HDIO_DRIVE_CMD(null) (wait for flush complete) failed: Inappropriate ioctl for device
Timing buffered disk reads: 50 MB in 3.04 seconds = 16.46 MB/sec
HDIO_DRIVE_CMD(null) (wait for flush complete) failed: Inappropriate ioctl for device


( dm_crypt )

Nach mehreren Durchläufen pendelt sich der Schnitt bei 20 mb/s vs 17 mb/s ein.

Wobei die 3 mb/s in dieser Größenordnung für mich einen gewichtigen Unterschied machen.

dm_crypt bleibt trotzdem installiert, da in der letzten c't ein sehr netter Artikel war bezüglich dm_crypt und einer verschlüsselten Swap-Partition :D

-hanky-