# LUKS-Verschlüsselung

**Zusammenfassung**: LUKS (Linux Unified Key Setup) ist der Standard für Festplattenverschlüsselung unter Linux. Der Raspberry PI5 verwendet zwei LUKS2-Container für Datenpartitionen.
**Quellen**: `chats/fstab und crypttab.md`
**Zuletzt aktualisiert**: 2026-06-16

---

## Grundlagen

LUKS verschlüsselt **ganze Blockgeräte** (Partitionen). Auf dem Raspberry PI5 sind zwei LUKS-Container eingerichtet:

| Physisches Device | LUKS-UUID | Mapper-Name | Mountpunkt |
|---|---|---|---|
| sdb3 | `82550dc2-...` | `encrypt_sdc3` | `/media/piadmin/data` |
| sdc3 | `097bccad-...` | `encrypt_data` | `/mnt/data` |

### Schichten-Modell

```
Physische Partition (/dev/sdb3, /dev/sdc3)
  └── crypto_LUKS (FSTYPE in lsblk)
       └── LUKS-Header (enthält verschlüsselte Key-Slots)
            └── Entschlüsseltes Device (/dev/mapper/encrypt_*)
                 └── Dateisystem (ext4)
```

### LUKS2

Beide Container verwenden **LUKS2** (FSVER = 2 in `lsblk -f`). LUKS2 ist die aktuelle Version mit:
- Flexiblerem Header-Format
- Besseren Reparatur-Optionen
- Unterstützung für mehrere Verschlüsselungsalgorithmen

## Schlüsselverwaltung

Ein LUKS-Container kann **bis zu 32 Key-Slots** haben. Jeder Slot enthält einen kopierten Schlüssel, der mit einer Passphrase oder einer Schlüsseldatei entsperrt werden kann.

Der Raspberry PI5 verwendet **Schlüsseldateien** statt Passphrasen:

| Container | Schlüsseldatei |
|---|---|
| `encrypt_data` | `/mnt/usb_key/twotb.bin` |
| `encrypt_sdc3` | `/mnt/usb_key/onetb.bin` |

Vorteil: Die Container können **automatisch beim Boot** geöffnet werden, ohne Passworteingabe.

## Typische LUKS-Operationen

- **luksOpen**: Container entschlüsseln → erzeugt Device unter `/dev/mapper/`
- **luksClose**: Container schließen → entfernt `/dev/mapper/`-Device
- **luksAddKey**: Neuen Schlüssel hinzufügen (für bis zu 32 Key-Slots)
- **luksRemoveKey**: Schlüssel entfernen
- **luksDump**: Header-Informationen anzeigen

Siehe [cryptsetup](./etc/cryptsetup.md) für die genauen Befehle.

## Wichtige Sicherheitshinweise

1. **Schlüsseldateien** physisch sichern – wer sie hat, kann die Container entschlüsseln.
2. **Backup des LUKS-Headers** – bei Header-Beschädigung sind die Daten unwiederbringlich verloren:
   ```bash
   sudo cryptsetup luksHeaderBackup /dev/sdX3 --header-backup-file luks-header-backup.img
   ```
3. **Schlüsseldatei-Berechtigungen**: Nur root lesbar (`chmod 0400`).
4. **`nofail` in fstab**: Stellt sicher, dass der Boot auch ohne verfügbare LUKS-Container fortfährt.

## Verwandte Seiten

- [crypttab](./etc/crypttab.md) – Automatisches Öffnen beim Boot
- [fstab](./etc/fstab.md) – Mounten der entschlüsselten Container
- [cryptsetup](./etc/cryptsetup.md) – cryptsetup-Befehle im Detail
- [systemd-cryptsetup](./etc/systemd-cryptsetup.md) – Boot-Reihenfolge
- [persistente-blockgeraete](./persistente-blockgeraete.md) – UUID-Referenzierung