LUKS-Verschlüsselung

Zusammenfassung: LUKS (Linux Unified Key Setup) ist der Standard für Festplattenverschlüsselung unter Linux. Der Raspberry PI5 verwendet zwei LUKS2-Container für Datenpartitionen. Quellen: chats/fstab und crypttab.md Zuletzt aktualisiert: 2026-06-16

Grundlagen

LUKS verschlüsselt ganze Blockgeräte (Partitionen). Auf dem Raspberry PI5 sind zwei LUKS-Container eingerichtet:

Physisches Device	LUKS-UUID	Mapper-Name	Mountpunkt
sdb3	`097bccad-...`	`encrypt_data`	`/mnt/data`
sdc3	`82550dc2-...`	`encrypt_sdc3`	`/media/piadmin/data`

Schichten-Modell

Physische Partition (/dev/sdb3, /dev/sdc3)
  └── crypto_LUKS (FSTYPE in lsblk)
       └── LUKS-Header (enthält verschlüsselte Key-Slots)
            └── Entschlüsseltes Device (/dev/mapper/encrypt_*)
                 └── Dateisystem (ext4)

LUKS2

Beide Container verwenden LUKS2 (FSVER = 2 in lsblk -f). LUKS2 ist die aktuelle Version mit:

Flexiblerem Header-Format
Besseren Reparatur-Optionen
Unterstützung für mehrere Verschlüsselungsalgorithmen

Schlüsselverwaltung

Ein LUKS-Container kann bis zu 32 Key-Slots haben. Jeder Slot enthält einen kopierten Schlüssel, der mit einer Passphrase oder einer Schlüsseldatei entsperrt werden kann.

Der Raspberry PI5 verwendet Schlüsseldateien statt Passphrasen:

Container	Schlüsseldatei
`encrypt_data`	`/mnt/usb_key/twotb.bin`
`encrypt_sdc3`	`/mnt/usb_key/onetb.bin`

Vorteil: Die Container können automatisch beim Boot geöffnet werden, ohne Passworteingabe.

Typische LUKS-Operationen

luksOpen: Container entschlüsseln → erzeugt Device unter /dev/mapper/
luksClose: Container schließen → entfernt /dev/mapper/-Device
luksAddKey: Neuen Schlüssel hinzufügen (für bis zu 32 Key-Slots)
luksRemoveKey: Schlüssel entfernen
luksDump: Header-Informationen anzeigen

Siehe cryptsetup für die genauen Befehle.

Wichtige Sicherheitshinweise

Schlüsseldateien physisch sichern – wer sie hat, kann die Container entschlüsseln.
Backup des LUKS-Headers – bei Header-Beschädigung sind die Daten unwiederbringlich verloren:
```
sudo cryptsetup luksHeaderBackup /dev/sdX3 --header-backup-file luks-header-backup.img
```
Schlüsseldatei-Berechtigungen: Nur root lesbar (chmod 0400).
nofail in fstab: Stellt sicher, dass der Boot auch ohne verfügbare LUKS-Container fortfährt.

2.9 KiB Raw Blame History Unescape Escape