export GPG_TTY=‘tty‘

Um die .bashrc neu einzulesen führt man nun

source ~/.bashrc

aus oder startet eine neue Konsole.

Wenn nun vim neu gestartet wird, werden Dateien mit der Endung .pgp, .gpg oder .asc automatisch verschlüsselt. Dabei wird keine viminfo oder Swapdatei angelegt.
Beim Anlegen einer Datei öffnet sich ein horizontaler Splitscreen, in den man die Empfänger schreiben kann. Sobald dieser geschlossen wird, wird die Liste der Empfänger übernommen. Beim Speichern wird die Datei nun für die angegebenen Empfänger verschlüsselt.
Öffnet man eine Datei, die man (oder jemand anderes) für sich verschlüsselt hat, so wird man nach dem Passwort seines GPG-Schlüssels gefragt. Danach wird die Datei geöffnet.

Man kann aber auch die symmetrische Verschlüsselung von GPG verwenden. Dafür fügt man der Datei ~/.vimrc folgende Zeile hinzu:

let g:GPGPreferSymmetric = 1

Wird nun eine Datei mit einer der oben genannten Endungen angelegt, wird man beim Speichern nach einem Passwort gefragt, um die Datei zu verschlüsseln. Öffnet man eine so gespeicherte Datei, wird man wiederrum nach dem Passwort gefragt. Bei jeder Speicherung muss dann jedoch das Passwort angegeben werden.

Die Vorteile sind

• Die Werkzeuge sind auf fast jedem System Verfügbar
• Die Werkzeuge sind im Allgmeinen sehr gut erprobt und enthalten quasi keine Bugs
• Alles kann mit der Konsole gemacht werden. Also auch wenn man keine graphische Oberfläche hat oder per ssh eingeloggt ist
• Vieles kann mittels Bash-Scripts automatisiert werden
• Die Backups können meistens auch unter schwierigen Umständen noch erstellt und eingespielt werden

Komplettes Festplatten-Image erstellen

Um ein Komplettes Image der Festplatte zu erstellen kann man tar benuzten. Dies ist bei so ziemlich jeder Linux-Distribution standardmäßig installiert.

Man bootet mit einer LiveCD oder Knoppix CD. Wenn man einen Root-Server hat, kann man das Rescue-System (so heißt es bei Hetzner, andere Provider sollten jedoch ähnliches anbieten) booten. Nun erstellen wir ein Verzeichnis und mounten darin die Festplatte, die gesichert werden soll. Hat man sein System auf mehrere Partitionen verteilt, kann man diese an die entsprechenden Stellen einbinden oder von jeder einzelnen ein Backup machen. Das folgende Beispiel zeigt, wie man die Partition /dev/sda1 sichert. Die Datei liegt hinterher im Wurzelverzeichnis der Partition als image.tar.gz.  (Alle Befehle mit root-Rechten ausführen):

mkdir /mnt/system
mount /dev/sda1 /mnt/system
cd /mnt/rescue
tar cvzpf image.tar.gz ./ --exclude=image.tar.gz

Diese Datei kann nun auf einen externen Datenträger, einen FTP-Server  oder eine andere Partition/Festplatte kopiert werden.

Ist auf /dev/sda1 nicht genug Platz, so kann man auch direkt auf eine andere Partition bzw. einen Wechelsdatenträger sichern. Im folgenden wird ein Backup von /dev/sda1 nach /dev/sda2 gemacht:

mkdir /mnt/system
mount /dev/sda1 /mnt/system
mkdir /mnt/backup
mount /dev/sda2 /mnt/backup
cd /mnt/backup
tar cvzpf image.tar.gz -C /mnt/system ./

Das Praktische an dieser Datei ist, dass man sie jederzeit wieder auf eine (neue) Festplatte aufspielen kann und das gesammte System wieder hergestellt ist (lediglich der Bootloader muss ggf. neu installiert werden). Dabei ist egal, ob der die Partition eine andere Größe hat (solange alles drauf passt) oder mit einem anderen Dateisystem formatiert ist.
Das Einspielen des Backups geht nun folgendermaßen: Wieder Booten mit LiveCD oder im Rescue-System und dann:

mkdir /mnt/system
mount /dev/sda1 /mnt/system
cd /mnt/system
cp /path/to/backup/image.tar.gz .
tar xvzpf image.tar.gz

Der Kopierbefehl muss entsprechend angepasst werden oder man entpackt direkt vom anderen Medium:

mkdir /mnt/system
mount /dev/sda1 /mnt/system
mkdir /mnt/backup
mount /dev/sda2 /mnt/backup
cd /mnt/backup
tar xvzpf image.tar.gz -C /mnt/system

Wi man Grub neu installiert ist auf dem Ubuntuusers Wiki im Artikel Grub sehr gut beschrieben. (Ich gehe mal davon aus, dass lilo kaum noch genutzt wird und wer es noch nutzt, wird wissen wie man es neu installiert)

Einzelne Verzeichnisse sichern

Möchte man nur bestimmte Verzeichnisse sichern, so kann man auch tar verwenden. Im Prinzip geht dies genauso, nur dass man nicht unbedingt neu zu booten braucht. (Die Pfade müssen dann entsprechend angepasst werden und es braucht nichts gemountet werden. Verzeichnisse brauchen auch nur einmal am Anfang erstellt werden.) Ein Backupscript mit tar gibt es im Ubuntuusers Wiki. Ein weiteres sehr gutes Script mit vielen weiteren Optionen und automatischem FTP-Upload ist Tartarus (Dies ist ein recht großes Bash Script, welches jedoch nur Standardwerkzeuge nutzt).
Möchte man MySQL Datenbanken sichern, so sollte man vorher einen Dump machen und diesen sichern, da sich die Datenbank sonst in einem inkonsistenten Zustand befinden kann.
Hier ein kleines Script, welches alle Datenbanken sichert:

#!/bin/bash
 
# Wohin sollen Datenbank Backups geschrieben werden?
DB_BACKUP_PATH=/pfad/zum/backup/verzeichnis
 
cd $DB_BACKUP_PATH
 
# Bereinigte Liste der Datenbanken erzeugen
#ersetze passwort mit dem root-Passwort der MySQL Datenbank
DBASELIST=`mktemp`
mysqlshow -ppasswort | awk '{print $2}' | grep -v Databases | sort > $DBASELIST
 
for x in `cat $DBASELIST`; do
    #echo "Datenbank: $x sichern";
    mysqldump --opt -ppasswort $x > $x.sql;
done;
 
# Alte .gz-Dateien loeschen
rm *.gz
 
# Dateien zippen
gzip *

Inkrementelles Backup mit rsync

Möchte man regelmäßig ein Backup von zu Hause ziehen, so ist rsync die beste Wahl. Denn es werden nur Dateien kopiert, die sich geändert haben.
rsync ist auch dann eine gute Wahl, wenn man die Möglichkeit hat auf einen Server mit ssh Zugriff zu sichern. Natürlich kann rsync aber auch in ein Verzeichnis sichern.
Eine ausführliche Erklärung zu rsync gibt es im Ubuntuusers Wiki (und natürlich in der manpage). Ein sehr gutes Backup-Script mit Erklärung wurde von Heinlein online gestellt.
Auch bei rsync-Backups ist bei Datenbanken darauf zu achten, dass vorher ein Dump erstellt und nur dieser gesichert wird.

Meine Backuplösung

Ich nutze Tartarus und rsync für die Backups.
Für Tartarus habe ich 3 Configurationen eingerichtet: eine für die Webaccounts, eine für die Datenbanken und eine für Konfigurationsdateien (/etc). Bei den Datenbanken wird obiges Script als Pre-Hook vor dem eigentlichen Backup durchgeführt um nur die Dumps zu sichern. Die Backups werden symmetrisch GPG verschlüsselt, da sie per FTP auf den Backupserver geladen werden, der von Hetzner zur Verfügung steht. Es wird einmal die Woche ein volles Backup und jeden Tag dazwischen ein inkrementelles Backup der Daten erstellt. Backups, die älter als eine Woche sind, werden automatisch gelöscht.
Mit rsync wird jeden Tag ein inkrementelles Backup zu mir nach Hause durchgeführt.

Doch auch bei Dekstop PC’s gibt es einige gute Gründe, Verschlüsselung einzusetzen:

Bekommen andere Leute (z.B. Mitbewohner einer WG) Zugriff auf die Hardware, so kann man leicht an sämtliche Daten der Festplatte(n) gelangen. Über entsprechende Bootparameter, eine Knoppix CD oder (falls beide Fälle unterbunden sind) letztendlich immer durch den Ausbau der Festplatte. (In einen anderen PC eingebaut bringen sämtliche anderen Sicherheitsvorkehrungen nichts.) Das einzige was die Daten dann noch schützt ist Verschlüsselung.

Sicheres Löschen von Daten auf der Festplatte ist nur durch Überschreiben der Daten möglich, denn normale Löschbefehle markieren die Datei nur als gelöscht im Dateisystem. Selbst dann kann man nie 100% sicher gehen, dass die Daten nicht wieder herstellbar sind. Durch Journals und aufgrund gewisser Eigenschaften von Festplatten (Sektoren können als defekt markiert werden undwerden somit auch beim Überschreiben nicht mehr berücksichtigt) können theoretisch Fragmente oder ganze Dateien wieder hergestellt werden. Verschlüsselung ist auch hier das sicherste Mittel. (Übrigens reicht nach einer Studie von Craig Wright, Dave Kleiman und Shyaam Sundhar einmaliges Überschreiben der Daten zum ziemlich sicheren Löschen. Siehe auch: Heise Security – Sicheres Löschen: Einmal überschreiben genügt)

Gerade bei Flashspeicher (USB-Sticks, Solid State Disks) ist das häufige Überschreiben nicht möglich, da sie aufgrund der begrenzten Wiederbeschreibbarkeit intern immer andere Blöcke beschreiben um alle Blöcke gleichmäßig zu nutzen (und das kann nicht vom Betriebssystem, Treibern oder sonstwie beeinflusst werden). Deswegen müsste man schon das komplette Gerät mit Zufallswerten überschreiben. Das würde sich natürlich negativ auf die Lebensdauer auswirken.

Daher rate ich jedem, zumindest seine Homepartition sowie sensible Daten auf Flashspeichern zu verschlüsseln (z.B. mit Jafe).

Unter Debian und Ubuntu (alternate CD) kann man bei der Installation bereits angeben, welche Partitionen verschlüsselt werden sollen (bei der Partitionierung die LVM-Verschlüsselungsoptionen auswählen).

Eine sehr schöne Anleitung um Partitionen (inklusive SWAP) auch nachträglich zu verschlüsseln findet man bei Ubuntuusers. Das ist auch bei spezielleren Wünschen eine gute Wahl.

Leider ist danach ein Suspend-to-Disk nicht mehr möglich, da der Schlüssel ja irgendwo im Klartext gespeichert sein muss. Dies ist der RAM. Nach einem Suspend-to-Disk ist der RAM jedoch leer und das System kann nicht mehr entschlüsselt werden. Abhilfe schafft eine Anleitung des CCC Köln. Hier wird der Schlüssel auf einen USB-Stick gespeichert, so dass nach einem Suspend-to-Disk der Schlüssel von dort genommen werden kann.

Bisher nutzte ich selbstgeschriebene Bash Scripte und wollte diese erweitern, doch dann stieß ich auf Tartarus.

Tartarus ist ein opensource Bash Script, welches komplette sowie inkrementelle Backups von beliebigen Ordnern machen kann. Auch LVM Snapshots sind möglich. Warum also Zeit in Scripten, Testen und Debuggen investieren (es soll ja auch zuverlässig sein), wenn es schon eine fertige und erprobte Lösung gibt…

Die Konfiguration lässt sich einfach über verschiedene Konfigurationsdateien steuern wodurch Änderungen schnell umgesetzt werden können.

Die Sicherung erfolgt wahlweise zu einem FTP-Server oder in ein Verzeichnis. Man kann jedoch noch andere Möglichkeiten nutzen indem man entsprechende Funktionen in den Konfigurationsdateien erstellt. In der Dokumentation ist ein Beispiel für ssh.

Die Verzeichnisse werden mit tar gepackt und wahlweise mit bzip2 oder gzip komprimiert. Zusätzlich kann noch mit GnuPG synchron oder asynchron verschlüsselt werden.Verzeichnisse, die nicht mit ins Backup sollen kann man über eine Liste ausschließen.

Die Verwendung von Standardbefehlen wie tar oder bzip finde ich sehr Vorteilhaft, da sie auf fast jedem (Linux) System verfügbar sind. Zur Übertragung per FTP wird curl genutzt.

Mit dem Zusatzscript charon kann man ältere Backups auch leicht wieder vom Backup-Server löschen. Dies kann man sogar als sogenannten “Hook” nach der Erstellung des neuen Backups automatisch ausführen lassen. Dabei löscht charon nur  Backups, die älter als eine vorgegebene Anzahl von Tagen sind.

Links:

• Tartarus Homepage: http://wertarbyte.de/tartarus.shtml
• Installations- und Konfigurationsanleitung im Hetzner Wiki: http://wiki.hetzner.de/index.php/Tartarus_Backup-Konfiguration

Es wird immer wieder darauf hin gewiesen, dass man möglichst JavaScript, Java, Flash,… abschalten sollte um die Sicherheit zu erhöhen. Gerade XSS Attacken werden in letzter Zeit immer häufiger. Doch leider benutzt mittlerweile fast jede Seite irgendwelche Scripte, so dass das grundsätzliche Ausschalten von Scripten nur für die wenigsten in Frage kommt.

Hier setzt NoScript an und platziert ein Icon in die Statusleiste. Gleichzeitig werden alle Scripte unterbunden. Nun kann man über das Icon ein Kontextmenü aufrufen um die aktuelle Domain (und alle Domains die Scripte auf der aktuellen Seite ausführen wollen) einer Whitelist hinzuzufügen oder sie temporär zu erlauben. Diese Aktion läd auch gleichzeitig die Seite neu, so dass die Scripte darauf gleich mit geladen werden. (z.B. XSS Attacken werden jedoch weiterhin geblockt)

Dadurch hat man die Sicherheit von deaktivierten Scripten, kann sie für einzelne Seiten jedoch schnell wieder anschalten. Natürlich wird das Surfvergnügen dadurch ein wenig beeinflusst, aber ich finde dass es einen guten Kompromiss zwischen Sicherheit und Nutzbarkeit darstellt. Gerade für Windows User halte ich dieses Plugin schon fast für Pflicht.

Auch Heise empfiehlt immer wieder, diese Erweiterung zu nutzen:

• Sicherheitseinstellungen von Firefox anpassen
• Kritische Schwachstelle im Flash Player wird aktiv ausgenutzt
• Passwortklau für Dummies
• Clickjacking: Jeder Klick im Browser kann der falsche sein
• QuickTime reißt Sicherheitsleck in Firefox auf

Das Plugin kann bei den Mozilla Adons herunter geladen werden.

Gringotts ist für Linux und beherrscht eine ganze Reihe von Verschlüsselungsalgorithmen. Daneben kann man auch die Hashfunktion auswählen sowie eine Kompressionsmethode. Während das Programm läuft werden die ganze Zeit über sicherheitsrelevante Systemfunktionen (bzw. -eigenschaften) überprüft wie zum Beispiel der Speicherschutz vor ptrace Überwachungen. Statt einem Passwort kann auch eine Datei angegeben werden.

In einer Gringotts Datei (mit der Endung .grg) können mehrere Textdateien angelegt werden und zusätzlich auch Dateien angehängt werden. Eine Suche ist auch integriert. Unter Tools gibt es noch ein wipe, mit dem man Dateien sicher löschen kann.

• Offizielle Gringotts Website: http://gringotts.berlios.de/
• Tipps zur Installation und Benutzung: http://wiki.ubuntuusers.de/Gringotts

.
Jave (Java Save) ist ein ähnliches Programm unter BSD Lizens. Jedoch in Java geschrieben und daher gerade für den USB-Stick sehr praktisch weil es plattformunabhängig ist (läuft also unter Linux, Mac und Windows).

Die Funktionen sind ähnlich wie bei Gringotts, man kann jedoch zusätzlich noch Verzeichnisse in den einzelnen Jave-Dateien anlegen und auch Accounts verwalten (dabei gibts jeweils ein Feld für URL, Username und Password). Leider kann Jave keine Datei als Password nutzen. Dafür kann man seine Notizen aber in einem Bild verstecken (Stichwort Steganographie). Auch beherrscht Jave nicht so viele verschiedene Verschlüsselungsalgorithmen (jedoch die wichtigsten: AES, Twofish, Serpent und Camellia) und man kann den Hashalgorithmus nicht auswählen.

Da Jave noch nicht auf Deutsch übersetzt wurde, habe ich das mal getan. Leider konnte ich den Autor nicht kontaktieren (ich bekomme immer einen Mail Delivery Fehler, weil seine Mailbox voll ist). Daher hier die deutsche Sprachdatei zum selber compilieren (für alle die es gern auf deutsch hätten).

Die original Website von Jave ist: http://www.nohaven.net/projects/java/jafe/index.html

Warum Verschlüsselung?
Die meisten werden sich jetzt als erstes fragen, warum sie den ihr ICQ verschlüsseln sollten. Die Meinung, man habe ja nichts zu verbergen und deswegen brauche man keine Verschlüsselung, ist sehr verbreitet. Doch wer möchte schon gerne alle seine Emails und ICQ Gespräche auf einer HP veröffentlicht sehen? Also doch lieber etwas Privatsphäre.

Ansonsten kann man sich auch mal die Nutzungsbestimmungen von ICQ durchlesen: (Auszug)

(Quelle: http://de.wikipedia.org/wiki/ICQ#Datenschutz_in_den_Nutzungsbedingungen )
Das bedeutet, dass die Leute von AOL (das ist die Firma, die ICQ betreibt) so ziemlich alles mit den über ICQ geschriebenen Ideen, Texten… machen dürfen was sie wollen.

Wie verschlüsselt man ICQ
Mit den Originalprogrammen von ICQ, MSN… kann man nicht verschlüsseln. Man braucht dafür einen alternativen Client.
Ich bevorzuge auf Pidgin, da es opensource ist und somit (unter anderem) kostenlos und frei.
Pidgin hat nebenbei auch den Vorteil, dass es viele verschiedene Protokolle beherscht. Das heißt man kann es für ICQ, MSN, AIM, YIM,… gleichzeitig verwenden und somit auch gleichzeitig alle diese Protokolle verschlüsseln. Ein weiterer Grund für Pidgin: es ist für alle großen Betriebssysteme verfügbar (Windows, Linux. Für Mac gibt es Adium, welches die gleichen Bibliotheken benutzt)

Die Verschlüsselung selber wird am besten mit OTR (Off The Record messaging) realisiert, welches neben Verschlüsselung auch andere praktische Eigenschaften besitzt. Siehe dazu auch: http://de.wikipedia.org/wiki/Off-the-Record_Messaging

Die Verschlüsselung funktioniert natürlich nur, wenn beide Gesprächspartner ein Programm benutzen, das OTR beherrscht. (Siehe auch: http://de.wikipedia.org/wiki/Off-the-Record_Messaging#Verf.C3.BCgbarkeit )

Im Prinzip ist die Verschlüsselung ziemlich einfach einzurichten. Da es schon viele gute Anleitungen dafür gibt, schreibe ich jetzt keine neue sondern verlinke einfach welche:

• http://freiheitblog.wordpress.com/2008/02/25/verschlusseltes-instant-messaging-teil-2-pidgin/ – Hier ist die Installation von Pidgin und das verschlüsseln von ICQ sehr genau und mit Bildern beschrieben. Ubuntuuser haben den Vorteil, dass Pidgin und das OTR-Plugin standardmäßig bereits installiert sind und können ab dem Teil anfangen, wo das Plugin aktiviert wird.
• http://www.entartete-kunst.com/icq-verschluesselung-mit-otr/ – Hier stehen noch weitere Gründe für die Verschlüsselung. Auch OTR ist dort nocheinmal anhand eines schönen Beispiels erklärt. Hier wird die Methode der Verifizierung (also Sicherstellung, dass man auch wirklich mit demjenigen spricht, für den er sich ausgibt) per Fingerprint im Abschnitt über Gaim behandelt (Pidgin hieß früher mal Gaim). Dies braucht man manchmal, weil nicht alle Messenger (wie z.B.  Adium) die Methode über ein Schlüsselwort beherrschen.
• http://www.project-porno.de/modules/mediawiki/index.php/OTR-Proxy-Trillian?page=12 – Eine Anleitung zur Einrichtung eines OTR-Proxys. Damit kann man Messenger, die kein OTR unterstützen wie z.B. Trillian Basic über einen (auf dem eigenen Computer installierten) Proxy laufen lassen, der die OTR Ver- und Entschlüsselung vornimmt. Beispielhaft ist es in der Anleitung für Trillian Basic beschrieben. Es sollte jedoch mit jedem Messenger funktionieren, bei dem man die entsprechenden Proxy Einstellungen vornehmen kann.
• http://miranda-im.de/mediawiki/index.php?title=Plugin:OTR – OTR-Artikel im deutschen Miranda-Wiki. Beschreibung und Downloadmöglichkeit
• http://www.cypherpunks.ca/otr/ – offizielle Seite von OTR. Dort kann man die OTR Quellen und das Pidgin-Plugin herunter laden.

Vielleicht überlegt sich ja doch der eine oder andere seine ICQ (MSN, Jabber, …) Gespräche zu verschlüsseln.

Pidgin: Plugins

Tipp:

Damit Pidgin nicht versucht, mit jedem Kontakt automatisch eine verschlüsselte Verbindung aufzubauen, hat sich für mich folgende Einstellung als praktisch erwiesen:

In den Einstellungen des OTR-Plugins (Werkzeuge -> Plugins) unter “Default OTR Settings” nur “Enable private messaging” aktivieren. Alle anderen Punkte deaktivieren.

Pidgin: Konfiguration des OTR-Plugins

Dann kann man bei jedem Kontakt, mit dem man verschlüsselt schreiben möchte mit der Rechten Maustaste auf den Kontakt (in der Userliste) klicken und “OTR Settings” auswählen.
Dort deaktiviert man das Kästchen “Use default OTR settings for this buddy” und aktiviert dafür “Enable private messaging”, “Automatically initiate private messaging” und wenn man verhindern möchte, das versehentlich unverschlüsselte Nachrichten gesendet werden können “Require private messaging”.

Pidgin: OTR-Settings eines Users

.

.

.

Ob man “Don’t log OTR conversations” aktiviert ist Geschmackssache und hängt davon ab, ob die verschlüsselt übertragenen Gespräche unverschlüsselt im Log gespeichert werden sollen (Wenn dieser Punkt aktiviert ist werden sie nicht gespeichert).

.
Trillian Verschlüsselung

Trillian beherscht auch eine eigene Verschlüsselung. Das sogenannte SecureIM.

SecureIM kann jedoch nur ICQ und AIM verschlüsseln (kein MSN).

Darüber hinaus gilt SecureIM als nutzlos in der Praxis.

Die Schlüssel können in wenigen Minuten berechnet werden und das Verfahren ist gegen Man-In-The-Middle Attacken anfällig (das heißt es kann sich jemand genau zwischen beide Kommunikationspartner einklinken und sich jeweils für den anderen ausgeben. Dadurch kann alles mitgehört und sogar verändert weitergegeben werden).

Außer für Trillian, gibt es nur noch für Miranda ein Plugin für SecureIM.

Siehe auch: http://de.wikipedia.org/wiki/SecureIM