Mithilfe eines TPM (Trusted Platform Module) lassen sich SSH-Keys verschlüsselt speichern und absichern. Für den Zugriff auf den TPM-Chip wird dabei die PKCS#11-Schnittstelle verwendet.
SSH-Keys mit TPM verschlüsselt speichern
Debian: Minimal-Installation - Grundsystem installieren
Leider stellt Canoncial für Ubuntu seit der Version 20.10 kein Netboot-Installationsimage (mini.iso) mehr bereit. Das betrifft auch dazugehörige Derivate, wie z.B. Xubuntu, welches ich jahrelang verwendet habe. Im Gegensatz zu Ubuntu wird für Debian aber immer noch eine mini.iso bereitgestellt. Wer also weiterhin ein minimales Grundsystem, z.B. mit Xfce, installieren möchte und für Alternativen offen ist, kann analog zur Minimal-Installation von Xubuntu, also auch Debian verwenden.
Arch Linux: Installation mit LVM, LUKS, AppArmor, systemd-boot und UEFI Secure Boot mit eigenen Keys
Vor Kurzem habe ich mein Notebook erfolgreich von Xubuntu auf Arch Linux umgestellt. Wie bei meiner bisherigen Xubuntu-Installation sollte Arch Linux natürlich mit Festplatten-Vollverschlüsselung (mittels LVM on LUKS) sowie aktiviertem AppArmor installiert werden. Außerdem wollte ich als zusätzliche Sicherheitsebene, Arch Linux mit aktiviertem UEFI Secure Boot in Verbindung mit eigenen Secure Boot Keys einrichten. In diesem Zusammenhang sollte zudem systemd-boot anstatt GRUB als Bootloader zum Einsatz kommen. Wie ich das Ganze umgesetzt habe, könnt ihr in diesem Beitrag lesen.
Arch Linux: Screenlocker XSecureLock einrichten
Auch wenn Xorg (X11) und Screenlocker in Sachen Sicherheit bekannterweise nicht wirklich zu überzeugen wissen, verwende ich natürlich trotzdem einen Screenlocker. Unter Arch Linux setze ich hier in Verbindung mit Xfce den Screenlocker XSecureLock ein.
Prinzipiell muss man nichts weiter machen, als das entsprechende Paket zu installieren und in seiner verwendeten Desktop-Umgebung ein entsprechendes Tastenkürzel zum Aufruf von XSecureLock einzurichten. Bei Bedarf lässt sich XSecureLock in Verbindung mit xss-lock auch so konfigurieren, dass der Bildschirm automatisch nach einer bestimmten Zeit abgedunkelt und gesperrt wird. Was ihr dazu machen müsst, erfahrt ihr in diesem Beitrag.
Arch Linux: libvirt mit AppArmor-Unterstützung installieren
Unter Xubuntu bin ich es gewöhnt, dass das libvirt-Paket direkt mit AppArmor-Unterstützung ausgeliefert und installiert wird. Leider ist das bei Arch Linux nicht der Fall. Da ich auf dieses zusätzliche "Sicherheitsnetz" bei der Ausführung meiner QEMU/ KVM-VMs nicht verzichten möchte, verwende ich nicht das von Arch Linux ausgelieferte libvirt-Paket, sondern kompiliere es mit AppArmor-Unterstützung selbst und installiere es dann manuell mit pacman.
Wie das Ganze genau funktioniert, beschreibe ich in diesem Beitrag.