Frage zu LUKS-Festplatte und Zugriff darauf

Hallo, ich betreibe seit einiger Zeit einen Nextcloud-Server auf einem Rock 64 mit ubuntu minimal, seit kurzem habe ich die daran angeschlossene Datenfestplatte mit LUKS verschlüsselt, jedesmal nach einem Boot entschlüssele ich via ssh. Klappt alles ganz gut.
Nun habe ich aber Sicherheitsbedenken, Verschlüsselung hin oder her. Was ist nun, wenn mein Mitbewohner oder noch besser, die Herren vom Law Enforcement physischen Zugriff auf das System haben während es läuft und die Festplatte entschlüsselt ist. Gibt es eine Möglichkeit, an die Daten zu kommen, oder ist das sicher, auch wenn die Festplatte entschlüsselt eingebunden ist. Passwort ist verdammt stark, Berechtigungen auf der HDD: chown: root, chmod: 770

Vielen Dank für eure Infos jetzt schon im Vorhinein

Zitat

physischen Zugriff auf das System haben während es läuft und die Festplatte entschlüsselt ist

1. Physischer Zugriff während der Server läuft bedeutet immer Feuer am Dach. Wenn du deinen Mitbewohnern mißtraust mußt du den Server deren Zugriff entziehen. Je nach deinem Sicherheitsbedürfnis/Paranoia heißt das versperrbarerer Kasten, Tresor oder außerhalb.
2. Solange ein LUKS Device gemountet ist, solange ist es entschlüsselt. Dh. du müßtest einen unberechtigten Zugriff feststellen können (ZB Unbefugtes Betreten des Serverraumes, Öffnen einer Schranktür) und auf das hinauf unmounten bzw den Server besser überhaupt runterfahren.
3. Es reicht imho nicht, wenn nur die Datenfestplatte verschlüsselt ist. Du solltest die Systemplatte ebenfalls verschlüsseln. Das kannst du auch aus der Ferne entschlüsseln zB mit IPMI (hat Rock 64 afak nicht) oder einem ssh Server im Bootbereich (der dann allerdings wieder root Rechte hat..)

Auf der anderen Seite: Welche Angreifer erwartest du? Wenn irgendwer den Server stehlen/sichern will und in vom Strom trennt ist die Sache ereldigt. Kommt da aber jemand mit einem Akku und hängt den Server zum Mitnehmen dran bzw hackt sich vor Ort rein, dann schauts anders aus.

Es gibt Methoden um root zu hacken wenn physischer Zugriff möglich ist. Selbst dann, wenn die Systemplatte verschlüsselt ist, ḱann man zB mittels Neustart zB auf boot zugreifen und dort Malware droppen. Aber so weit ich das aus dem Post rauslese ist das System unverschlüsselt, dh. jeder der physischen Zugriff hat, kann das System rebooten, sich root Rechte verschaffen, einen eigenen User einrichten und.. und.. und..
Physische Zugriffsmöglichkeit bedeutet immer Gefahr. Oder checkst du deinen Rechner laufend ob er rebootet wurde, irgendein USB Device angesteckt und wieder abgezogen wurde, checkst du regelmäßig die Signatur deiner boot Partition usw.

Wie ich oben schon geschrieben habe, das hängt vom Sicherheitsbedürfnis/Paranoia ab.

Für die HW Verschlüsselung in der CPU gibt es übrigens auch backdoors, also wenn man auf ganz sicher geht dann nimmt man eine nicht HW beschleunigte, ich zweifle aber daran das in Österreich irgendeine Organisation zugriff darauf hat.

Ich verwende inzwischen bei allen drives die interne Verschlüsselung (OPAL 2.0), hat einfach sehr viel voreile (System/OS/BIOS/Controller unabhängig, Verschlüsselung von bereits beschriebenen platten, 0 Leistungsverlust und 100% transparent). Im shadow MBR ist ein syslinux mit dem die Platte entschlüsselt wird, nach der Passwort Eingabe erfolgt ein Reboot wo dann die platte 1-1 wie eine unverschlüsselte Festplatte zu Verfügung steht. Das ganze macht im Normalfall vor der OS Installation, funktioniert im laufen System aber genauso.

DMA würde ich in dem Fall als Gefahr sehen.
Malware und co nicht. Wenn du mit jemand in der WG lebst der dir mit malware den Server verpfuscht - el o El #fml

Zitat

Malware und co nicht. Wenn du mit jemand in der WG lebst der dir mit malware den Server verpfuscht

Zurück an den Start. Der Threadersteller hat explizit danach gefragt was passieren kann, wenn Mitbewohner Zugriff auf den Server haben. Auf Grund der startenden Diskussion hat sich dann diese Möglichkeit ergeben. Nur weil es ein Risiko geben kann, heißt es noch lange nicht, dass es dieses auch real gibt oder dass man etwas dagegen tun muss.