[gelöst] Home verschlüsseln

Hallo!
Nach Installation (eigene root- und home-Parition) von openSUSE 11.4 LXDE 32 bit habe ich Tumbleweed eingerichtet - kein Problem.
Zur Zeit gibt es 2 Benutzer; ich wollte (zunächst) ein home-Verzeichnis über YaSt verschlüsseln:
YaSt Kontrollzentrum / Sicherheit und Benutzer /Benutzer und Gruppenverwaltung > Bearbeiten > Details:
Verschlüsseltes home-Verzeichnis verwenden -> Klick + okay.
Anscheinend (nach Neustart) ist nichts passiert, denn der andere Benutzer kann mein Verzeichnis öffnen.
Marlin

Über LUKS verschlüsselte Partitionen sind nach der Entschlüsselung immer für alle angemeldeten Nutzer einsehbar, das unixoide Rechtesystem wird davon nicht berührt. Wenn Du Daten vor dem Zugriff durch andere Nutzer schützen willst, solltest Du andere Verschlüsselungslösungen ausprobieren (z.B. EncFS, das arbeitet nutzerspezifisch, eignet sich allerdings nicht für komplette Partitionen) oder die Zugriffsrechte entsprechend konfigurieren.

Mit Ecryptfs kannst du dein Homeverzeichnis verschlüsseln. Wenn du dich anmeldest, wird das Verzeichnis entschlüsselt. Partitionen kannst du damit allerdings nicht verschlüsseln.

Hallo!
Danke für die schnelle Antwort; nach Lesen einiger Artikel:
1. EncFS sagt mir nicht zu
2. Mit "chmod" klappt es nicht
Also: es gibt 2 Benutzer mit verschiedenen Passwörtern, die beide das root-PW kennen; in /home ex. 2 Ordner, je ein Ordner für jeden Benutzer, sagen wir b und a.
Nach
läßt sich das LXTerminal nicht mehr öffnen und ich erhalte mit XTERM und "sudo su" root Rechte.
?

Edit:
Den 2. Beitrag sehe ich erst jetzt - werde ich prüfen;
trotzdem bleiben die obigen Probleme / Fragen.

Hi marlin,

wenn du zwei Benutzer hast, die - warum auch immer - das root-Passwort kennen, dann kannst du vor ihnen nur mit der Rechtevergabe nichts verbergen.
=> Gibt es wirklich gute Gründe, beiden Benutzern das root-PW zu geben? Was - konkret - muss der zweite User können, was du ihm per sudo nicht geben kannst? (Ich gehe davon aus, dass du der erste Benutzer bist.)

Leider sind kryptologische Anwendungen zum Massenspielzeug verkommen. Das birgt IMHO zwei Gefahren:
1.) Genau das, was bei dir passiert ist: Der Anwender des kryptologischen Verfahrens wähnt sich in einer nicht vorhandenen Sicherheit, und
2.) die "Sicherheit" ist so gut, dass der unvorsichtige User sich von seinen Daten komplett aussperrt. Bei einer Datenpanne bringt dir niemand deine Daten zurück!
Und solche Pannen passieren Anfängern oft und gern. Oder deutlich: du gehst immer ein zusätzliches Risiko ein.
Viele User wissen noch nicht einmal, dass eine gemountete verschlüsselte Partition bei vielen Verfahren eben "offen" ist. Diese Verschlüsselung bringt eben nur etwas, wenn dir jemand die Hardware entwendet (und sie im Falle eines betriebenen Servers dabei auch noch stromlos macht ... ).

Aber du willst ja nicht nur "Gemecker", sondern Lösungen.

1. Vorausgesetzt der zweite User muss nicht das root-PW kennen, dann kannst du das mit geschickter Rechtevergabe problemlos und ausreichend sicher lösen. Du kannst Gruppen mit dem Benutzername bilden und diesen dem jeweiligen und evtl. weiteren berechtigten Usern (für Leserechte) zuordnen und du kannst festlegen, dass neue Dateien gleich automatisch mit den Berechtigungen so angelegt werden, dass nur der Benutzer und seine Gruppe damit arbeiten können.
2. Und für wirklich sensible Daten hat jeder User die Möglichkeit, sich eigene Truecrypt-Container anzulegen. Ich bezweifele, dass wirklich alle Daten so sensibel sind, dass sie vor den anderen Nutzern auf der Kiste unbedingt mit kryptotogischen Verfahren versteckt werden müssen. Man kann das mit Truecrypt so geschickt machen, dass jeder Container ein eigenes Start-Icon hat.

MfG Peter

Hallo!
Dank an alle für die Vorschläge - ich muß nochmal alles überdenken.
Das Problem ist, daß dieser Computer "wandert"; es gibt 2 Gruppen von Nutzern (räumlich getrennt), und in jeder Gruppe sollte einer das root-PW kennen.

Ich muss meine Frage noch mal wiederholen: Muss es wirklich das root-PW sein?
Du kannst doch so viele Rechte auch anderweitig vergeben. Und muss wirklich etwas gemacht werden, was den "großen" root erfordert, dann gibt es auch noch ssh.

Ergänzung: Und vielleicht kannst du dich auch für die Truecryptlösung erwärmen.

Reicht vielleicht auch ein Crypto-Container?

Der könnte nur von dem gemountet werden, der das spezielle Passwort kennt.

Hmmmmmmmmmmm,
kann es sein, dass du damit das gleiche meinst, wie ich?
(Damit sind wir schon zwei mit der gleichen Meinung ;-))

Oh, könnte sein (kannte nur Truecrypt nicht, altes System :roll.

Hab' das bisher immer in etwa so gemacht. Als root:
Gruß

Hallo!
Problem gelöst.
Ich danke allen für die guten Voschläge -
werde den von /dev/null übernehmen.
Im Moment gibt es allerdings noch 2 dringende Probleme:
1. Skype, d.h. zunächst
http://www.linux-club.de/viewtopic.php?f=12&t=114256
2. Thunderbird
http://www.linux-club.de/viewtopic.php?f=5&t=114260
Ich werde openSUSE und das Forum linux-club.de jedem empfehlen.
Marlin

Edit: 2. URL eingefügt