Das USB Stick Problem

[Janiss]

Hallo,

ich suche nach einer Möglichkeit meinen Stick sicher zu machen.
Ich habe gerade erfahren, dass mein Stick immer nur softwareverschlüsselt wurde. Das reicht mir nicht.
Ich habe private Entwicklungsergebnisse gespeichert und möchte die unbedingt von Zugriffen schützen.
Dazu würde ich gerne einen neuen Stick anschaffen, der dann auch Hardwareverschlüsselung erlaubt.

Ich suche nach einem Hersteller, der von vorn herein diese Sicherheit bieten kann. Ich wollte das also nicht selber machen.
Hab hier schon einen gefunden. USB Stick Verschlüsseln
Ich würde mich freuen, wenn ihr mir darüber eine fachkundige beratende Meinung geben könntet.
Wie schätzt ihr die Sicherheit ein?

 

[dirk11]

Äh, what? Es sollte doch allgemein bekannt sein, das Software-Verschlüsselung sichererer ist. Jedenfalls so lange, wie man weder weiß, wie die Hardware-Verschlüsselung abläuft, und wie vertrauensvoll der Hersteller ist. Einfach mal googeln, die c't hatte da schon so einige Kandidaten unter den Fingern, bei denen die "Hardware-Verschlüsselung" mehr ein schlecher Witz war.

 

[Tzk]

(OpenSource)-Software Verschlüsselung ist das Sicherste, das du bekommen kannst. Da kann jeder nachvollziehen, ob es eine Backdoor gibt und diese ausmerzen.

Bei Hardwareverschlüsselung weisst du nie, ob es ein Hintertürchen gibt.
Grade in Zeiten von PRISM und der NSA wäre ich da sehr vorsichtig, vorallem bei Sticks von Firmen aus den USA / für den US amerikanischen Markt. Das schließt hardwareverschlüsselnde SSDs natürlich mit ein.

Übrigens: wenn deine Daten so hochsensibel sind, solltest du sie generell nicht auf einem PC lagern der Internetzugriff hat. Auch Microsoft gibt Daten weiter...

 

[Janiss]

Äh, what? Es sollte doch allgemein bekannt sein, das Software-Verschlüsselung sichererer ist. Jedenfalls so lange, wie man weder weiß, wie die Hardware-Verschlüsselung abläuft, und wie vertrauensvoll der Hersteller ist. Einfach mal googeln, die c't hatte da schon so einige Kandidaten unter den Fingern, bei denen die "Hardware-Verschlüsselung" mehr ein schlecher Witz war.

Okay, so habe ich das nicht gesehen. Gebe ja auch zu, dass ich davon kaum Ahnung habe. Es liegt also am Anbieter. Gut das werde ich mir dann genauer ansehen müssen.

(OpenSource)-Software Verschlüsselung ist das Sicherste, das du bekommen kannst. Da kann jeder nachvollziehen, ob es eine Backdoor gibt und diese ausmerzen.

Bei Hardwareverschlüsselung weisst du nie, ob es ein Hintertürchen gibt.
Grade in Zeiten von PRISM und der NSA wäre ich da sehr vorsichtig, vorallem bei Sticks von Firmen aus den USA / für den US amerikanischen Markt. Das schließt hardwareverschlüsselnde SSDs natürlich mit ein.

Übrigens: wenn deine Daten so hochsensibel sind, solltest du sie generell nicht auf einem PC lagern der Internetzugriff hat. Auch Microsoft gibt Daten weiter...

Okay also die Hardwareversclüsselung wurde ja mit 256 Bit AES angegeben. Ist das nicht schon ziemlich viel? Oder gibt es in der Umsetzung dann doch Unterschiede?
Das mit Open Source habe ich verstanden. Leuchtet auch ein. Also jetzt im Nachhinein natürlich.
Ich dachte nur, dass das ein Grund dafür sein kann, dass die Qualität der Software eben schlecht ist.
Welche Verschlüsselungssoftware würdet ihr mir denn empfehlen? Gibt es auch eine mit automatischer Backupfunktion?

Vielen Dank für eure Antworten.

 

[Autokiller677]

TrueCrypt ist sehr gut.

Und AES256 ist theoretisch unsicherer als AES128. Am sichersten ist eine kaskadierende Verschlüsselung, TrueCrypt bietet das z.B. AES-Twofisch-Serpent.

Da werden die Daten erst mit Serpent verschlüsselt, das dann nochmal mit Twofisch und das ganze wieder mit AES. Solang nicht die NSA ultrascharf auf deine Daten ist und sämtliche Rechenkapazität für dich mobilisiert, ist das bisher als unknackbar zu betrachten. Wenn es ganz hart sein soll, nimm einen versteckten Container, dann hast du auch noch plausibly deniability. Grundsätzlich solltest du dich in das Thema etwas einlesen, damit du auch etwas davon weißt was passiert. Am Ende löschst du sonst ausversehen einen Header, schreibst auf den Stick mit verstecktem Container und die Daten sind verloren.

 

[dirk11]

Da kann jeder nachvollziehen, ob es eine Backdoor gibt und diese ausmerzen.

Ein oft gebrachtes und genauso oft falsches Argument. Das kann nämlich nicht *jeder*. Ich jedenfalls bin kein Programmierer und auch kein Mathematiker. ABER - und das wäre die richtige Argumentation:
bei open source hat jeder (also auch diejenigen, die dazu in der Lage sind) die Möglichkeit, den Code zu überprüfen. Fehler - egal ob gewollt oder ungewollt - fallen damit naturgemäß schneller auf. Allein das ist schon ein Sicherheitsgewinn.

Zum Rest: Zustimmung!

 

[dirk11]

Gebe ja auch zu, dass ich davon kaum Ahnung habe.

Deshalb fragt man ja klugerweise in einem Forum

Es liegt also am Anbieter.

Indirekt. Es liegt mehr am Prinzip. Ein Anbieter, der seine Daten offenlegt (also Software-Code, welche Hardware genau verwendet wird uswusf.) bietet da für jeden mitdenkenden Menschen Vorteile, denn er könnte (wenn er will und kann) alles überprüfen. Beim von dir verlinkten Hersteller habe ich auf die Schnelle noch nicht einmal gefunden, welchen Hardware-AES-Chip er verwendet...

Das mit Open Source habe ich verstanden. Leuchtet auch ein. Also jetzt im Nachhinein natürlich.
Ich dachte nur, dass das ein Grund dafür sein kann, dass die Qualität der Software eben schlecht ist.

Äh? Gerade open source ist, was Qualität angeht, ein immenser Vorteil, eben weil jeder, der sich dazu in der Lage fühlt, die Software überprüfen und verbessern kann! Wenn überhaupt etwas an open source ein Problem darstellt, dann das es unentgeltlich ist und heutzutage eben wenige Menschen bereit sind, an so etwas teilzunehmen. Wirf Geld hinein, und du wirst mehr Leute bekommen, die den Code revisionieren.

Welche Verschlüsselungssoftware würdet ihr mir denn empfehlen?

Windoof? TrueCrypt. Auch dort ist es sehr schwierig, herauszufinden, wer die Programmierer sind (stand in einer der letzten c't ein guter Artikel zu), aber es ist eben open source und jeder kann - wenn er will - die Quelldaten sichten und prüfen.

Solang nicht die NSA ultrascharf auf deine Daten ist und sämtliche Rechenkapazität für dich mobilisiert, ist das bisher als unknackbar zu betrachten.

Auch mit NSA noch. Jedenfalls laut einschlägiger Meinungen.

Wenn es ganz hart sein soll, nimm einen versteckten Container, dann hast du auch noch plausibly deniability.

Das hält jemanden, der die Daten will, vielleicht fünf Minuten auf. Wenn überhaupt. Also wozu?

Am Ende löschst du sonst ausversehen einen Header, schreibst auf den Stick mit verstecktem Container und die Daten sind verloren.

Schönes Beispiel dafür, wie man sich mit unnötigem Tand selbst ins Knie fickt.

 

[Tzk]

@dirk11
Wir sind uns einig Mein "jeder" war exakt so gemeint wie von dir in Post #6 ausgeführt.

@Janiss
Prinzipiell können sowohl Soft- als auch Hardwareverschlüsselungen mangelhaft sein.
Bei Closed Source fällt das nur nicht so schnell auf, weils eben keiner überprüfen kann. Außerdem bleibt der Aspekt des Verschweigens.
Eine Firma kann trotz gravierender Mägel trotzdem weitermachen und so tun als ob nichts wäre. Bei Opensource Software ist das eher unwahrscheinlich, wenn es genug Leute gibt, die mitwirken und Fehler kommunizieren.

Generell würde ich eine Opensource Lösung (unabhängig ob Hard- oder Software) immer einer Firma vorziehen.

Okay also die Hardwareversclüsselung wurde ja mit 256 Bit AES angegeben. Ist das nicht schon ziemlich viel? Oder gibt es in der Umsetzung dann doch Unterschiede?

Klar ist das viel. Es nützt nur nix, wenn die Hardware zB eine Möglichkeit besitzt diese Verschlüsselung zu umgehen/auszuhebeln.
Das "Simpelste" wäre da ein kleiner Speicher in dem der Schlüssel für deine Daten im Klartext abgelegt ist. So einfach macht mans natürlich nicht.