Eure Empfehlungen zu Truecyrpt

[erdilein]

Guten Abend!

Da ich derzeit mit dem Gedanken spiele mir ein Notebook zuzulegen und diese leider immer der Gefahr unterliegen verloren zugehen oder gar geklaut zu werden, mache ich mir Gedanken, wie ich persönliche Daten wie Emails, Fotos, Papierkram etc. am besten vor Dritten schützen kann.
Ich bin relativ schnell auf Truecrypt gestoßen, ich denke damit kann ich gut glücklich werden. Allerdings würde ich ungern auf gut Glück oder strikt einem Tutorial folgend einen Container erstellen, schließlich mache ich diesen Schritt ja, damit meine Daten wirklich sicher sind, da wollte ich vorher noch einige Fragen geklärt haben.

Möchte ich einen Container in Truecrypt erstellen, muss ich eine Datei als "Bauernopfer" zum fressen für Truecrypt geben, korrekt?
Tarnt ihr diese Datei, ist dies bei einem mehrere GB großen Container überhaupt sinnvoll und gibt es hierzu noch etwas zu wissen?
Wie sicher ist ein solcher Container wirklich? Wie stark hängt die Sicherheit vom Passwort ab, dass nicht 123 verwendet wird ist klar, aber steigert das Mixen von Buchstaben, Zahlen und Zeichen die Sicherheit oder reicht ein mehrere Zeichen langes Wort?
Ein Freund hat mir erzählt, man kann auch einen Container in einem Container erstellen, der, sagen wir Dieb, knackt den ersten Container oder weiß das Passwort, sieht sich aber nur einem bunten unwichtigen Dateiengemisch gegenüber, von denen wiederum eine ein Container ist.... habt ihr hiermit Erfahrungen, funktioniert das?
Ich würde gerne einen "aktuellen" kleinen Container auf meiner Festplatte haben und einen auf der externen Festplatte auf der alle anderen Daten und die Backups liegen, wenn ich nun Datein aus dem Container auf der Externen starte, beispielweise eine mehrere hundert MB große PDF Datei, kann ich dann gut mit ihr arbeiten oder geht mein System durch das Decodieren komplett in die Knie?
Gäbe es einen Grund warum ich die komplette Festplatte verschlüsseln soll oder ist ein Container ein ebenbürtiger Sicherheitsbegleiter?

Vielen Dank für eure Hilfe

 

[DoubleJ]

Alle Algorithmen und Hash-Funktionen, die Truecrypt verwendet, sind derzeit nicht kompromittiert, das heißt die Sicherheit hängt nur vom Passwort ab. Je länger, desto besser, am besten kein Wort sondern ein Satz mit vielen Sonderzeichen und Zahlen.

Das mit dem Hidden-Container hat nichts damit zu tun, dass das Knacken dann länger dauert, es hat etwas mit "glaubhaften Abstreiten" zu tun.

 

[Spezies_8472]

truecrypt hat einen benchmark test drin, zu finden unter extras.
solltest dir also den schnellsten algorithmus raussuchen, twofish oder aes, merklich langsamer wird das system dadurch nicht.

 

[erdilein]

Alle Algorithmen und Hash-Funktionen, die Truecrypt verwendet, sind derzeit nicht kompromittiert, das heißt die Sicherheit hängt nur vom Passwort ab. Je länger, desto besser, am besten kein Wort sondern ein Satz mit vielen Sonderzeichen und Zahlen.

Das mit dem Hidden-Container hat nichts damit zu tun, dass das Knacken dann länger dauert, es hat etwas mit "glaubhaften Abstreiten" zu tun.

Nicht kompromittiert heißt wohl soetwas wie "noch nicht geknackt"?
Ab wie vielen Zeichen man wohl von einem "Satz" sprechen kann?
In wiefern "glaubhaftes Abstreiten"?

truecrypt hat einen benchmark test drin, zu finden unter extras.
solltest dir also den schnellsten algorithmus raussuchen, twofish oder aes, merklich langsamer wird das system dadurch nicht.

Das werde ich mir mal anschaun, ich glaube mein Freund meinte er nutzt alle Algorithmen übereinander, ist das überhaupt notwenig wenn sie alle noch nicht geknackt wurden?

 

[Frankenheimer]

Allerdings würde ich ungern auf gut Glück oder strikt einem Tutorial folgend einen Container erstellen

wieso? die dokumentation von truecrypt ist für softwareverhältnisse "erstklassig"

Gäbe es einen Grund warum ich die komplette Festplatte verschlüsseln soll oder ist ein Container ein ebenbürtiger Sicherheitsbegleiter?

zur "sicheren" datenablage ist ein container schon völlig ok. alles andere ist mehr oder weniger theoretisches gequassel. natürlich wird beim öffnen einer datei auch irgendwo vom betriebssystem was ausgelagert. meist im flüchtigen ram, mal in temp bzw. swap. da aber letztere unweigerlich ständig neu bespielt werden mit anderen daten tendiert die gefahr dass dritte daraus einen nutzen ziehen können gegen null.

bezüglich deiner anderen fragen bezüglich hidden volumes kann ich dir nur nochmals die doku empfehlen. dort steht im grunde alles wichtige zur funktionsweise drin. nimm dir zeit und les es dir durch.

 

[erdilein]

wieso? die dokumentation von truecrypt ist für softwareverhältnisse "erstklassig"


zur "sicheren" datenablage ist ein container schon völlig ok. alles andere ist mehr oder weniger theoretisches gequassel. natürlich wird beim öffnen einer datei auch irgendwo vom betriebssystem was ausgelagert. meist im flüchtigen ram, mal in temp bzw. swap. da aber letztere unweigerlich ständig neu bespielt werden mit anderen daten tendiert die gefahr dass dritte daraus einen nutzen ziehen können gegen null.

bezüglich deiner anderen fragen bezüglich hidden volumes kann ich dir nur nochmals die doku empfehlen. dort steht im grunde alles wichtige zur funktionsweise drin. nimm dir zeit und les es dir durch.

Wenn die Dokumentation von Truecrypt sehr gut ist, dann beruhigt mich das natürlich zusätzlich, da man da aber leider nicht immer von ausgehen kann, wollte ich hier erst vorsichtshalber einmal nachgefragt haben, aber danke für diese nervenschondene Gewissheit.
Nochmals hätte ich gerne eine Erklärung zum "glaubhaften Abstreiten", ich kann mir hierauf keinen Reim machen?
Sind die kombinierten Algorithmen auf jedem System verhältnismäßig gleich schnell/langsam, oder gibt es dort Unterschiede? Wenn nicht, welches Duo bietet wohl den besten Kompromiss aus Verschlüsslung und Leistung?

 

[Spezies_8472]

wie schon geschrieben, ein algorithmus reicht völlig aus, du mußt nicht zwei bzw. drei kombinieren, ist meiner meinung nach unnötig und zieht nur die leistung runter.

 

[Frankenheimer]

Nochmals hätte ich gerne eine Erklärung zum "glaubhaften Abstreiten", ich kann mir hierauf keinen Reim machen?

in einigen ländern kannst du rechtlich gezwungen werden das pw rauszugeben. in so einem fall würdest du das pw für den "public" container angeben der den inhalt des hidden containers mit dem eigentlich schützenswerten inhalt verbirgt. kannste bedenkenlos machen, kostet keine performance sondern nur 2min mehr beim einrichten. aber auch das ist dokumentiert

 

[Interlink]

Die eigentliche Verschlüsselung von TrueCrypt ist sehr sicher. Man sollte aber in regelmäßigen Abständen überprüfen, ob man sich nicht per Hard- und Software, das eigene Verhalten sowie das Fortschreiten der technischen Möglichkeiten scheunentorgroße Sicherheitslücken einhandelt.

Es reicht aber nicht aus, die aktuell hochwertige Verschlüsselungssoftware zu installieren, sondern man sollte die Dokumentation sorgfältig lesen und nachhaken, wenn man etwas nicht versteht. Zu einem möglichst sicheren System gehört u.a., dass eine Windows-Auslagerungsdatei beim Herunterfahren des Systems sicher gelöscht wird. Was auf truecrypt.org ebenfalls erwähnt wird.

 

[El_Don_Dan]

Wer hat den bei den RAM Preisen überhaupt noch eine Auslagerungsdatei? :P

 

[erdilein]

Die eigentliche Verschlüsselung von TrueCrypt ist sehr sicher. Man sollte aber in regelmäßigen Abständen überprüfen, ob man sich nicht per Hard- und Software, das eigene Verhalten sowie das Fortschreiten der technischen Möglichkeiten scheunentorgroße Sicherheitslücken einhandelt.

Es reicht aber nicht aus, die aktuell hochwertige Verschlüsselungssoftware zu installieren, sondern man sollte die Dokumentation sorgfältig lesen und nachhaken, wenn man etwas nicht versteht. Zu einem möglichst sicheren System gehört u.a., dass eine Windows-Auslagerungsdatei beim Herunterfahren des Systems sicher gelöscht wird. Was auf truecrypt.org ebenfalls erwähnt wird.

Wer hat den bei den RAM Preisen überhaupt noch eine Auslagerungsdatei? :P

Danke für den Hinweis und was den RAM angeht, ich weiß noch wie es früher auf LANs immer hieß: Du hast ein Gig RAM, hoste mal den Server bitte
Heute werde ich für das Gig ja fast nur noch müde belächelt, aber spätestens in dem Lappi kommen dann zwei, wenn nicht vier GB

 

[erdilein]

Ich habe jetzt mal einen "normalen" Container erstellt, danach TC geschlossen und beim nächsten öffnen wurde sofort im Explorer eine neue "Festplatte", in meinem Fall F:, angezeigt. Alles schön und gut, ich geh also in TC und möchte eben auf den Container zugreifen, komischerweise kann ich diesen allerdings nicht als F: mounten, sondern muss meine Container"datei" auswählen und sie als G: mounten, beende ich TC ist G: wieder verschwunden und nur F: bleibt bestehen, woran liegt das, ist das normal und kann ich das evtl. ändern so dass es bei F: verbleibt?

 

[Frankenheimer]

also wenn ich dich richtig verstehe, dann ist f: neben c: und d: einer deiner ganz normalen partitionen auf deiner festplatte. da ist es völlig normal dass du einen zusätzlichen laufwerksbuchstaben benötigst. du musst dir einfach das prinzip vergegenwärtigen. dein truecrypt fungiert im grunde wie ein weiteres virtuelles laufwerk. und dieses laufwerk braucht halt ein laufwerksbuchstabe. bei container gilt: benötigte laufwerksbuchstaben = gesamtheit aller vorhandenen laufwerksbuchstaben aus logischen partitionen + anzahl gemounteter container.

wenn du das nicht möchtest, dann müsstest du schon die gesamte partition verschlüsseln, wovon ich aber "als anfänger" abraten würde. container sind halt meiner meinung nach komfortabler zu verwalten , eben wie große dateien.

 

[R1cI-I]

Hey Leute, gehört das nicht ins Anwendungsforum?

 

[Taderaz]

Truecrypt unterstützt in der neuen Version auch das Verschlüsseln der Boot Platte.
Auch sehr gut finde ich z.b. ein externes LW Komplet zu verschlüsseln. Dies erscheint dann als nagelneue Festplatte; sprich für den Unwissenden als nicht partitioniert/unformatiert. Vorsicht ist hier dann allerdings bei den Windows Festplattenverwalungstools angesagt. Ein Initialisieren der Platte ist tödlich für den Datenbestand (man kann dem entgegenwirken, steht ebenfalls in der Doku).

 

[Meganeger]

Das komplette verschlüsseln der Systemplatte von TrueCrypt finde ich sehr schön. Habe so selber mein Laptop verschlüsselt und bin total zufrieden.
Bei jedem Start musst du ein Passwort eingeben, erst danach bootet er. Dies geht allerdings erst mit einer Festplatte. Wenn man also mehr als eine Festplatte verschlüssln möchte, dann muss man die Boot-Partition und alle anderen Partitionen einzeln verschlüsseln.

Ist das System einmal gestartet merkt man nichts von der Verschlüsselung. Nur der Systemstart ansich dauert etwas länger als normal. Damit konnte ich persönlich aber leben.

 

[Frankenheimer]

mir persönlich fehlt da noch etwas die praxis bzw. langzeiterfahrung bei der vollverschlüsselung.

 

[Taderaz]

Nunja auch bei einer voll verschlüsselten Platte sollte man natürlich das Backup nicht vernachlässigen
Andernfalls reicht es auch wenn der Laptop mal etwas unsanft herabfällt usw.

Oder dachtest du da mehr an die Sicherheit der Daten?

Interessant in dem Zusammenhang evtl. auch noch; da hier öfter mal vom RAM die Rede war: http://www.heise.de/newsticker/meldung/104011 , http://www.heise.de/tr/Eine-lange-Liste-falscher-Annahmen--/artikel/103989

 

[REANiMATED]

Um dir mal bissl die Angst zu nehmen: eigentlich ist es ziemlich egal mit welchem Algo du verschlüsselst solange dein Passwort nicht Passwort, Kennwort, Gott oder auf der Unterseite deines Laptops klebt.
Wenn dir ein x-beliebiger den Laptop klaut wird er 100% keine Möglichkeit haben dein vll. 30-stelliges cryptisches Passwort ala aeß0f9wfß09sdf zu knacken
Nimm den schnellsten TC Algo, verschlüssele alles mit einem 15-30 langen Passwort mit paar Sonderzeichen und du weisst deine Daten in Sicherheit sollte dir wer dein Laptop klauen

 

[Frankenheimer]

meine sorge geht nicht in richtung sicherheit der daten im sinne vor unberichtigtem zugriff sondern die stabilität des full encrypteten systems. ob es da z.b. fehler beim kopieren oder sowas ging. halt so dinge die sich erst nach einigen monaten betrieb ergeben. die neue version ist ja grad mal draussen. wenn plötzlich nach 3 monaten 50% der leute verluste oder sowas hätten wäre das mehr als ärgerlich.

 

[Zak_]

Das komplette verschlüsseln der Systemplatte von TrueCrypt finde ich sehr schön. Habe so selber mein Laptop verschlüsselt und bin total zufrieden.
Bei jedem Start musst du ein Passwort eingeben, erst danach bootet er. Dies geht allerdings erst mit einer Festplatte. Wenn man also mehr als eine Festplatte verschlüssln möchte, dann muss man die Boot-Partition und alle anderen Partitionen einzeln verschlüsseln.

Ist das System einmal gestartet merkt man nichts von der Verschlüsselung. Nur der Systemstart ansich dauert etwas länger als normal. Damit konnte ich persönlich aber leben.

Hat eigentlich jemand von euch mal versucht für die weiteren HDDs ein PW File zu erstellen und dieses dann auf C zu lagern? Denn dann müsste man ja nur einmal beim Booten das pw eingeben und den rest machen die files die dann auf C liegen

 

[Spezies_8472]

Ich habe jetzt mal einen "normalen" Container erstellt, danach TC geschlossen und beim nächsten öffnen wurde sofort im Explorer eine neue "Festplatte", in meinem Fall F:, angezeigt. Alles schön und gut, ich geh also in TC und möchte eben auf den Container zugreifen, komischerweise kann ich diesen allerdings nicht als F: mounten, sondern muss meine Container"datei" auswählen und sie als G: mounten, beende ich TC ist G: wieder verschwunden und nur F: bleibt bestehen, woran liegt das, ist das normal und kann ich das evtl. ändern so dass es bei F: verbleibt?

truecrypt in version 5.0 wie auch 5.0a sind teilweise noch sehr verbugt, wenn truecrypt z.b. einen verschlüsselten container oder partition mountet, kann es passieren, dass statt einem, zwei laufwerksbuchstaben vergeben werden. nach dem trennen wird ein laufwerk dismountet, das zweite laufwerk bleibt dann zurück, auf das man nicht mehr zugreifen kann. erst bei einem rechnerneustart, ist das laufwerk verschwunden, aber die problematik tritt dann beim erneuten mounten wieder auf.

dieses problem ist bekannt und soll wohl in der nächsten version behoben werden.

mit der verschlüsselung der boot-platte wäre ich auch sehr vorsichtig, eben weil es noch einige bugs gibt und einfach noch die langzeiterfahrung fehlt. man sollte für seine wichtigen daten unbedingt einen verschlüsselten container oder partition verwenden, wobei es hier größtenteils keine probleme gibt (volumen-header sichern und schlüsseldatei, wenn man damit arbeitet)
Hinzugefügter Post:

Hat eigentlich jemand von euch mal versucht für die weiteren HDDs ein PW File zu erstellen und dieses dann auf C zu lagern? Denn dann müsste man ja nur einmal beim Booten das pw eingeben und den rest machen die files die dann auf C liegen

und was machst du, wenn du auf die boot-platte nicht mehr zugreifen kannst, dann kommst du unter umständen auch nicht mehr an den rest deiner daten ran.

ich mache sowas mit einem usb-stick und selbst geschriebene scripte, um beim einstecken automatisch die verschlüsselten partitionen zu mounten.
unter anderem nutze ich dazu auch die freeware USB Drive Letter Manager

 

[Zak_]

und was machst du, wenn du auf die boot-platte nicht mehr zugreifen kannst, dann kommst du unter umständen auch nicht mehr an den rest deiner daten ran.

ich mache sowas mit einem usb-stick und selbst geschriebene scripte, um beim einstecken automatisch die verschlüsselten partitionen zu mounten.
unter anderem nutze ich dazu auch die freeware USB Drive Letter Manager

Ja das ist schon dumm wenn man dann nimmer auf die bootplatte kommt. Aber es geht doch das man es entweder mit pw oder file mountet und so kannste ja einfach das pw eingeben dann geht es trotzdem noch.

Mit USB Stick naja finde ich persönlich ned so musste halt den immer raus machen wenn du gehst oder am schlüssel oder was weiß ich wo haben. Aber wenn du diesen mal verlierst ist es auch richtig dumm dann kannste auf deine HDD auch nimmer zugreifen. Aber das ist immer wieder die sache was einem besser gefällt. Ich bin halt einer der lieber sich dann die zeit nimmt und das lange pw eingibt. So habe ich nur etwas im Kopf was ich nirgends verlieren kann.

 

[Frankenheimer]

und was machst du, wenn du auf die boot-platte nicht mehr zugreifen kannst, dann kommst du unter umständen auch nicht mehr an den rest deiner daten ran.

korrigiert mich wenn ich falsch liege, aber es ist doch wohl möglich eine kopie der key datei zu machen, oder? ich kann doch dann einfach eine cd-rw brennen mit den backups der volume header + 10mb container datei in der alle meine keyfiles liegen.

 

[Spezies_8472]

Ja das ist schon dumm wenn man dann nimmer auf die bootplatte kommt. Aber es geht doch das man es entweder mit pw oder file mountet und so kannste ja einfach das pw eingeben dann geht es trotzdem noch.

oh, da hab ich dich wohl falsch verstanden, ich bin von einer zusätzlichen schlüsseldatei ausgegangen, wenn du diese nicht mehr hast, nützt dir auch das passwort nichts.

Mit USB Stick naja finde ich persönlich ned so musste halt den immer raus machen wenn du gehst oder am schlüssel oder was weiß ich wo haben. Aber wenn du diesen mal verlierst ist es auch richtig dumm dann kannste auf deine HDD auch nimmer zugreifen. Aber das ist immer wieder die sache was einem besser gefällt. Ich bin halt einer der lieber sich dann die zeit nimmt und das lange pw eingibt. So habe ich nur etwas im Kopf was ich nirgends verlieren kann.

darum legt man sich von solchen daten immer eine kopie an und legt sie an einen sicheren ort, das sollte man auch unbedingt mit dem volumen-header machen
zudem entschlüssel ich meine partitionen nur dann, wenn ich sie brauche und nicht, wenn der rechner gestartet wird (z.b. auch externe platten).

 

[P2k1]

in einigen ländern kannst du rechtlich gezwungen werden das pw rauszugeben. in so einem fall würdest du das pw für den "public" container angeben der den inhalt des hidden containers mit dem eigentlich schützenswerten inhalt verbirgt. kannste bedenkenlos machen, kostet keine performance sondern nur 2min mehr beim einrichten. aber auch das ist dokumentiert

HeHe, selbst in Deutschland ist das möglich.

(Sichwort: Beugehaft)

mfg

 

[Zak_]

oh, da hab ich dich wohl falsch verstanden, ich bin von einer zusätzlichen schlüsseldatei ausgegangen, wenn du diese nicht mehr hast, nützt dir auch das passwort nichts.

darum legt man sich von solchen daten immer eine kopie an und legt sie an einen sicheren ort, das sollte man auch unbedingt mit dem volumen-header machen

ja man kann doch bei TC einstellen das man etweder mit nem file oder mit nem pw mountet also das beide methoden gehen. Oder liege ich da falsch? Denn ich habe es selber noch nie ausprobiert da ich immer nur mit pw gearbeitet habe.

edit: zu dem mit hidden container. Es ist aber auch extrem auffällig wenn du ein containerfile hast das 100 gig groß ist. Wenn dann dein "public" container aber nur 5 gig hat und die restlichen 95 gig in dem "privten" sind. Eigentlich dürfte dein Privater dann immer nur extrem klein sein das es nicht auf fällt

 

[Frankenheimer]

HeHe, selbst in Deutschland ist das möglich.

(Sichwort: Beugehaft)

mfg

was man vergessen hat bei der stress-situation kann man auch nicht mehr rausrücken aber ist ja unerheblich. ich würde grundsätzlich alles mit hidden volumes ausstatten. es benötigt praktisch nix mehr an platz und lediglich ein zweites passwort das man sich merken muss (und bei einem falschen kontainer auch gut kann)

 

[Spezies_8472]

ja man kann doch bei TC einstellen das man etweder mit nem file oder mit nem pw mountet also das beide methoden gehen. Oder liege ich da falsch? Denn ich habe es selber noch nie ausprobiert da ich immer nur mit pw gearbeitet habe.

da braucht man nichts einstellen, truecrypt arbeitet auch per command line.
Hinzugefügter Post:

was man vergessen hat bei der stress-situation kann man auch nicht mehr rausrücken aber ist ja unerheblich. ich würde grundsätzlich alles mit hidden volumes ausstatten. es benötigt praktisch nix mehr an platz und lediglich ein zweites passwort das man sich merken muss (und bei einem falschen kontainer auch gut kann)

zusätzlich als vorbereitung, kann man ohne dateisystem formatieren

 

[Zak_]

da braucht man nichts einstellen, truecrypt arbeitet auch per command line.

ok gut dann werde ich das mal ausprobieren mit nem file das ich dann auf c lege