Full System Encryption - Free CompuSec - TrueCrypt - Update 09.03.08

[stw500]

Das sehe ich auch so. Neben der Sicherheit der Daten - sowohl hinsichtlich des Entschlüsselns als auch des Überlebens der Daten - ist wohl die Performance entscheidend für die Qualität eines Programmes dieser Art und ob man ein solches überhaupt einsetzt.

Und anders als bei vielen anderen Programmen, die sich Multicore-fähig und so schimpfen, schafft es TC6.0 tatsächlich die einzelnen Kerne sinnvoll einzusetzen und so einen deutlichen Leistungsschub zu erzielen. Das ist doch jedenfalls erwähnenswert!

 

[Fairy Ultra]

bei CB gibts nen test:
http://www.computerbase.de/news/software/sicherheit/2008/juli/truecrypt_60_benchmark/

könnt auch benchmark ergebnisse posten und werdet in die liste aufgenommen

da guter Multicore support integriert ist sieht man auch schön wie gut die Phenoms sein können und in zukunft wird es immer mehr solcher programme geben^^

 

[stw500]

Ja, aber dieser Test - der übrigens schon 3 Posts darüber verlinkt wurde - besteht ja nur aus dem internen Benchmark soweit ich das verstehe. Interessant wird es ja, ob das in freier Wildbahn dann tatsächlich auch gehalten wird. Da wird es dann insbesondere interessant mit einem Raid 0 System, da dieses ja weitaus schneller ist und ohne weiteres reale 100MB/Sec und mehr erreicht werden könnten.

 

[pred2k]

Hat schon jemand einen Benchmark auf HDD's von der 6er Version im Vergleich zur 5er gesichtet? Würde mich mal interessieren.

 

[BessereHälfte]

Bei Sicherheitsosftware stehe ich erstmal auf Sicherheit, Gadric. Ich hoffe das verwundert nicht zu sehr.
Die Platten im desktop habe ich mit Compusec 4.24 verschlüsselt und wäre kein Preboot dabei hätte ich schon am zweiten Tag vergeßen, daß sie überhaupt verschlüsselt sind. Ich merk hier garnichts davon. Und die Kiste ist nicht gerade lahm

OHNE RAID ist wohl wirklich egal, ob nun 110MB/s oder 450MB/s. In normalen Tagesbetrieb machen erwähnenswerte lineare Zugriffe ungefähr 35% aus und der Rest sind "random", womit es alles andere als auf TC ankommt. Spätestens seit 5.1a nicht. Was solls also? Natürlich ist es ok, aber sich ohne RAID ins Hösschen zu machen, dazu gibt es wegen 6.0 wirklich keine Gründe.

Werden schnelle SSDs eine gewohnte Realität und Nehalems zum gewohnten Eisen gehören, dann wird der Speed von TC vielleicht wieder relevant. Momentan ist es das nicht (ohne RAID). Habt ihr hier echt alle RAIDs am laufen?

Auf dem kleinen DC Notebook zuckt der CPU-Graph nichtmal wirklich. Mit 5.1a nicht und mit 6.0 auch nicht. Alles ist relativ Das Toben wegen 450MB/s im realitätsfremden Benchmark kam mir halt bisschen unwürdig vor. Für mich ist TC ein Teil der Sicherheitsmechanismes des Systems und nicht der Stiefbruder von ebenfalls mehr als nutzlosem 3DMark.
Ich sag aber schon nichts mehr dazu. Peace Brüder. Spielt ihr mal

 

[stw500]

Also ich habe ein Raid 0 am laufen und ich spüre bei Compusec 4.24 erhebliche Performance-Verluste. Vielleicht ist es auch einfach nur eine Frage des Anspruchs. Wenn man einen mittelmäßig schnellen Rechner schon als richtig schnell ansieht, dann merkt man von einer Verschlüsselung natürlich nichts. Und wenn man eine Platte, die eh nicht mehr als 40MB/Sec schieben kann verschlüsselt, dann merkt man davon wohl auch nichts. Bei einem Raid 0 was mal locker über 100MB/Sec schaffen kann, dagegen schon.

Das einzige was mich derzeit davon abhält TC6.0 auszuprobieren ist das hier:

http://forums.truecrypt.org/viewtopic.php?t=11724

Und da ich nicht von AHCI auf IDE native umstellen kann, macht mir das ein wenig Sorgen...

 

[BessereHälfte]

Ich hau mir bestimmt keine Soft drauf die mein System erheblich langsamer macht Das steht schonmal fest. Und zum Glück habe ich in dem Beitrag mehrmals und mehrmals "ohne RAID" geschrieben. Somit...

6.0a ist raus!

 

[stw500]

So, hier nun endlich worauf Ihr Alle wartet:

Benchmark-Vergleich Raid 0 zwischen Compusec 4.24 und TC 6.0a, beide mit AES, ersteres zwangsweise 128, letzteres ebenfalls zwangsweise 256bit.

Die Werte in der Reihenfolge Sequentielles Schreiben, Sequentielles Lesen, Gepuffertes Schreiben, Gepuffertes Lesen, Zufälliges Lesen, alles in MB/sec.

Compusec-> 60, vergessen, 70, 70, 45

TC6.0a -> 79, 84, 96, 95, 61

ohne Verschlüsselung -> 102, 89, 146, 180, 63

Testprogramm war PC Wizard in der neuesten Version.

Fazit: Verschlüsselung führt immer noch zu einem merk- und messbaren Leistungsverlust, allerdings geht Truecrypt eindeutig in Führung!

 

[Schlumpf_79]

Truecrypt erstellt ja neuerdings "embedded Backups", also einen Backup-Header direkt im Volume. Ist ein "Volume" in dem Fall ausschließlich ein Container oder ein Laufwerk, was extra gemountet werden muss, oder zählt dazu auch das Systemlaufwerk, welches inkl. PBA verschlüsselt wurde?

Ich tippe mal darauf, dass PBA nicht dazu gehört, es dort also keinen Backup-Header gibt, richtig?

 

[stw500]

Also jetzt ohne Garantie, aber ich war der Meinung, dass dieses Sicherheitsfeature gerade für verschlüsselte Systemlaufwerke etabliert wurde.

Siehe hier:

Note: If your system partition/drive is currently encrypted using a non-cascade encryption algorithm (i.e., AES, Serpent, or Twofish), a backup copy of the TrueCrypt Boot Loader will be automatically stored in the first drive track when you upgrade to this version of TrueCrypt.

 

[Schlumpf_79]

Also jetzt ohne Garantie, aber ich war der Meinung, dass dieses Sicherheitsfeature gerade für verschlüsselte Systemlaufwerke etabliert wurde.

Hmm...das ist schon mal ein Anfang. Wenn man allerdings mal genauer hin guckt, dann ist hier die Rede vom Boot Loader. Der Boot Loader ist allerdings nicht der gesamte Header, zu dem eigentlich auch der Master Key gehören müsste.

Bei dem Backup seit v6 ist vom gesamten Header die Rede (klar, einen Boot Loader gibt es da ja nicht...):

Each volume created by this or later versions of TrueCrypt will contain an embedded backup header (located at the end of the volume). Note that it is impossible to mount a volume when its header is damaged (the header contains an encrypted master key).

Ich hab jetzt nichts Konkretes dazu gefunden, aber AFAIK sitzt doch der Master Key bei einer System-Verschlüsselung nicht im Boot Loader, oder? Also würde er nicht mit gesichert werden.

edit: Ich hab hier noch was gefunden:

The first 512 bytes of the volume (i.e., the standard volume header) are read into RAM, out of which the first 64 bytes are the salt (see TrueCrypt Volume Format Specification). For system encryption (see the chapter System Encryption), the last 512 bytes of the first logical drive track are read into RAM (the TrueCrypt Boot Loader is stored in the first track of the system drive and/or on the TrueCrypt Rescue Disk).

Für mich liest sich das so: Bei der System-Verschlüsselung wird der zweite Track (wo der Master Key mit drin sein wird) in den RAM geladen, da im ersten Track der Boot Loader gespeichert ist. -> Also Boot Loader und Master Key sind getrennt.

 

[BessereHälfte]

So, hier nun endlich worauf Ihr Alle wartet:

Schöne Sache. Ich denke 95% der Komputerbenutzer würden es aber interessant finden, wenn das jemand "ohne RAID" testen könnte.

 

[stw500]

Schöne Sache. Ich denke 95% der Komputerbenutzer würden es aber interessant finden, wenn das jemand "ohne RAID" testen könnte.

Ohne Raid ist das doch alles sinnlos...Wenn Du eine Platte hast, die nicht mehr als ECHTE 40MB/sec schiebt, dann wird es auch kaum noch ein Programm mit normaler AES-Verschlüsselung geben (bei ordentlicher CPU) bei der eine deutliche Verlangsamung auftritt. Wozu sollte man also testen, ob TC6.0a schneller als Compusec 4.24 ist, wenn beide die 40MB/Sec erreichen. Klar???

Also ist es nur als Raid 0 sinnvoll...Für die ganz wenigen mit Raptor oder Highperformance 1TB-Platten, die richtig abgehen, ist im Übrigen dieser Raid 0 Test ebenso sinnvoll, da hier ja auch höhere Geschwindigkeiten erreicht werden können und - wie man sieht - zumindest bei mir der Flaschenhals dann irgendwo zwischen 80-95MB/Sec liegt.

Wohlgemerkt bezieht sich das alles nur auf die Performance, hinsichtlich der Sicherheit und Stabilität kann man aber wohl kaum einen Test innerhalb von einem Tag machen!

 

[FischOderAal]

Limitiert bei dir vielleicht noch der Prozessor? Ein X2 mit 2650 Mhz gehört inzwischen nunmal zum alten Eisen

 

[X909]

Ach, der muss reichen. Mein 4.2 Ghz P4 Single Core schafft synthetisch schon 110 MB/s und kann mit voller Plattengeschwindigkeit ausm TC-Container ins Netzwerk streamen (~65 MB/s).

 

[BessereHälfte]

Ohne Raid ist das doch alles sinnlos...

Ja ich bin auch schon total depressiv deswegen...

Wenn Du eine Platte hast, die nicht mehr als ECHTE 40MB/sec schiebt, dann wird es auch kaum noch ein Programm mit normaler AES-Verschlüsselung geben (bei ordentlicher CPU) bei der eine deutliche Verlangsamung auftritt. Wozu sollte man also testen, ob TC6.0a schneller als Compusec 4.24 ist, wenn beide die 40MB/Sec erreichen. Klar???

Für mich schon. Irgendwie vom Anfang an. Ich schrieb ja mehrmals, daß es mittlerweile und erstmal völlig egal ist, solange man kein RAID hat.

Antwort: "Vielleicht ist es auch einfach nur eine Frage des Anspruchs. Wenn man einen mittelmäßig schnellen Rechner schon als richtig schnell ansieht".

Na weil eben alles was kein RAID hat nur mittelmäßig schnell ist. Klar??? Wenn ich runter vor die Garage gucke, dann mach ich mir keine Gedanken über meine Ansprüche bezüglich schnell

Wozu sollte man also testen, ob TC6.0a schneller als Compusec 4.24 ist, wenn beide die 40MB/Sec erreichen.

Um zu sehen, daß es keine Rolle spielt solange man kein RAID hat oder einen Nehalem mit einer schnellen SSD?
Wäre eine Maßnahme, denn nichts anderes habe ich behauptet, während du irgendwie dauernd unterschwellige Probleme mit meinen Beiträgen zu haben scheinst.

Für die ganz wenigen mit Raptor oder Highperformance 1TB-Platten, die richtig abgehen, ist im Übrigen dieser Raid 0 Test ebenso sinnvoll

Richtig. Das sind von den 5% nochmals 2%. Aber es gibt sie, keine Frage.

Ehrlich gesagt aber nervt mich dieser Mist für Leute die nichts außer RAID buchstabieren können trotzdem langsam. Daher verabschiede ich mich aus dem Thread und wünsche allen beteiligten noch viel Spaß.

EOD

 

[stw500]

@BessereHälfte

Ähm, ich wollte Dir nicht auf den Schlips treten und sorry, falls ich dies getan habe.

Um es auf den Punkt zu bringen wollte ich nur klarstellen, dass Du jedes beliebige Verschlüsselungsprogramm nehmen kannst, wenn Du nur "normale" Festplatten einsetzt, da hierfür jedes schnell genug ist. Nicht mehr und nicht weniger. Erst bei höherer Leistung wird sich TC6.0a - hinsichtlich der Performance - bemerkbar machen und lohnen.

Wieder Freunde?

@FischOderAal

Ja, ich weiß ja...ist nicht mehr der Porsche unter den CPUs...
Aber laut internem Benchmark ist erst bei 200MB/Sec Schluss, daher denke ich, dass nicht die CPU an sich, sondern eher die für die Verschlüsselung in das System eingebundenen Treiber den ganzen Vorgang noch verlangsamen. In Real ist halt alles doch irgendwie langsamer...

@X909

Ja, ist mir auch schon aufgefallen, dass die Intel-CPUs irgendwie besser bei den Verschlüsselungsbenchmarks abschneiden. Man stelle sich vor Deine CPU hätte nun mehrere Kerne...Wäre mal gespannt, was einer mit nem Quad-Core so erreicht...sind das dann echt 400 und mehr??? Und was bringt der auf freier Wildbahn? Oder ist der Flaschenhals dann doch wieder woanders?

 

[X909]

Naja, der DualCore in meinem Hauptrechner kommt auf knapp 210 MB bei 4 Ghz (4 Threads). Aber das gibt die Platte ja eh nicht her... Von meiner Samsung F1 kann ich mit 110 MB/s kopieren. Also kein Performanceverlust durchs AES.

 

[Lumpe]

Hallo, ich habe seit heute ein riesen Problem mit TrueCrypt. Vorweg ich benutze Windows XP und habe eine partition meines RAIDs verschlüsselt.

Bis gestern ging alles perfekt, heute mittag schalte ich den PC ein will meine Partition mounten was auch klappt aber dann kommt "Soll der Datenträger jetzt formatiert werden". Ich bekomme die Krise wenn all die Daten weg sind. Und nein ich hab die Headders nicht gesichert ... Weiß jemand einen Rat für mich?

Installiert ist Truecrypt v5.0a.

 

[AustrianChamp]

Ich hab schon seit längerem meine Systemplatte mit TrueCrypt verschlüsselt. Jetzt würde mich mal interessieren, ob ich da jetzt problemlos Acronis Disk Director installieren kann bzw. ob damit jemand Erfahrung hat. Denn den hätte ich v.a. wegen dem OS Selector recht gern, mit dem man beim Hochfahren das zu bootende Betriebssystem auswählen kann. Allerdings frage ich mich momentan, wie das abläuft. Erfolgt da zuerst die Eingabe des TrueCrypt-Passworts und dann erst die Auswahl??? Weil ansonsten könnte ja der OS-Selector ja auf die Systempartition gar nicht zugreifen.

 

[Gadric]

Du kannst doch mit TrueCrypt auch ein Multibootsystem erstellen

 

[AustrianChamp]

Naja, das is das mit diesem versteckten Zeug. Aber das will ich nicht. Aus div. Gründen.

 

[BessereHälfte]

Bin doch nochmals wieder da. Da... (darüber später mehr)

@stw500
Ja hört sich schon anders an, aber ich bin noch irgendwie der Meinung, daß eben nicht "alles" so for nothing benutzbar ist. Mit den Tests die ich mal durchführte, aber keine Benches machte, kann ich nur Compusec4.24 und Truecrypt eine fast Unmerklichkeit bescheinigen.
Alle anderen Programme bremsen zuweilen doch schon merklich.

@all
Ich hatte einen totalen Softwarecrash. Rechner stürtzte auch im abgesicherten Modus ab. Am Anfang der Bootsequenz. War schon lustig Meine Schuld.
Jedenfalls... Das Backup war 1 Monat alt. Für Software völlig egal. Für Daten war das aber leider schon zu alt Ich mußte an die daten ran, mußte also erstmal die beiden Desktopplatten mit Compusec entschlüsseln.

Es wäre mit TrueCrypt kein Problem und es war mit Compusec kein Problem. MBR, Header, Keys. Man sollte sich da schon im Klaren sein was man wofür braucht und wie man es benutzt.

Als das System nun unverschlüsselt 100% wiederhergestellt war kam die Frage mit was nun wieder verschlüsseln.
Bei dieser Aktion war ich wieder der Meinung daß es mit Compusec verdammt unflexibel ist, Laufwerke bzw. vor allem Bootlaufwerke von zB. einer der s.g. BartCDs (WinPE) nicht mounten zu können.

Andererseits habe ich einen Desktop mit 4 Partitionen und 2 eingebauten Platten (kein RAID). Mit einer extra pagefile Partition mit größeren Blöcken auf der zweiten Platte. Und das rennt wirklich super.
Das alles komplett beim Start nur über PBA zu mounten ist mit TrueCrypt (noch?) ein Ding der Unmöglichkeit. Leider leider. Eigentlich ist es überhaupt nicht möglich. Ich kann (wie schon hier erwähnt) die Platte mit der swappartition sowieso nicht rechtszeitig mounten.

Auch der Bootloader vom Compusec ist mächtig, wogegen der von TrueCrypt langsam aber sicher an Features verliert. Ich frag mich warum Compusec da keine Probleme mit dem Platz im Bootblock hat. Die knallen da sogar ein Bootbild rein (?)

Und so bin ich wieder bei einer Doppellösung gelandet. Compusec verschlüsselt den Desktop, TrueCrypt verschlüsselt die Laptops und alle externen Datenträger.

p.s.:
Für Fehlgeleitete die jetzt noch verwirrter sind noch die Anmerkung, daß es sich um Compusec4.24 handelt (!) Die letzte aktuelle 4er Version. Die aktuelle 5er Version ist wie die 5er davor ein Griff ins Klo!

 

[BessereHälfte]

Sorry für Doppelpost.

Bis gestern ging alles perfekt, heute mittag schalte ich den PC ein will meine Partition mounten was auch klappt aber dann kommt "Soll der Datenträger jetzt formatiert werden". Ich bekomme die Krise wenn all die Daten weg sind. Und nein ich hab die Headders nicht gesichert ... Weiß jemand einen Rat für mich?

Lumpe was soll das jetzt werden? Man macht vor der Verschlüsselung erstmal einen Backup/Image, man sichert den Header und man sichert eben zur Sicherheit auch den MBR.
Oder wird die verschlüsselte Partition einfach nur nicht gemountet? Gehts "per Hand"?

Manchmal frag ich mich wie es möglich ist, daß manche Leute sich beim Mittagsessen nicht selbst mit der Gabel erstechen...

Gelegentlich kommt es mir aber auch vor, daß gewissen Gruppen im Netz unterwegs sind , um schlechte Stimmung gegen TrueCrypt&Co zu machen (was jetzt nicht für Lumpe gilt). Achtet mal auf sowas.

TrueCrypt 6.0a ist einfach, zuverläßig und sehr schnell. Laßt euch nicht verschrecken. Zur Übung spielt einfach mit einem USB-Stick rum. So lernt man am meisten ohne sich ins Knie zu schiessen.

Bis die Tage mal.

 

[Gadric]

Gelegentlich kommt es mir aber auch vor, daß gewissen Gruppen im Netz unterwegs sind , um schlechte Stimmung gegen TrueCrypt&Co zu machen (was jetzt nicht für Lumpe gilt). Achtet mal auf sowas.

Vielleicht von Leuten die was gegen Verschlüsslungen haben? :P evtl. Regierung?

 

[X909]

@Lumpe

Hast Du evtl. eine komplette Partition verschlüsselt? Dann erkennt Windows diese als unformatiert und will sie formatieren. Das sollte man dann natürlich nicht tun, sondern TrueCrypt öffnen und Mounten.

 

[stw500]

@Lumpe

Hast Du evtl. eine komplette Partition verschlüsselt? Dann erkennt Windows diese als unformatiert und will sie formatieren. Das sollte man dann natürlich nicht tun, sondern TrueCrypt öffnen und Mounten.

Korrekt, und wenn man richtig schlau ist, dann deaktiviert man in der Windows-Verwaltung die Zuweisung eines Laufwerk-Buchstabens für diese Partition, denn dann kann die Frage "Wollen sie dieses Laufwerk jetzt formatieren?" gar nicht erst kommen.

 

[X909]

Richtig. Oder man erstellt die Partitionen gleich als versteckt (geht z.B. mit True Image)... Hat den gleichen Effekt.

 

[Lumpe]

Korrekt, und wenn man richtig schlau ist, dann deaktiviert man in der Windows-Verwaltung die Zuweisung eines Laufwerk-Buchstabens für diese Partition, denn dann kann die Frage "Wollen sie dieses Laufwerk jetzt formatieren?" gar nicht erst kommen.

Das habe ich natürlich gemacht, ich nutze truecrypt schon ewig! Ich kann es ja mounten nur leider liegt dann kein Filesystem mehr vor . Die komplette gemountete HDD ist RAW.

 

[stw500]

Dann wird Dir wohl keiner mehr helfen können, sorry!