Full-System-Encryption - Softwareempfehlung

[TCM]

Wieso willst du etwas vor lokalen Ermittlungsbehörden verstecken/verschlüsseln?

Warum nicht?

 

[dirk11]

Eben. Z.B. persönliche Fotos, Erinnerungen, halt alles mit persönlichem emotionalem Wert geht niemanden etwas an.

Aber ausgerechnet Bitlocker, welches seit Windows 10 den Key in der Wolke speichert, für sowas benutzen zu wollen, ist schon ziemlich ... fahrlässig.

 

[TCM]

Ich warte ja nur drauf, dass uns unser obrigkeitshöriger Troll erklärt, dass man der Polizei immer die Wahrheit erzählt und alles ungefragt zeigt. Und natürlich, dass Verschlüsseln illegal ist, wenn man was vor der Polizei versteckt.

 

[BudSpencer]

Ich warte ja nur drauf, dass uns unser obrigkeitshöriger Troll erklärt, dass man der Polizei immer die Wahrheit erzählt und alles ungefragt zeigt. Und natürlich, dass Verschlüsseln illegal ist, wenn man was vor der Polizei versteckt.

Genau!

- - - Updated - - -

Eben. Z.B. persönliche Fotos, Erinnerungen, halt alles mit persönlichem emotionalem Wert geht niemanden etwas an.

Aber ausgerechnet Bitlocker, welches seit Windows 10 den Key in der Wolke speichert, für sowas benutzen zu wollen, ist schon ziemlich ... fahrlässig.

Du kannst wählen wo der Key gespeichert wird. Du musst ihn nicht in deinem Microsoft Konto ablegen.

Ich denke die AES 256bit ist sicher genug. Microsoft gibt den Key evtl. an die NSA, aber sicher nicht an Wachtmeister Franke...

 

[dirk11]

Du kannst wählen wo der Key gespeichert wird. Du musst ihn nicht in deinem Microsoft Konto ablegen.

Nein, kannst Du nicht. M$ speichert ihn in der Grundeinstellung in der Wolke ab. Sprich direkt nach dem ersten Kontakt mit dem Internet muß das System und insbesondere der Key als kompromittiert und nutzlos angesehen werden. Oder garantierst Du dafür, das er restlos auch aus allen backups gelöscht wird!? Ein Key, der das Haus verläßt, ist unsicher. Ein für alle mal!

Und an wen sie ihn geben, ist sowas von unwichtig...

 

[BudSpencer]

Wer kommt an die Daten in der Wolke ran? MS nur selbst oder?

 

[fdsonne]

Nein, kannst Du nicht. M$ speichert ihn in der Grundeinstellung in der Wolke ab. Sprich direkt nach dem ersten Kontakt mit dem Internet muß das System und insbesondere der Key als kompromittiert und nutzlos angesehen werden.

Gibt es da Berichte drüber? Sprich Nachweise? Weil ehrlich gesagt stelle ich mir das schwer vor... Ich für meinen Teil würde so oder so ein Windows lokal nur mit einem lokalen oder AD Konto nutzen. -> nix mit Konto in der Wolke.
Aber einen Test wäre es alle mal wert... Mir ist zumindest seinerzeit nix derartiges aufgefallen, als ich mal längere Zeit den Datenaustausch zwischen Win10 Client und "Internet" mitgeschnitten habe... Da geht bisschen Zeugs zu Bing und Co. -> idR aber alles auf Userinteraktion hin -> sprich Startmenü auf, Livekacheln werden aktualisiert und sowas. Die Windows Suche scheint Pakete zu Bing zu schicken, da steht aber so explizit nicht viel verwertbares (für mich zumindest) drin. Einen Keyaustausch der Verschlüsslung habe ich dort aber nicht gefunden bis dato... Habe aber NIE mit einem MS Cloud Konto getestet...

 

[dirk11]

Ja, ich habe das an mehrere Stellen unabhängig voneinander gelesen, auch englischsprachig. Hat mich aber nicht wirklich interessiert, weil hier kein Windows läuft. Die Grundeinstellung ist wohl "alles in die Cloud". Man kann das zwar ändern, aber eben _nach_ der Installation, was dann im Grunde auch nicht mehr nötig ist, weil man seinen Key schon in die Welt gestreut hat.

@BudSpencer:
Wenn Du das glaubst, glaubst Du auch, das Zitronenfalter Zitronen falten.

 

[BudSpencer]

Ja, ich habe das an mehrere Stellen unabhängig voneinander gelesen, auch englischsprachig. Hat mich aber nicht wirklich interessiert, weil hier kein Windows läuft. Die Grundeinstellung ist wohl "alles in die Cloud". Man kann das zwar ändern, aber eben _nach_ der Installation, was dann im Grunde auch nicht mehr nötig ist, weil man seinen Key schon in die Welt gestreut hat.

@BudSpencer:
Wenn Du das glaubst, glaubst Du auch, das Zitronenfalter Zitronen falten.

Hättest du ein paar Links/Quellen zum nachlesen bitte>?

 

[fdsonne]

Mhhh also ist das verwerfliche an der Aktion einzig, dass MS nicht frag, wohin mit dem Key. Allerdings, wenn wir mal ehrlich sind, ist die Frage wirklich so entscheidend? Und vor allem, was wäre die Alternative? Der Key MUSS ja irgendwo hin. Wenn nicht die Cloud, was anderes ist ja nicht da. Nicht jeder (vor allem im Notebook/Tablet) hat mehrere HDDs zum ablegen des Keys oder hat einen USB Stick steckend. Dazu kommt, ich mein, wer ein MS Online Konto für seinen PC/Notebook/Tablet nutzt, der hat doch viel eher ganz andere Schmerzen mit dem Ding...

Damit man den Key nutzen kann, benötigt man physischen Access zu der Platte bzw. zu dem Gerät. Das klappt ja wohl kaum, wenn man das Ding nicht aus der Hand gibt. Es muss einem also entwendet werden oder der Zugriff darauf irgendwie erzwungen werden!

Allerdings und hier sehe ich das erste Problem, wer nutzt denn die Stino Einstellungen wirklich mit etwas Nachdenken oder Sachverstand? Eine fullsystem encryption kann prinzipbedingt nur halbwegs sicher sein, wenn niemand bis ins System booten kann -> das unterbindet, wenn ich das richtig sehe, aber schonmal die default Einstellung von Bitlocker überhaupt nicht. Oder setzt diese automatisch die Pincode Abfrage? Ist mir zumindest weder beim Surface 2 Pro, noch 3 Pro und auch nicht mit dem 4er aufgefallen. OK das sind alles samt die "gleichen" MS Geräte. Aber weder mit 8 noch mit 8.1 noch mit 10 kommt die Abfrage nach dem Pincode. Bitlocker aktivieren, am Besten noch über das komische neue Verwaltungsmenü da unter PC Info oder wie das heißt -> und es wird verschlüsselt. Boote ich die Kiste, lande ich 1:1 im Desktop und es fragt nach einer Anmeldung -> wozu brauch ich dann bitte den Recovery Key? Habe ich Access zum MS Konto, kann ich mich doch normal anmelden???


Moralisch ist die Ablage des Keys in der Cloud vielleicht verwerflich. Gepaart aber mit dem Problem, dass A) das Konto samt Password für den Zugreifenden effektiv in den meisten Fällen wohl den gleichen Effekt hätte und B) die default Einstellung so oder so gar nix anderes zulassen würde -> weil kein Stick oder ähnliches zwingend steckt/stecken muss, muss halt der Anwender einfach mal sein Hirn einschalten.
Ich persönlich kann es nicht wirklich nachvollziehen, wie die IT Nutzer immer mehr zu verweichlichten Volk wird, welchem quasi das Nachdenken abgesprochen wird... Wer nicht nachdenkt, hat halt Pech. Klingt blöd, aber genau dieser Meinung bin ich. Früher war die Welt mal noch viel einfacher -> da MUSSTE der User nachdenken bzw. mitdenken, sonst hats einfach nicht funktioniert. Heute muss er das nicht zwingend -> macht er es dann nicht, gehts halt ggf. nicht nach seinen Wünschen.
Mal ganz davon ab, ich persönlich bin sogar eher der Meinung, dass diese per default encryption eigentlich zu weit geht... Ich als Anwender will doch selbst entscheiden, was da wie verschlüsselt wird. Also einfach einschalten ist für mich zumindest definitiv nicht OK.

 

[eXTA]

Also bei meinem 8.1 PC konnte ich nur booten, nachdem in dem blauen Bildschirm das Bitlocker PW eingegeben wurde

 

[eXTA]

Also ich habe weder TPM noch PIN benutzt.

 

[BudSpencer]

Ebenso bei mir. Passwort eingeben direkt nach Bios Start. Sonst kein weiteres Hochfahren.

 

[fdsonne]

Die Surfaces haben doch aber nen TPM Chip?
Bitlocker sollte doch, sofern nicht irgendwie anders erzwungen, gar nur mit TPM richtig funktionieren, oder hat sich das mittlerweile geändert?

Aber sei es drum, könnte natürlich sein, dass es da Unterschiede gibt. Habe Bitlocker idR auf den Geräten auf der Arbeit aktiv, da wir dort eine Sophos Safeguard Extension für Bitlocker nutzen -> da ist das etwas "anders". Da erzwingt quasi der Safeguard Client A) die richtigen Settings und B) geht es dort halt NUR mit Pin, weil so gewollt. Auch habe die Geräte alle samt TPM.

Im Heimbereich ist das aber doch relativ wenig verbreitet. Viele Boards haben ggf. den TPM Header, das Modul steckt aber nicht drauf. Mhhh...
Muss ich mir nochmal genau ansehen...

 

[eXTA]

Ohne TPM Modul kann man per Gruppenrichtlinie das ganze abändern, dass kein TPM benötigt wird.

 

[BudSpencer]

Bitlocker läuft ab Win8 auch ohne TPM. Win 10 hat Bitlocker in Pro Version.

 

[fdsonne]

Ohne TPM Modul kann man per Gruppenrichtlinie das ganze abändern, dass kein TPM benötigt wird.

Ja schon klar, nur was ich gerade nicht ganz blicke, dreh ich nix an den Settings -> so wie in den Artikeln ja vorgeworfen wird, wo kommt dann der Pin her?
Mir wäre nicht bekannt, dass das MS Setup nach einem Pin während der Install fragt. -> ich klicker das hier gerade mal fix durch, dauert noch ein paar Min. Aber eine Pin Abfrage wäre mir da nicht bekannt...
Wenn die also nicht kommt, wo kommt das dann her? Wenn es nicht händisch hinterlegt (also vom User) wurde?

 

[eXTA]

Klicker mal durch, aber so weit ich weiß, kann man anstatt eines PW für Nutzeranmeldung auch eine PIN benutzen

 

[fdsonne]

Klicker mal durch, aber so weit ich weiß, kann man anstatt eines PW für Nutzeranmeldung auch eine PIN benutzen

Habe ich soeben... Aktuelles ISO von MS -> Home x64. Installation läuft wie gewohnt, dann kommen die Schalter, die per default alle rechts sind -> ich schiebe alle nach links, dann kommt die Abfrage nach nem Usernamen -> liegt daran, dass ich hier nicht am Netz klemme, also Offline installiere und die Kennwortanfrage kann auch übersprungen werden, da entweder ohne Kennwort oder später gesetzt. Dann bootet die Hütte und Bitlocker ist NICHT aktiv nach dem Boot. Wie auch, ist die Home.

Das gleiche Spiel mit der Pro -> ISO von MS, aktuelle Version x64. Install -> Schalter alle nach links schieben, Abfrage des Users -> lokales Konto, mit/ohne Kennwort -> weiter -> fertig. Ebenso kein Bitlocker.
Auch nicht händisch aktivierbar, weil erst die GPO gesetzt werden muss, damit es eben ohne TPM überhaupt geht.

Also so recht kann ich das nicht nachvollziehen. Was ich aber noch recht gut in Erinnerung habe wie gesagt, auf den Surface Teilen ist Bitlocker per default aktiv. Allerdings halt auch ein Gerät von MS. Nur defakto ebenso ohne Pin, wohl mit TPM only. Wo der wiederherstellungs Schlüssel liegt per default, keine Ahnung. Verwende ich kein MS Konto, sondern ein lokales oder AD Konto, dann kann es ja theoretisch nicht in die Cloud gehen.

Schließt natürlich nicht aus, das MS nicht das trotzdem überträgt, aber das müsste man dann im INet Datenverkehr definitiv sehen. Mit einem Transparenten Proxy, aktivem SSL Scanning vertrautem Zertifikat kann man da schön reinsehen

@*******
das bestätigt genau meine Erfahrung der letzten Monate... Da wird nix automatisch aktiviert. Weswegen ich ja wie gesagt auch eingangs die Aufregung darüber nicht ganz geblickt habe und für mich das MS Konto, was womöglich Zugriffen Dritter ausgesetzt ist, viel mehr Risiko birgt, als die irgendwie doch nicht so ganz richtig vorhandene automatische Speicherung des Recovery Keys in der Cloud. Denn die kommt effektiv wohl?? nur dann zum Tragen, wenn A) das Gerät TPM fähig ist, B) der Rechner mit einem MS Konto aktiviert/installiert wird und C) wenn da ein Dritter die Install per default auf Bitlocker enabled eindreht... Wobei ich mir bei letzterem nicht 100% sicher bin, könnte ggf. auch die MS Standard Einstallung sein.
Aber so oder so trifft es die User im Grunde nicht wirklich... Weil zu (gefühlt) 95% kein TPM Modul verbaut ist. Achso und es muss wohl die Pro bzw. Enterprise oder Enterprise mit LTSB sein.

 

[fax668]

Und vor allem, was wäre die Alternative? Der Key MUSS ja irgendwo hin. Wenn nicht die Cloud, was anderes ist ja nicht da.

Natürlich ist was anderes da, alle Windows Vorgängerversionen mit Bitlocker haben den Schlüssel ja auch irgendwo untergebracht (vermutlich am Anfang der Partition).

 

[fdsonne]

Und das hat dann welchen Sinn? Wenn sie dir das Ding mausen, hat der "Mauser" gleich den Recovery Key mit -> sehr sinnvoll.

Aber ja, ich stimme dir generell zu. Der Unterschied scheint aber zu sein, dass Win10 nun zumindest in gewissen Konstellationen Bitlocker automatisch aktiv setzt, was vorher definitiv mit dem Zutun des Users (bis auf ggf. ein MS Gerät) in Verbindung stand. Wenn der User dann die Daten in die Cloud kippt, ist das sein Bier... Das sollte theoretisch nicht von alleine geschehen.
Aber wie oben versucht zu analysieren, ich sehe da nicht direkt ein Problem, da schon ganz paar Sachen aufeinander kommen müssen, bevor da überhaupt erstmal Bitlocker per default aktiv ist und der Key damit überhaupt erstmal übertragen wird...

 

[fax668]

Ach so, Nachschlüssel, hatte ich übersehen. Solche Nachschlüssel halte ich generell für eine schlechte Idee und die Cloud macht's nicht besser. Aber wer Bitlocker einsetzt, muss Microsoft ja ohnehin vertrauen.

 

[fdsonne]

Neja, was willst du machen? Den Recovery Key kannst du nur schwer durch irgendwas ersetzen... Ich denke schon dass es Sinn hat, wenn dieser variabel ablegbar ist und nicht an irgendetwas materielles bspw. gebunden wäre. Wie ne Keycard oder sowas. Das hat dann gleich andere Probleme... Die Cloud ist sicher das blödeste, was man da potentiell machen kann. Allerdings, wie oben erwähnt, wer einen MS Account für seinen PC nutzt, der sollte eher ganz andere Sorgen haben als den Recovery Key eines potentiellen Gerätes.

 

[BudSpencer]

Bitlocker bei Win10 ab Pro. Sonst ultimate oder enterprise.

 

[sonnyboy]

Also hier funzt Bitlocker per USB-Stick wunderbar (WIN 7 Ultimate).

 

[TCM]

Was funktioniert, ist meistens nicht die Frage. Die Frage ist, was funktioniert, obwohl es nicht funktionieren soll.

 

[Techlogi]

Mhhh also ist das verwerfliche an der Aktion einzig, dass MS nicht frag, wohin mit dem Key.

hab aber auch kein ms account, vielleichgt fragt er deswegen?

 

[fdsonne]

Wie kommst Du darauf? So wie ich das lese wird BitLockern nirgends automatisch aktiviert. Wenn Du es aber manuell aktivierst, wird dein Key automatisch in der Cloud hinterlegt, wenn ein MS Konto eingerichtet ist. Das dürfte vielen nicht schmecken.

Kann doch aber nicht sein... Denn wenn du der Anleitung zum "Beseitigen" des Problems folgst -> vor allem die über die GUI, dann machen die da effektiv nix anderes als Entschlüsseln, Bitlocker ausschalten, Bitlocker einschalten und verschlüsseln -> und irgendwo dabei kommt dann die Abfrage, wohin mit dem Recovery Key.
Wenn die Abfrage aber bei JEDEM Aktivieren von Bitlocker kommt, wo ist dann denn hier überhaupt das Problem? -> das kann doch dann nur dort liegen, wo eben Bitlocker per default aktiv ist und man sich eben mit dem MS Account am PC anmeldet -> da Bitlocker schon aktiv ist, wird der Key übertragen. Mir stellte sich dann halt die Frage, wieso Bitlocker aktiv sein sollte per default und vor allem, wann das sein soll, da mir es eben bis dato nie wirklich aufgefallen ist mit Ausnahme der Surface Geräte.

Guckst du hier:
https://theintercept.com/2015/12/28...soft-probably-has-your-encryption-key/#delete
-> wird genau so beschrieben. Ausschalten, Einschalten und Wählen wohin mit dem Key. Genau den üblichen Weg gehst du doch auch, wenn du initial Bitlocker aktivierst... Also in welcher Konstellation soll denn da der Recovery Key überhaupt in die Cloud gehen, wenn du bei jedem aktivieren von Bitlocker doch danach gefragt wirst???

 

[eXTA]

Probiers doch mal aus.
Aktiviere Bitlocker, wähle lokales Speichern des Keys und schaue dann auf https://skydrive.live.com/recoverykey nach, ob da einer ist.

Geht natürlich nur, wenn man mit MS Konto arbeitet

 

[Scrush]

wie lange dauert denn ne runde bitlocker auf ner 3tb?

würd gerne mein krempel auch mal sicher machen xD

den key kann ich allerdings gar nicht erst auf meinem ms konto sichern

weis einer wieso?

edit : ich habs jetzt aufm stick, und manuell in die cloud geschoben ^^