Full-System-Encryption - Softwareempfehlung

[fdsonne]

Probiers doch mal aus.
Aktiviere Bitlocker, wähle lokales Speichern des Keys und schaue dann auf https://skydrive.live.com/recoverykey nach, ob da einer ist.

Geht natürlich nur, wenn man mit MS Konto arbeitet

Neja, ich gehe davon aus, dass wenn in den Anleitungen steht, die Wahl auf "lokal Speichern" oder "Ausdrucken" genau das eben nicht macht... Ergo ist der Test wenig sinnvoll. Denn zur Lösung des "Problems" wird doch genau das empfohlen, wie du es beschreibst, eben WEIL dann eben die Abfrage kommt.

...wenn man einen TPM-Chip und einen MS-Acount hat, dann wird die Festplatte bei der Windowsinstallation automatisch verschlüsselt, unabhängig davon, ob es in der Edition überhaupt BitLocker gibt, weil sich das ganze nicht BitLocker sondern Device Encrypton nennt.

Also genau das, wie oben vermutet... Und dann ist das für mich irgendwie totel überhypt. Wenn sich Bitlocker bzw. ein Verfahren auf Bitlocker Basis automatisch! einschaltet, ohne dass dabei ein PIN gesetzt wird -> was ja offenbar der Fall ist, dann ist es doch völlig hupe oder der Recovery Key in die Cloud geht oder nicht -> mit dem Account, den man ja so oder so benötigt, um an den Recovery Key zu kommen, wäre es genau so einfach, wenn nicht gar viel einfacher möglich, an die Daten ranzukommen.

Also die erzwingen Zugriff auf den PC, man sieht beim Anmelden, mit welchem Account die Kiste das letzte mal betrieben wurde -> über dunkle Kanäle wird der MS Datenbestand angezapft und es macht absolut NULL Unterschied, ob man nun den Recovery Key bezieht oder passend zum Usernamen (den man ja schon hat) über Rückberechnung der Hashes oder ähnlichen das Kennwort bezieht. -> in beiden Fällen ist das Endergebnis identisch. Kooperiert MS mit den Geheimdiensten, ist die Kiste eindeutig NICHT sicher vor derartigen Zugriffen... Egal wie rum man das nun dreht.

EDIT: es würde im Umkehrschluss also genau NICHTS bringen, den Recovery Key NICHT in die Cloud zu schieben -> denn über den MS Account kommt man immernoch potentiel an die Daten. Das einzige was potentiell erstmal hilft -> kein MS Account für die Anmeldung nutzen. Und wenn Bitlocker, dann wenigstens mit TPM + Pin (ggf. noch plus Stick) mit einem lokalen oder eigenen AD Account. Dann gibt es keine Infos in der Cloud bei MS, weder den Key noch die Account Daten. Damit auch keine Hashrückberechnung oder sonstweden Spaß.
Genau so fraglich ist es, wie das mit der Home funktioniert... Wenn dieses Verfahren auch die Home kann, ist es immernoch "minimal" besser als gar keine Verschlüsslung...

 

[Scrush]

naja das problem ist eher, ich verschlampe sowas. aufm usb stick?`der wird mal fix plattgemacht wenn man ihn schnell braucht. zack key weg. ausdrucken naja...

aufm selben rechner speichern? ziemlich sinnlos

wohin damit?

C kann ich natürlich auch nicht bitlocken...

irgendwas mit dem tpm chip will er da von mir

 

[fdsonne]

Richtig... Deswegen sagte ich ja, wirkt für mich irgendwie überhypt.
Zumal TPM ja effektiv im Mainstream Endkundengeräten so oder so eher selten bis nie anzutreffen ist... Von daher. Und wer ein MS Konto zur Anmeldung am PC nutzt, wie gesagt, hat sowieso andere Probleme aus meiner Sicht...


@Scrush
neja, du musst dir mal die "Basis" durchlesen, wie das ganze funktioniert
Wenn du das Systemlaufwerk nicht verschlüsselst, dann hat es effektiv noch viel weniger Sinn. Denn die Recovery Keys werden wohl, so entnehme ich deiner Ausführung, bei dir im Systemlaufwerk gespeichert. Die Verschlüsslung ist total für den Hintern, wenn du dieses Systemlaufwerk nicht wenigstens ebenso schützt. Jeder Mensch mit Zugriff auf diesen PC kann dein/ein lokales Konto auch ohne laufendes Windows "backdorbimbo" mäßig ins System operieren. Oder alternativ eben ein vorhandenes lokales Konto (den lokalen Administrator bspw.) aktivieren und das PW einfach überschreiben. Dauert mit der richtigen Software keine 5min -> dann bist du drin und hast alle Zugriffe auf alle Laufwerke/HDDs, wenn die Keys lokal auf dem unverschlüsselten Laufwerk stehen...


Es hat schon Sinn, was MS da tut. Nämlich ohne TPM nicht einfach Bitlocker aktivieren zu können... Dafür musst du eine lokale GPO setzen, die dir das erlaubt. Damit wird erzwungen, dass Bitlocker zusammen mit einem notwendigen Pin oder/und einem USB Stick als Authentifizierungsmedium funktioniert. Wählst du Pin, wird beim Boot die Eingabe einer Zahlenkombination notwendig -> über weitere Schalter lassen sich dort auch Buchstaben reinbringen -> was diesen Pin komplexer macht.
Das Thema mit dem Stick ist so eine Sache -> wenn dann würde ich mir an deiner Stelle dediziert einen (oder mehrere) Sticks für genau diesen Part besorgen. Etwas "besseres" als die billigen Werbegeschänke darf es da schon sein. Nimm ein paar wenige Euro in die Hand und besorg dir nen Stick, wenn es für dich eine Option ist -> diesen Stick nutzt du dann AUSSCHLIEßLICH!!! für das Starten des PCs -> sprich steckt der Stick, startet die Kiste. Steckt er nicht, startet auch nix!
Ich würde behaupten, du wirst, wenn du dediziert für das Verfahren einen Stick besorgst, NIEMALS NIE in die Verlegenheit kommen, diesen unsinnigerweise zu formatieren. Warum? Weil dir ziemlich genau bewusst ist, dass der PC ohne diesen Stick nicht mehr booten wird Weswegen es sich halt anbietet, dediziert dafür einen zu beschaffen anstatt irgendwas vorhandenes zu nutzen...

 

[BudSpencer]

wie lange dauert denn ne runde bitlocker auf ner 3tb?

würd gerne mein krempel auch mal sicher machen xD

den key kann ich allerdings gar nicht erst auf meinem ms konto sichern

weis einer wieso?

edit : ich habs jetzt aufm stick, und manuell in die cloud geschoben ^^

3 Tage

 

[Scrush]

ernsthaft?

da lad ich das ja schneller runter was da drauf ist xD

- - - Updated - - -

Richtig... Deswegen sagte ich ja, wirkt für mich irgendwie überhypt.
Zumal TPM ja effektiv im Mainstream Endkundengeräten so oder so eher selten bis nie anzutreffen ist... Von daher. Und wer ein MS Konto zur Anmeldung am PC nutzt, wie gesagt, hat sowieso andere Probleme aus meiner Sicht...


@Scrush
neja, du musst dir mal die "Basis" durchlesen, wie das ganze funktioniert
Wenn du das Systemlaufwerk nicht verschlüsselst, dann hat es effektiv noch viel weniger Sinn. Denn die Recovery Keys werden wohl, so entnehme ich deiner Ausführung, bei dir im Systemlaufwerk gespeichert. Die Verschlüsslung ist total für den Hintern, wenn du dieses Systemlaufwerk nicht wenigstens ebenso schützt. Jeder Mensch mit Zugriff auf diesen PC kann dein/ein lokales Konto auch ohne laufendes Windows "backdorbimbo" mäßig ins System operieren. Oder alternativ eben ein vorhandenes lokales Konto (den lokalen Administrator bspw.) aktivieren und das PW einfach überschreiben. Dauert mit der richtigen Software keine 5min -> dann bist du drin und hast alle Zugriffe auf alle Laufwerke/HDDs, wenn die Keys lokal auf dem unverschlüsselten Laufwerk stehen...


Es hat schon Sinn, was MS da tut. Nämlich ohne TPM nicht einfach Bitlocker aktivieren zu können... Dafür musst du eine lokale GPO setzen, die dir das erlaubt. Damit wird erzwungen, dass Bitlocker zusammen mit einem notwendigen Pin oder/und einem USB Stick als Authentifizierungsmedium funktioniert. Wählst du Pin, wird beim Boot die Eingabe einer Zahlenkombination notwendig -> über weitere Schalter lassen sich dort auch Buchstaben reinbringen -> was diesen Pin komplexer macht.
Das Thema mit dem Stick ist so eine Sache -> wenn dann würde ich mir an deiner Stelle dediziert einen (oder mehrere) Sticks für genau diesen Part besorgen. Etwas "besseres" als die billigen Werbegeschänke darf es da schon sein. Nimm ein paar wenige Euro in die Hand und besorg dir nen Stick, wenn es für dich eine Option ist -> diesen Stick nutzt du dann AUSSCHLIEßLICH!!! für das Starten des PCs -> sprich steckt der Stick, startet die Kiste. Steckt er nicht, startet auch nix!
Ich würde behaupten, du wirst, wenn du dediziert für das Verfahren einen Stick besorgst, NIEMALS NIE in die Verlegenheit kommen, diesen unsinnigerweise zu formatieren. Warum? Weil dir ziemlich genau bewusst ist, dass der PC ohne diesen Stick nicht mehr booten wird Weswegen es sich halt anbietet, dediziert dafür einen zu beschaffen anstatt irgendwas vorhandenes zu nutzen...

da haste recht

ich verschlüssel natürlich erstmal C. wenn die 3tb eh so ewig dauert mach ich das über mehrere tage ka^^

den key hatte ich aber natürlich nicht vor auf C zu speichern. wäre ja wie du sagst ziemlich sinnfrei^^

ich hab hier sogar mehrere sticks liegen. angenommen ich nehm ich einen dafür her und der geht mir irgendwie hops.... was mach ich dann? ^^

 

[eXTA]

kann man aber jederzeit unterbrechen und an der stelle weiter verschlüsseln

 

[fdsonne]

ich hab hier sogar mehrere sticks liegen. angenommen ich nehm ich einen dafür her und der geht mir irgendwie hops.... was mach ich dann? ^^

Zur Not nen neuen erstellen, wenn der alte mal über den Jordan ist.
Bin mir gerade nicht 100% sicher, wie das im Heimbereich genau abgeht. Aber wir nutzen auf der Arbeit wie gesagt Sophos Safeguard Enterprise als Bitlocker Extention bei einigen wenigen Windows 8.1/10 Clients -> eben um zu Testen, wie das alles so tut.
Dort gibt es die Möglichkeit einen Recovery Key zum Safeguard Server zu übertragen. Theoretisch, so denke ich, sollte das im Heimbetrieb analog sein. Nur das du du halt den Recovery Key irgendwo anders aufbewahren musst.
Wenn dir der Stick mal kaputt geht, benötigst du den Recovery Key um die Kiste zu booten. Das ist so ne kryptische Folge von Zahlen und Buchstaben. Das ist sozusagen der Nachschlüssel bzw. Recovery Key für den Worst Case... -> das, was MS in die Cloud kippen würde. Das File selbst kannst du ja aber auch irgendwo anders hinschieben... Bspw. auf einem anderen PC/NAS oder sonstwo ablegen. Sinnvollerweise (je nachdem, wie dein Sicherheitsempfinden dafür ist) in einem password geschützten und verschlüsselten Container.


Der Stick für das Booten ist davon erstmal losgelöst zu betrachten. Er ist bzw. wäre eher der Ersatz für die TPM Lösung... Denn mit TPM würde Bitlocker das TPM Modul zur Authentifizierung nutzen... Das hat potentiell den Vorteil, dass du da nix eingeben musst. Die Platte funktioniert in dem System, wo das TPM Modul mit den richtigen Infos steckt. -> Nachteil, ohne Eingabe kann die Kiste potentiel aber auch JEDER Dritte booten, der da Zugriff drauf hat. Weswegen man das sinnvollerweise mit einem nur dir bekannten Mittel kombiniert.
Das kann nun der Pin sein oder der USB Stick mit einem Token, wenn man es so will. Oder auch beides, wenn mich nicht alles täuscht...

 

[BudSpencer]

kann man aber jederzeit unterbrechen und an der stelle weiter verschlüsseln

Kann man nur bei System C. Nicht bei den anderen Laufwerken. 1TB dauern ca. 24h. Bei SSD viel schneller.

Runterfahren usw. Kannst immer.

 

[fdsonne]

Aber damit ists doch wurscht... Zumal die Verschlüsslung doch "langsamer" läuft, wenn du gleichzeitig Access auf die HDD hast. Sprich wenn du da auf der Platte Arbeitest, dann geht die Verschlüsslung langsamer, damit da noch etwas "Luft" für das Arbeiten über bleibt.
Solange das Bootmedium keine HDD ist, sollte das faktisch kein wirkliches Problem sein -> da du ja einfach die Verschlüsslung nebenbei laufen hast.

 

[eXTA]

Kann man nur bei System C. Nicht bei den anderen Laufwerken. 1TB dauern ca. 24h. Bei SSD viel schneller.

Runterfahren usw. Kannst immer.

mein ich doch, runterfahren und er macht nach neustart dort weiter, wo er aufgehört hat. so dass man die karre nicht ne woche am stück laufen lassen muss

ich speichere meine recovery-keys einfach aufm nas zuhause

 

[Scrush]

naja. wenn ich ein NAS hätte, wäre meine ganzen Daten nicht mehr auf dem rechner und somit müsste der gar nicht mehr verschlüsselt werden

dann müsste ich das nas verschlüsseln und der key natürlich nicht mehr aufm nas^^

 

[BudSpencer]

mein ich doch, runterfahren und er macht nach neustart dort weiter, wo er aufgehört hat. so dass man die karre nicht ne woche am stück laufen lassen muss

ich speichere meine recovery-keys einfach aufm nas zuhause

Ich hab die auf dem vollverschlüsselten S6 gespeichert.

 

[eXTA]

Ich hab die auf dem vollverschlüsselten S6 gespeichert.

Ich glaube das wär mir nix zwecks Verlust/Diebstahl etc.

 

[BessereHälfte]

Ihr habt euch hier für eine Runde Verarsche-Realsatire verabredet. Oder? Bitte.... Richtig?