SSD Disk Encryption (Truecrypt vs Bitlocker vs DiskCryptor)

[Holt]

Eben bei SED Drives kannst du sehr wohl ein Secure Erease durchführen!

Das kann Du bei allen Platten und SSDs, da hat mit SED nichts zu tun und ich nie behauptet, dass es bei SED Platten nicht geht. Da ist es u.U. sogar einfacher und schneller machbar, wenn der Hersteller einfach nur den Schlüssel tauscht statt die Daten wirklich zu löschen.

Was ich gesagt habe ist, dass es nicht mehr geht wenn die Sicherheitseinstellungen der Platte eingefroren wurden, dann muss man die erst einmal vom Strom trennen um die Sperre aufzuheben. Viele SSD Besitzer die nur mal ein Secure Erease machen wollen glauben bei der Meldung hier SSD wäre Froozen dann immer, die wäre defekt und wollen die schon gleich umtauschen.

Deshalb steht in der Anleitung wie es geht auch unter Punkt 1 "Trennen sie die Festplatte die sie Löschen wollen von ihrem System":

http://www.seagate.com/files/www-co...cs/how-to-ise-your-drive-tp-644-1-1211-de.pdf

Aus praktischer Erfahrung kann ich Dir sagen, dass das BIOS beim booten durch diese BIOS Erweiterung abgefragt wird.

??? Das BIOS wird abgefragt? Da liegt wohl ein Tippfehler vor. Wenn die Erweiterung das Passwort abfragt, dann passt es doch für alle, die SED Laufwerke einsetzen wollen aber keine passende Unterstützung dafür im ihrem BIOS haben.

Auch wenn heute eigentlich alle Platten "Frozen" sein müssten, wie Du schreibst, hängt es vom BIOS/EFI ab ob das tatsächlich geschieht.

Das ist klar, automatisch geht das eben nicht, nur wenn das BIOS den nötigen SATA Befehl auch wirklich schickt.

Das 2011 veröffentlichte ASRock E350M1 z. B. führt kein ATA Security Freeze Lock aus.

Das ist aber nachlässig, da würde ich beim Support von ASRock mal darauf hinweisen.

angenommen das PW von der Verschlüsselte Festplatte befindet sich im BIOS und das Mainboard geht mir Kaput, wie kann ich auf die verschlüsselte Platte dann noch zu greifen???

Ob sich das Passwort im BIOS befindet oder von diesem zur Bootzeit abgefragt wird ist egal, denn kannst Du sowieso nur noch darauf zugreifen, wenn Du ein anderes MB verwendest welches die Passwortfunktion ebenfalls unterstützt und bei dem Du das gleiche Passwort eingibt oder hinterlegst.

 

[emerald]

??? Das BIOS wird abgefragt? Da liegt wohl ein Tippfehler vor. Wenn die Erweiterung das Passwort abfragt, dann passt es doch für alle, die SED Laufwerke einsetzen wollen aber keine passende Unterstützung dafür im ihrem BIOS haben.

Ja richtig, ich meinte Passwort. Genau so ist es.

 

[Mr.Mito]

Aber den Pc wenn er lauft alleine zu lassen ist schon irre genug.

Davon sprach niemand, wie also kommst du nun darauf?

Wenn das Passwort da fest drin steht, dann muss man neben den Platten auch nur noch den RAID Controller in die Hand bekommen, was für Diebe oder die Trachtengruppe wohl kein Problem ist. Sinn macht es also nur, wenn dessen BIOS das Passwort beim Booten abfragt.

Der Controller würde die gleiche Abfrage machen, wie das BIOS. Hinterlegt wird da hoffentlich nichts, außer es steht Fujitsu drauf. Wo ATA Security nun eingepflegt wird, also BIOS/UEFI oder ROM/Firmware vom Controller, ist vollkommen egal.

Wieso denn? So gesehen ist es ja egal wenn der Pc mitgenommen wird.
Hast du dir das Video angeschaut das ich mal hier gepostet habe? Da steckst es einfach um beim Mobo und gut ist es beim Raidcontroller ist es schwieriger.

Hast du das Video verstanden, das du hier verlinkt hast?

Wieso sollte es beim RAID Controller schwieriger sein, außer eben, es hängt wirklich ein RAID Array dran und das könnte beim Mobo genau so der Fall sein. Aber selbst dann könnte man die Laufwerke einfach 1:1 auslesen, das zusammenfügen später wäre für jemand mit Fachkenntnis wohl das kleinere Problem. Selbst wenn man sich den gleichen Controller besorgen müsste.

Dass das Target bei der Aktion abscheißt, ist vollkommen egal, da die Platten nicht gesperrt werden. Da ändert auch ein RAID Controller nichts dran, der würde höchstens vor dem später folgenden BSOD noch meckern, weil man das array zerlegt. Parität vielleicht gefährdet, auch egal, zieht man alle Platten gleichzeitig ab ...

 

[Holt]

Boy2006, wenn jemand einbricht oder die Trachtengruppe mit so einem Wisch vor der Tür steht und sich nicht mit dem freundlichen Hinweis "wir kaufen nichts" am Eintreten hindern lässt, was ist dann wohl wahrscheinlicher:
a) Es wird eine Platte aus dem Rechner ausgebaut und mitgenommen
oder
b) Es wird der ganze Rechner mit allen Platten und ggf. dem RAID Controller mitgenommmen
Du hast den Publikumsjoker und darfst alle Bekannten anrufen um die Lösung zu erraten

 

[Boy2006]

@Holt
Aus der Praxis kann ich sagen Antwort A.

außer eben, es hängt wirklich ein RAID Array dran

Klar tut es bei mir.

Aber selbst dann könnte man die Laufwerke einfach 1:1 auslesen, das zusammenfügen später wäre für jemand mit Fachkenntnis wohl das kleinere Problem.

Im laufenden Betrieb? Ich brauche nur eine Tastenkombination drücken schon beginnt der Shutdown was ca. 30sec. dauert und dann viel spass.
Und wenn du sie auch kopieren kannst sind sie immer noch SW verschlüsselt.

zieht man alle Platten gleichzeitig ab

haha viel spass den Stecker aus den Controller zu bekommen ich habe selber 30min gebraucht dafür und wenn du den Controller ziehst ist es eh vorbei. Bei mir sind Strom und Daten in einen Kabel da musst du eh beide rupfen und dann ist die HDD dicht.

Das kann Du bei allen Platten und SSDs, da hat mit SED nichts zu tun und ich nie behauptet, dass es bei SED Platten nicht geht. Da ist es u.U. sogar einfacher und schneller machbar, wenn der Hersteller einfach nur den Schlüssel tauscht statt die Daten wirklich zu löschen.

Ich meinte nicht das X mal überschreiben sondern eben das der Key getauscht wird das dauert eben nur paar MS und die Daten sind nur mehr Salat.

 

[Mr.Mito]

Deine Praxis ist dann nicht mit der Realität der BRD vereinbar. Die packen erst mal alles ein, mitunter werden sogar Monitor, Drucker und co eingepackt.

Im laufenden Betrieb? Ich brauche nur eine Tastenkombination drücken schon beginnt der Shutdown was ca. 30sec. dauert und dann viel spass.

Ich frage mal ganz direkt, weil das bei dir nicht anzukommen scheint.
Wo bitte soll der Sicherheitsvorteil eines Raidcontrollers im Vergleich zu einem 0815 Mainboard mit ATA Security beim Einsatz von SEDs liegen?

Darum ging es, dein nun genannter "Shutdown" geht immer, auch bei einer Einzelplatte die sonst wo hängt.

Bezüglich Stecker: Stimmt, wenn sich jemand die Mühe machen möchte an verschlüsselte Daten zu kommen, dann scheitert er an ein paar Steckern. Er ist dann auch bestimmt zu blöd 12V/5V Brücken anzulöten oder den SAS Stecker zwischen SAS/Strom durch zuschneiden, damit er getrennt abziehen kann. Er könnte natürlich auch einfach den ganzen Bock per USV abtransportieren und sich für die "hochkomplizierte" Steckergeschichte dann in aller Ruhe etwas überlegen, wenn die Möhre wieder am Stromnetz hängt - nur eben nicht mehr in deiner Wohnung.

 

[Boy2006]

Schön ich bin aber nicht in der BRD...

Bezüglich Stecker: Stimmt, wenn sich jemand die Mühe machen möchte an verschlüsselte Daten zu kommen, dann scheitert er an ein paar Steckern. Er ist dann auch bestimmt zu blöd 12V/5V Brücken anzulöten oder den SAS Stecker zwischen SAS/Strom durch zuschneiden, damit er getrennt abziehen kann. Er könnte natürlich auch einfach den ganzen Bock per USV abtransportieren und sich für die "hochkomplizierte" Steckergeschichte dann in aller Ruhe etwas überlegen, wenn die Möhre wieder am Stromnetz hängt - nur eben nicht mehr in deiner Wohnung.

Wie realistisch ist das bitte?
Ich bin ja nicht der Sekten Führer aus Afghanistan...

Wo bitte soll der Sicherheitsvorteil eines Raidcontrollers im Vergleich zu einem 0815 Mainboard mit ATA Security beim Einsatz von SEDs liegen?

Steckst du eine HDD um kommst du erst mal so nicht an die Daten ran weil sie eben nicht komplett sind da musst du den Controller umstecken oder alle platten auf einmal.

 

[Mr.Mito]

In welchem Land nehmen Behörden denn wirklich nur den Datenträger mit? Ich unterstelle jetzt mal pauschal, dass das Unsinn ist, allein schon weil es Aufwand bedeuten würde die Laufwerke vor Ort auszubauen, lasse mich aber gerne eines besseren belehren.

Zum Realismus: Wenn die verschlüsselten Daten wichtig sind, ist das realistisch und noch viele andere Dinge. EvilMaid Angriffe könnte man auch mit RAID Controller fahren, würde dir beim Bootvorgang wahrsch. nicht einmal auffallen, dass da ein USB Stick oder ein SSD mehr auftaucht, welches dann die erste Bootinstanz darstellt und eine fake pre-boot auth. zeigt. Dein Controller und baugleiche Laufwerke + Array können ja trotzdem im Case stecken und munter gelistet werden, nach Eingabe des PW fällt dir dann halt auf, dass da was stinkt. Dann ist es nur eh schon zu spät und in der Ferne entschlüsselt einer deine vorab geklauten Laufwerke.

Wenn du "nur" aus Spaß an der Freud verschlüsselst um die Privatsphäre zu schützen, so musst du dir darum wohl weniger Sorgen machen, dann aber sind deine (falschen) Überlegungen zum RAID Controller noch unverständlicher.

Steckst du eine HDD um kommst du erst mal so nicht an die Daten ran weil sie eben nicht komplett sind da musst du den Controller umstecken oder alle platten auf einmal.

Das hat mit dem Controller nur schlicht weg nichts zu tun, sondern nur mit dem RAID Array an sich und ob du dieses nun am Mainboard Chipsatz per soft-hard RAID oder gar reinem Software RAID betreibst, ist dann auch vollkommen egal.
Zumal es die Sicherheit nicht steigert, sondern nur den Aufwand an die Daten zu kommen (im Verhältnis zum Rest) geringfügig erhöht.

PS:
Habe das Thema nun abgemeldet.

 

[Doktor]

So..mein neuer Rechner ist da. Jetzt möchte ich mich ans verschlüsseln machen.
Habe eine SSD und eine HDD drin unter Windows 8. Nun ist die Frage: Soll ich das interne Bitlocker (ohne TPM-Modul) verwenden oder DC. Was würdet ihr empfehlen?

 

[maxpd]

Hi,

es scheint tatsächlich, dass DC in der Performance wesentlich besser ist als TC. Allerdings auch erst seit den Modifikationen vom Threadersteller. Sind diese Mods nun in der offiziellen DC Version eingebaut, oder muss man irgendwo selbst dran rumschrauben?

Ist es bei jeder Platte notwendig 20% oder gb an Puffer unpartitioniert zu lassen? Wie stelle ich mir das bei einer neuen Platte vor? Bei der Installation von Windows 1 Partition mit nur 80% der Größe erstellen? Aber dennoch die ganze Platte oder nur diese Partition verschlüsseln? Gilt diese Regel auch für nicht OS Platten?

---------- Post added at 18:50 ---------- Previous post was at 18:42 ----------

Wie gestaltet sich denn die auf der Homepage von DC genannte Inkompatibilität zwischen DC und TC? Denn externe Platten sind bei mir alle TC. Lassen sich diese dann nicht mehr öffnen?

 

[maxpd]

Las ich nur auf der Titelseite der Website, daher wollte ich genauer Nachfragen. Weitere Infos gab es da nicht.
Ich meinte die Modifikationen der ersten Seite: http://www.hardwareluxx.de/communit...ocker-vs-diskcryptor-689181.html#post14087632

 

[Doktor]

Offene Fragen:

• Muss man noch 10% bis 20% unpartitioniert lassen, damit die SSDs GC gescheit durchführen können oder reicht das TRIM aus, damit im Anschluss GC gemacht werden kann
• Unter Windows 8 (ohne TPM-Modul): DC oder Bitlocker verwernden?

 

[maxpd]

Schade. Danke. Aber auf den letzten Screenshots werden ja sogar die Werte erreicht, die der OP mit Mods erreicht hat. Daher die Verwunderung.

Gibt es irgendwo eine Best Practice Beispiel mit den richtigen Settings für beste Performance?

---------- Post added at 09:06 ---------- Previous post was at 08:56 ----------

Bzw eine leichte Installationsanleitung?

 

[maxpd]

Noch zusätzlicher zu letzter Frage von mir:

Muss auf einer normalen HDD auch ein gewisser Platz freigelassen werden, wenn man sie mit DC verschlüsselt? So wie bei einer SSD?

 

[maxpd]

Hattest du das? Sorry, nicht gesehen. Also einfach Platte rein, Windows 7 installieren und DC mit Standardparametern drüber laufen lassen?

 

[Doktor]

Jo.

Kannst Du mal ein Performancetest davor und danach machen zum Vergleich?

 

[maxpd]

Ich?

 

[Doktor]

jo

 

[maxpd]

Wenns System steht dann schauen wir mal
Ich schwanke noch zwischen einer Samsung 840 Basic und einer SanDisk, wobei letztere hier schon liegt Der Rest vom System fehlt.

 

[Gelöschtes Mitglied 55164]

Minimiere das Schwanken und baue die SanDisk ein, das war eine kluge Wahl, das hast du gut gemacht.

Achso, dir fehlt noch Hardware, lach ... immer zu Ende lesen, jaja

 

[Computerkind]

Ich hatte im einem Lenovo Thinkpad X230, die "HDD-Passwort" Funktion bei eine Samsung 840Basic/250GB benutzt.

Probeweise habe ich die SDD ausgebaut und in eine HP Elitebook 2170p eingebaut. Beim Booten verlangte das HP-Gerät, dass ich das HDD-Password eingebe. Nach der korrekte Eingabe boote das darauf installierte Windows 7 - natürlich mit der Meldung dass sich die Hardware verändern hat.

Danach hatte ich die SSD ein externes HDD-Gehäuse eingebaut und angeschlossen. SSD wird in der Datenträger-Verwaltung erkannt, kann aber nicht initialisiert werden.

Wieder eingebaut im X230 lief alles ohne Probleme - nach Eingabe des Passwortes.

Das ist für mich ausreichend. Nachmachen auf eigenes Risiko.

 

[Doktor]

Lese ich das richtig? DC unterstütz nicht Windows 8 und im Forum steht, dass DC auch nicht für Windows 8 empfohlen wird. Dann würde ja nur noch Bitlocker übrigbleiben...

 

[maxpd]

Doktor kann ich leider keine Antwort geben, würde jedoch noch gerne eine in den Raum stellen, die nicht ganz auf das Thema passt:

Wie sieht denn die Performanceverschiebung zwischen TC und DC bei einer normalen HDD aus?

 

[DoubleJ]

Lese ich das richtig? DC unterstütz nicht Windows 8 und im Forum steht, dass DC auch nicht für Windows 8 empfohlen wird. Dann würde ja nur noch Bitlocker übrigbleiben...

Wenn man ein TPM hat, ist BitLocker eine feine Sache.

 

[Doktor]

Und was ist, wenn man kein TPM hat? Wo ist der "Nachteil"?

 

[DoubleJ]

Dann wird der Schlüssel auf einem USB-Stick gespeichert, den du beim Starten immer anstecken musst.

 

[Doktor]

Hmmm...geht es nicht mit einem Passwort?

Muss der Stick dann auch immer eingesetzt bleiben während der Rechner läuft?

 

[herrhannes]

Ich habe hier in meinem Notebook (HP 2730P, C2D mit 1,86GHz) Bitlocker unter Windows 8 zusammen mit dem eingebauten TPM am Laufen.

Nun stelle ich mir die Frage, wie sich das auf die Akkulaufzeit auswirkt.

Hat da zufällig schon jemand Erfahrungen? Die CPU-Auslastung ist nicht sonderlich hoch, aber eventuell verhindert Bitlocker ja C-States oÄ.

 

[herrhannes]

Weil da ja die CPU im Schnitt deutlich stärker belastet sein müsse. Habe ja auch kein Hardware-AES usw.

 

[utkilla]

TrueCrypt vs DiskCryptor 64TB Array Raid6

Hallo weiss jemand ob ich während des verschlüsselungsvorgangs schon Daten auf die Platte schieben kann ??


Das Volume ist ja gemounted hmm ..

Vielen Dank


Hier noch ein paar benches die im default array zustand gemacht wurden und die Bilder mit den langsameren Werten Bilder waren dann mit truecrypt AES default verschlüsselt.



Das war mir dann doch ein wenig zu langsam und ich bin auf DiskCryptor umgestiegen.

64TB

3HE 19" Rack name ??
Seasonic passive 400W
Asrock Z77 Extreme6 Gen3
Intel I5 2500k
stock cooler
2x 4GB g.Skill Sniper DDR3 1866
Areca 1880ix 4GB DDR Memory
16 x Seagate Barracuda 5900 ST4000DM000
Win2012 Server