SSD Disk Encryption (Truecrypt vs Bitlocker vs DiskCryptor)

[maxpd]

Mit welchen Tool (am besten Freeware) kann ich von einer DC verschlüsselten platte ein Image erstellen? Da es hierbei ja oft Probleme gibt. Wie Spiele ich im Notfall ein solches image wieder ein? Muss die neue platte ebenfalls wieder verschlüsselt werden oder ist dies in dem image mit drin? Damit die Frage: ist das image selbst verschlüsselt?

 

[musschrott]

Zumindest mit dem Klonen einer DC verschlüsselten Platte um es von einer Festplatte auf eine andere zu übertragen hatte ich in der Vergangenheit keinen Erfolg. Windows schien zwar zu starten ist dann aber beim Wechsel in den Windows-Mode immer mit einem Bluescreen gecrasht. Ich wäre also mit verschlüsselten Images recht skeptisch, aber vielleicht hat da jemand bessere Erfahrung gemacht.

 

[utkilla]

Benchmark Review DiskCryptor 1.0.757.115

Setup:

64TB

3HE 19" Rack no name ??
Seasonic passive 400W
Asrock Z77 Extreme6 Gen3
Intel I5 2500k
Stock cooler
2x 4GB g.Skill Sniper DDR3 1866
Areca 1880ix 4GB DDR Memory 1.51 Firmware storsys. driver
16 x Seagate Barracuda 5900 ST4000DM000
Windows 2012 Server Essential x64bit

Ziel: Großes ausfallsicheres Array im Raid6 das effizient verschlüsselt werden sollte.
Build des Raid6 Arrays mit 64TB über Areca Controller 64k Stripe Size = 8h + 30h für das verschlüsseln mit DiskCryptor

Zuvor wurde ein ReFs Volume auf das Lufwerk gelegt. Dann 30h mit Diskcryptor Encrypted.

Performance zum original 50% Leistungsverlust, bei Truecrypt 66% Leistungsverlust.

 

[Boy2006]

ne doofe frage mal von mir.
Wenn ich ein TPM nutze brauche ich ja keinen Token mehr.
Da wird der Key ja sofort im Ram gespeichert bevor ich mich anmelde (?) also müsste man ja nur Booten -> den Ram auslesen -> ergo hat man zugriff auf das Gerät?

 

[JohnnyBGoode]

Hat eigentlich schon jemand DiskCryptor bei Installationen mit 100 MB Startpartitionenen verwendet? Wie sollte man da vorgehen, erst die kleine Partition verschlüsseln und anschließend die Hauptpartition mit dem gleichen Kennwort? Oder anders herum?

 

[JohnnyBGoode]

Wollte auch alles verschlüsseln. Leider kommt da Server 2008 R2 drauf, das anders als Windows 7 beim Setup auch bei bereits vorher eingericheteten Partitionen seine doofe 100 MB-Partition extra anlegt.
Bei TrueCrypt gibt es ja die Möglichkeit den gesamten Datenträger und nicht nur einzelne Partitionen zu verrschlüsseln, bei DiskCryptor leider nur letzteres. Und da wollte ich besser nachfragen, wie hier die saubere Vorgehensweise mit der 100 MB-Partition ist, da man sich ja sonst ganz gut den Startvorgang zerschießenen kann.

 

[Boy2006]

Das problem ist eben egal bei welcher Software es muss einen unverschlüsselten Teil geben damit das OS auch booten kann!
Bei einer Hardware verschlüsselung dagegen ist alles 100% verschlüsselt ohne Angriffspunkte (wenn das teil ausgeschaltet ist).

 

[JohnnyBGoode]

Es ist mir bewusst, dass irgendwo ein unverschlüsselter Boot Loader liegen muss - geht mir ja nur darum, wie man mit DiskCryptor Windows und seine extra 100 MB-Partition richtig verschlüsselt ohne die Startvorgang zu zerstören...

 

[Boy2006]

wie man mit DiskCryptor Windows und seine extra 100 MB-Partition richtig verschlüsselt ohne die Startvorgang zu zerstören...

garnicht weil er eben genau dort liegt.

 

[iamunknown]

garnicht weil er eben genau dort liegt.

Als ich mal Diskcryptor getestet habe, hatte ich die 100MB-Partition einfach mit dem selben Passwort verschlüsselt (so wie die Partition auf der anderen Platte). Damit werden sie beim Booten automatisch gemountet. Wichtig ist nur hier das Passwort identisch einzugeben (englisches Tastaturlayout, falls du das auch beim "Master"-Passwort so gemacht hast).

Kannst du ja auch mit einer VM testen, wenn du Erfahrungen sammeln willst. Hatte mir selbst auch das eine oder andere mal eine VM mit DC in einen nicht bootbaren Zustand gebracht...

 

[JohnnyBGoode]

Und wie bewerkstelligt das dann TrueCrypt, bei dem man bei der Betriebssystemverschlüsselung zwischen den einzelnen Partitionen und der kompletten Festplatte wählen kann? Dachte hier wäre alles bis auf den TC Boot Loader verschlüsselt und dieser ermöglicht dann den Zugriff auf die 100 MB- und Windows-Partition.

 

[Boy2006]

Von was Bootest du wenn du die ganze HDD verschlüsselt hast?

 

[JohnnyBGoode]

Gut, nicht die absolut gesamte Festplatte, der TC Boot Loader setzt sich ganz am Anfang hin, allerdings werden eben alle sonstigen Partitionen verschlüsselt.

 

[Boy2006]

Und da kann man ihm auch wieder angreifen.

Das problem ist eben egal bei welcher Software es muss einen unverschlüsselten Teil geben damit das OS auch booten kann!
Bei einer Hardware verschlüsselung dagegen ist alles 100% verschlüsselt ohne Angriffspunkte (wenn das teil ausgeschaltet ist).

 

[JohnnyBGoode]

Das bestreitet ja keiner, es ging mir lediglich um die "sauberste" Software- bzw. DiskCryptor-Lösung. Als "schlampig" würde ich es sehen, wenn die Haupt-Windows-Partition verschlüsselt jedoch die dazugehörige 100 MB-Start-Partition unverschlüsselt ist.

 

[musschrott]

Wie iamunknown schon geschrieben hat, mit selbem Passwort verschlüsseln und es wird beim Booten auch gemeinsam entsperrt. Das gilt auch für mehrere Laufwerke.

 

[JohnnyBGoode]

Jo, vielen Dank für die genaue Information!

 

[iamunknown]

Und wie bewerkstelligt das dann TrueCrypt, bei dem man bei der Betriebssystemverschlüsselung zwischen den einzelnen Partitionen und der kompletten Festplatte wählen kann? Dachte hier wäre alles bis auf den TC Boot Loader verschlüsselt und dieser ermöglicht dann den Zugriff auf die 100 MB- und Windows-Partition.

Bei TrueCrypt kann man wie du schon geschrieben hast entweder die Windows-Partition oder die gesamte Festplatte, auf der die Windows-Partition liegt, verschlüsseln. Nur die Systempartition + die 100/350 MB-Partition (Vista + 7/8) mit dem Windows-Bootloader + den Reparatur-Tools ist mit TC nicht möglich. Warum weiß ich nicht, evtl. werden hier die Partitionen nicht so früh wie bei DC gemountet .

Und da kann man ihm auch wieder angreifen.

Ich kenne da die eine oder andere Hardware-Lösung, die ist so sicher wie eine offene Haustür. Ich sage nur Mifare Classic . Und vor allem: Wenn jemand die entsprechenden Mittel hat bzw. die "notwendige" Motivation wird das Passwort bekannt werden.

 

[musschrott]

Ich kenne da die eine oder andere Hardware-Lösung, die ist so sicher wie eine offene Haustür. Ich sage nur Mifare Classic . Und vor allem: Wenn jemand die entsprechenden Mittel hat bzw. die "notwendige" Motivation wird das Passwort bekannt werden.

Wenn ein Angreifer die Zeit und die Motivation hat den Rechner zu manipulieren, sind sicherlich extrem viele Angriffsmöglichkeiten denkbar (selbst ohne Folter ). Keyboardlogging in Hardware, Überwachungskamera, Trojaner via Email mit 0-day exploit etc. Angesichts der Probleme mit dem "Bundestrojaner" wäre ich mir aber gar nicht mal so sicher wie weit deutsche Behörden da gehen? Gibts da irgendwelche Berichte? Ziemlich sicher scheint auf jeden Fall ein verschlüsselter Rechner gegen spontane Verluste (Diebstahl, Beschlagnahmung, ...) zu sein, solange er ausgeschaltet ist.

 

[JohnnyBGoode]

[...] Leider kommt da Server 2008 R2 drauf, das anders als Windows 7 beim Setup auch bei bereits vorher eingericheteten Partitionen seine doofe 100 MB-Partition extra anlegt. [...]

Ich korrigiere mich, bei Server 2008 R2 kann man der 100 MB-Partition noch durch eine bereits vor dem Windows-Setup angelegte Installationspartition ausweichen, dagegen erstellt Server 2012 auch in diesem Fall die separaten Partitionen.
Ist das dann bei Windows 8 auch so?

 

[Boy2006]

Keyboardlogging in Hardware

Gut sieht man normal recht schnell.

Überwachungskamera

kann man zuhause auch schnell erkennen.

Angesichts der Probleme mit dem "Bundestrojaner" wäre ich mir aber gar nicht mal so sicher wie weit deutsche Behörden da gehen?

Klar ein wenn OS "normal" drauf lauft kann man auch mit einen Trojaner oder ähnlichen alle Daten abgreifen.

Ich habe einen "trick" wenn jemand bei mir Läutet boote ich einfach von einer XP Disk und dan führe ich ein Tool aus das bei meinen Raid Controller einfach den Key duch einen neuen ersetzt = die Daten sind 256Bit schrott.

 

[iamunknown]

Ich korrigiere mich, bei Server 2008 R2 kann man der 100 MB-Partition noch durch eine bereits vor dem Windows-Setup angelegte Installationspartition ausweichen, dagegen erstellt Server 2012 auch in diesem Fall die separaten Partitionen.
Ist das dann bei Windows 8 auch so?

Nach einem kurzen Test per VM: Nein. Habe vorher mit Linux eine Partition, welche die komplette Platte belegt angelegt und diese mit dem Windows8-Installer formatiert. Solange kein freier Platz auf der Platte ist hat bei mir auch noch kein Windows-Setup eine zusätzliche Partition angelegt.

Gut sieht man normal recht schnell.

Nicht wenn es richtig gemacht wurde (in Tastatur eingebaut z.B.).

kann man zuhause auch schnell erkennen.

Du durchsuchst täglich mit einem Suchgerät deine Wohnung? Wie gesagt, mit entsprechenden Mitteln ist das kein Problem. Für einen "Kopierer" wird der Aufwand wohl nicht getrieben.

Wie gesagt, für die meisten Anwendungsfälle sind die Daten sicher. Wenn ein Geheimdienst oder entsprechend böse Buben ins Spiel kommen hat man normalerweise verloren. Das sind nicht solche Idioten, wie die eine oder andere News vermuten lässt...

 

[Boy2006]

(in Tastatur eingebaut z.B.)

Dazu müsste man an den PC ran kommen und er wird 24/7 bewacht.

Du durchsuchst täglich mit einem Suchgerät deine Wohnung?

Nö es gibt keinen ort wo man sie anbringen könnte dafür müsste man erstmal ins Haus kommen....

 

[amag]

Ich frage hier einfach mal rein, wie ich verhindern kann, dass ein Keylogger zum Einsatz kommt, der sich im Bootloader eines Systems befindet.
Das System ist mit TrueCrypt verschlüsselt, eine 100MB Partition existiert nicht.

Reicht es, wenn ich von der TC Rescue Disk boote, um den Bootloader "ausreichend" zu umgehen, oder kann es trotzdem sein, dass der Logger aktiv wird?



Grüße

 

[amag]

Ja, auf einen Hardwarelogger müsste man noch achten, stimmt.
Aber du meinst, dass der Logger im Bootloader dann nicht angesprochen wird, richtig?

Ich würde nur einmalig von der CD booten, alles runter holen, was benötigt wird und dann wird alles normal formatiert....
Wegen möglichen Hardwareloggern wird die Platte natürlich in ein anderes Gerät gebaut.



Grüße

 

[iamunknown]

Ich weiß ja nicht welche Panik du schiebst, aber wer bitteschön soll dir einen HW-Keylogger eingebaut haben...?

Ansonsten: Der Bootloader auf der Platte kann natürlich manipuliert werden. Wenn du von CD startest nicht, der Key für die Verschlüsselung (der bleibt auch nach einer Passwortänderung identisch!) kann jedoch von laufenden Programmen (im Kernelkontext) ausgelesen werden.

 

[maxpd]

Noch das gewünschte Ergebnis:


vor Verschlüsselung:



nach Verschlüsselung:



nach 1,5 Monaten vollgeknallt und im Betrieb:

 

[amag]

Hallo,

ich habe mal wieder eine Frage.
Ich möchte meine SSD wieder verschlüsseln. Es ist eine 840 Basic, und sie ist ein MBR-Datenträger.
Installiert ist Windows 7 Ultimate x64, mit einer 100 MB Partition.

Nun wollte ich die Partition mit Windows drauf verschlüsseln, bekomme aber nur folgenden Fehler:


Eingestellt ist, dass der Bootloader auf die SSD installiert werde soll.
Liegt der Fehler bei der 100 MB Partition?



Grüße.

 

[amag]

Hallo,

wie soll ich das denn aber machen? Wenn ich versuche, die 100 MB Partition zu verschlüsseln, dann bekomme ich auch diesen Fehler.
Oder meinst du, ich soll die 100 MB Partition auflösen?

 

[RcTomcat]

Mit welcher Software verschlüsselst du?