Festplattenverschlüsselung

Sie wird nicht vor dem Öffnen entschlüsselt, sondern live während sie von der Platte gelesen wird.
Deshalb gibt es bei halbwegs aktueller Hardware nur eher messabare Verzögerungen und nur leicht erhöhte Systemlast.

Hallo,

kleine Zusatz-Verständnisfrage:

Gibt es bei einem "Image-Backup" einer mit TrueCrypt verschlüsselten Boot-Partition
etwas zu beachten?

Mache meine Image-Backups i.d. Regel bei laufenden Windows mit entspr. Imageprogramm (Macrium Reflect).
Beim Rückspeichern lasse ich dann auch den alten MBR rückschreiben.

Da ich auch überlege auf meinem Notebook eine verschlüsselte Partition anzulegen, habe ich vorab folgende Fragen:
Kann man bei einer mit TrueCrypt verschlüsselten Boot-Partition auch so vorgehen?
Gibts da noch was zu beachten?


Gruß
Uwe

Alle Änderungen an der Datei werden bereits verschlüsselt auf der Festplatte angelegt.
Du musst dir das etwa so vorstellen: Zwischen der physikalischen Festplatte und dem Betriebssystem gibt es jetzt die Schicht "TrueCrypt". Wenn etwas von der Festplatte gelesen werden soll muss es erst durch TrueCrypt durch und wird dabei entschlüsselt, soll etwas auf die Platte geschrieben werden muss es auch erstmal durch TrueCrypt um verschlüsselt zu werden. Windows weiß garnicht, dass die Daten auf der Festplatte verschlüsselt sind
Da alle Daten durch TrueCrypt durch müssen, hast du niemals auf der Festplatte unverschlüsselte Daten liegen.

@ovu-p86: Ich kenne die Software nicht, weiß daher leider auch nicht wie sie genau arbeitet.
Allerdings wird die Software auch nur die unverschlüsselte resp. entschlüsselte Version der Festplatte sehen, wenn sie unter Windows ausgeführt wird - ergo wird sie auch die unverschlüsslten Daten ins Image schreiben.
Beim Zurücksichern hast du dann zwar den TC-Bootloader, der wird aber mit den unverschlüsselten Daten vermutlich wenig anfangen können.
Anders sieht es aus, wenn du ein Offline-Image erzeugst (also z.B. nach dem Boot von CD) - da habe ich zumindest mit Acronis-Images ein lauffähiges System problemlos zurücksichern können. Allerdings wie gesagt nur das Image, welches Offline angefertigt wurde.

Hallo maxi89,

jetzt wo du´s sagst, ist es natürlich einleuchtend.
Das heißt, es geht nur "Offline".
Weiß jetzt Bescheid. Danke.

(Übrigens "Macrium-Reflect leistet das gleiche wie Acronis. Ist nur nicht so überladen
und hat bei mir seit Jahren zuverlässig, ohne Komplikationen funktioniert )


Gruß
Uwe

Für die Festplattenverschlüsselung ist die logische Einheit "Datei" genau genommen nicht von Bedeutung.
Die Verschlüsselung erfolgt i.d.R. durch einen Filtertreiber zwischen Dateisystemtreiber und Volume-Management. D.h. unter Windows ist die Verschlüsselung schon für den NTFS-Treiber transparent, er liest also aus seiner Perspektive durch den Filtertreiber nicht anders als von einer unverschlüsselten Platte.
Der Filtertreiber seinerseits ver- und entschlüsselt sektorweise. Beim Lesen einer Datei werden vom Dateisystem die Sektoren, die von der Datei belegt werden, angefordert, vom Filtertreiber gelesen, entschlüsselt und geliefert. Diese Architektur ermöglicht daher auch Implementierungen, bei denen die Verschlüsselung an einer Sektorgrenze angehalten und später fortgesetzt werden kann.
Zudem ist die Anwendung eines bestimmten Algorithmus auf die Sektoreinheit für die kryptografische Stärke der Verschlüsselung entscheidend. Eine reine AES-Verschlüsselung verwendet für jeden Block denselben Schlüssel und führt innerhalb des Sektors eine Verkettungsoperation wie z.B. CBC aus. Daraus ergeben sich theoretische Angriffsmöglichkeiten gegen die Verschlüsselung, die sich vor allem auf der Vielzahl der gleichartig verschlüsselten Sektoren beruhen. Deshalb setzt bspw. Bitlocker noch einen Diffuser-Algorithmus ein, der mit einem individuellen Sektorschlüssel die AES-Verkettung weiter verschleiert.

Grüße
Richard

Hi Leute,
bzgl. Image-Sicherung von verschlüsselten Festplatten hätte ich folgende Beiträge namhafter Hersteller:
HOW TO: Create Backup Images of Whole Disk Encrypted Drives or files
Compatibility of Acronis True Image with TrueCrypt
Symantec System Recovery 2011: Support for Symantec and Third-Party Encryption Solutions

Hallo C.R.S,

interessanter Aspekt.

Da Trucrypt ja auch Verschlüsselungs-Kombinationen anbietet (ich aber nie verstanden habe was
dahintersteht), wäre ich dankbar, wenn du mal deine Meinung äußerst.

Welche Verschlüsselungsart / Kombination stellt den besten Kompromiss zwischen
Sicherheit und Komfort (Schnelligkeit) dar?

Als Verschlüsselungs-Algorithmen stehen zur Verfügung:

Name	Rel. Geschw. MB/s
AES	173 MB/s
Twofish	105
Serpent	87
AES - Twofish	62
Twofish - Serpent	61
Serpent - AES	55
Serpent - Twofish - AES	38
AES - Twofish - Serpent	37

(die Geschw. sind natürlich relativ, geben aber die Tendenz an)

Als Hash-Algorithmen stehen zur Verfügung:
RIPEMED-160
SHA-512
Whirlpool

Eine Antwort wäre hilfreich.


Gruß
Uwe

Hallo Uwe,

im Gegensatz zu Bitlocker mit (AES-)CBC verwendet Truecrypt bei allen Algorithmen XTS als Verkettungsoperation. Alle Algorithmen haben 256 Bit Schlüssellänge.
XTS gilt als fortschrittlicher und sicherer als CBC und erfordert nativ einen zweiten 256-Bit-Schlüssel, so dass man den Sinn des Elephant-Diffusers mit Sektorschlüssel von Bitlocker als gleichwertig kompensiert ansehen kann.

Das Kaskadieren der drei Algorithmen bedeutet einfach, dass der Kryptotext des einen als Klartext in den anderen Algorithmus eingegeben wird. Dabei werden jeweils eigens aus dem Passwort und einem Salt generierte Schlüssel bzw. XTS-Schlüssepaare verwendet, also maximal 6 Einzelschlüssel. Das stellt kryptografisch natürlich eine Härtung dar. Praktisch sehe ich aber keine Notwendigkeit einer Kombination, da ein Angreifer aus dem headerlosen Trucrypt-Volume weder auf den Hash- noch auf den Verschlüsselungsalgorithmus schließen kann und zudem ein verstecktes Volume in Betracht ziehen muss.
Das wirtschaftliche Risiko eines sehr gezielten Angriffes auf ein Verfahren wäre bei den insgesamt 48 möglichen Kombinationen hoch. Man würde ihn daher vermutlich am gewöhnlichen Entschlüsselungsprozess von Truecrypt ausrichten, also von Anfang an alle Verfahrenskombinationen pro Schlüssel ausprobieren und eben nicht nacheinander die Schlüssel für jedes Verfahren. Solange der richtige Schlüssel nicht gefunden ist, ist dann der Zeitaufwand unabhängig vom Ziel gleich.

Grüße
Richard

Hallo Richard,

danke für die ausführliche Erklärung.
Das heißt, ich kann die komfortabelste, schnellste Lösung "AES" nehmen.
(Absolute Sicherheit gibts eh nicht)

Sollte ich das falsch verstanden haben, melde dich bitte nochmal.


Ansonsten, dank noch mal für die Erklärung.

Gruß
Uwe

Hallo an alle,

ich will euch nicht enttäuschen mit der Software TrueCrypt und Festplatten verschlüsselung falls man so es nennen kann mit der Software.

Ich erkläre es ganz schnell:
TrueCrypt HD verschlüsselung = Erstellte Partition (versteckt) encrypted mit was ihr es wollt, wenn ich mit einer Linux Live CD die plötzliche angezeigte partition lösche =~ 9GB = Vollzugriff auf deine Dateien.

Ich sage es nur weill ich das schon offt gemacht habe wenn mal jemand das Passwort vergessen hat oder wenn ich einen neuen Betriesystem installieren will kann ich einfach Windows CD eingelegen partitionen löschen und neu installieren ohne das die Festplatte gesperrt wird.

ABER es gibt auch was Sicheres wenn man von Festplattenverschlüsselung redet. "Trusted Platform Module" oder Fritz Chip/TPM
Dieser verschlüsselung läuft über das BIOS (Ich meine nicht das BIOS admin Passwort) meine eine option "Festplattenverschlüssen" und kommt aus den frühren IBM Notebooks die Heute noch verwendet wird an DELL Notebooks und anderen marken (die mir bekann ist).
Also diese verschlüsselung wird nicht an eine versteckte partition gespeichert, es wird in den Chip Controller der Festplatte gespeichert (Das heisst, wenn das Passwort vergessen wird kannst es vergessen es selbst oder ein normalen IT-Fachmann darum betten auf deine daten zu greifen, nicht mal über linux kommst da drauf oder Festplatte in einen anderen Rechner / gerät anschliessen).

Wenn das Passwort vergessen wurde kann mann die nicht formatieren oder Daten wiederherstellen, und ich kenne keine leute / firmen (Es gibt warscheinlisch einige aber der spaß kostet viel geld) die sie entschlüsselt.

Die einzige möglischkeit die Festplatte zu entschlüsseln währe so ungefähr:

http://www.rkawakami.net/ibm_600x/bios_pass/

Also beim Kauf eines Notebook schauen ob das BIOS die Fesplatteverschlüsseln kann.

Grüße

Ohne darauf weiter eingehen zu wollen:
a) Wenn das bei dir so funktioniert ist etwas beim Anlegen der verschlüsselten Partitionen schiefgelaufen oder der Verschlüsselungsvorgang wurde nie vollständig abgeschlossen - z.B. weil der Benutzer das System nur einmal die Woche für 30 Minuten einschaltet...
Abgesehen davon ist Festplattenverschlüsselung nichts für Menschen die dazu neigen in regelmäßigen Abständen ihr Passwort zu vergessen.

b) Was ist vertrauenswürdiger: Eine vom Festplattenhersteller implementierte On-Chip-Verschlüsselungstechnik die in chinesischen / thailändischen Werken gefertigt wird und von der niemand weiß ob es nicht vielleicht doch ein geheimes Master-Passwort gibt? Oder vielleicht doch lieber die stark verbreitete Software deren Quellcode jeder einsehen kann und wo du selbst prüfen kannst dass keine Backdoors drin sind?
Das mit dem löschen irgendeiner geheimen Partition kann ich zu 100% NICHT bestätigen - auch wenn ich mich fast schäme es überhaupt probiert zu haben ist dieses Verhalten nicht nachvollziehbar. Die gesamte Festplatte ist unlesbar, es wird nichtmal eine Partitionstabelle gefunden.
Ich bin gerne bereit meine Meinung zu ändern, wenn man mir Belege dazu vorlegt, sonst fällt es unter die Kategorie "Habe mal vom Schwager des Bekannten eines Arbeitskollegen vom Nachbarn der Freundin gehört..." und kursiert in Sachen Glaubwürdigkeit irgendwo zwischen Bild-Zeitung und dem Wahlprogramm der FDP.

c) Was du über TPM erzählst ist ja toll und innovativ - aber auch ich befinde mich im Besitz von Hardware die sowohl mit TPM-Chips als auch der Option der Festplattenverschlüsselung daherkommt. Es gibt jedoch etwas, das mich stört - was mache ich mit den Daten auf der Festplatte wenn die Hardware drumherum mal über die Wupper geht? Da es sich um ein Notebook handelt welches mitgenommen werden will kann ich nur selten Datensicherungen vor Ort fahren und würde unter Garantie genau die Daten verlieren die ich gerade dringend brauche.
Bei Truecrypt baue ich die Festplatte halt aus und lese sie an einem anderen Rechner mit dem richtigen Passwort aus...