Dual Boot mit unabhängigen SSDs ( keine gegenseitige Erreichbarkeit)?

[Chr1st0ph]

Moin zusammen,
ich habe in meinem Desktop eine M2 SSD mit Windows 10 und eine SATA-SSD mit Linux Ubuntu 22.04.2. Um die Datensammelwut mancher Programme zu unterbinden möchte ich gerne verhindern, dass die Systeme sich gegenseitig erreichen können. Gibt es dazu eine SW-Lösung oder bleibt nur eine wenig praktikable galvanische Trennung, der jeweils nicht genutzten Platte?

Schöne Grüße,
Christoph

 

[madmax2010]

partition nicht einbinden.
alternativ stom der jeweiligen SSD abschalten. Wird bei der M.2 SSD jedoch etwas tricky..
Sonst halt in beiden Fällen full disk encryption.
Und Windows kann eh kein ext4

 

[No Escape]

Die Linux Installation verschlüsseln reicht Dir nicht als Option?

 

[der Unzensierte]

Eigentlich ist es ganz einfach - was mit Software ausgeschaltet wird kann auch mit Software wieder eingeschaltet werden. Sichere Trennung ist immer galvanisch. Man könnte natürlich mit einem Icy Dock die M.2-SSD hot swappen. Wenn genug Platz da ist.
https://www.icydock.com/nvme_m2

 

[No Escape]

Dann erzähl mal bitte, wie Windows und Standardprogramme die Verschlüsselung umgehen.

 

[scooter010]

Es ist vollkommen ausreichend, bei Windows Bitlocker zu aktivieren und Ubuntu unter LUKS zu installieren. Windows kann die Linux-Platte nicht entschlüsseln und anders herum auch nicht.

 

[Tzk]

was mit Software ausgeschaltet wird kann auch mit Software wieder eingeschaltet werden.

Stelle ich mir z.B. bei zwei mit Veracrypt verschlüsselten Partitionen schwierig vor. Du entschlüsselst nur eine von beiden, wie soll die andere SSD eingebunden werden, ohne das du den Schlüssel eingibst?

 

[Redundanz]

windows unterstützt kein ext (btrfs, zfs und konsorten noch weniger), außer du installierst spezielle 3rd party treiber. außerdem kann nichts gelesen werden, was nicht gemounted ist.

und linux unterstützt zwar seit einiger zeit ntfs out of the box, aber liest ebenfalls nichts was nicht gemounted ist.

 

[MADman_One]

Stelle ich mir z.B. bei zwei mit Veracrypt verschlüsselten Partitionen schwierig vor. Du entschlüsselst nur eine von beiden, wie soll die andere SSD eingebunden werden, ohne das du den Schlüssel eingibst?

Ich glaube er meinte das eher Allgemein, was ja richtig ist, und hat Verschlüsselung nicht als Softwarelösung mitbedacht. Galvanische Trennung schützt zusätzlich auch vor Beschädigung durch elektische Störungen oder Viren, daher sind meine Backups "galvanisch getrennt".
Wenn es aber nur um die Verhinderung von ungewolltem Datenabfluss geht wie hier, dann ist eine Verschlüsselung quasi genau so sicher und die einfachere Lösung aus meiner Sicht. Ich verschlüssele alle meine Datenplatten mit LUKS oder Vercrypt und Systemplatten mit den OS eigenen Lösungen wie Bitlocker oder LUKS.

 

[Chr1st0ph]

Danke für die Tipps!
Leider ist irgendwas schiefgegangen und der Bitlocker lässt mich nicht auf meine Daten zugreifen habe es schon erfolglos mit "manage-bde" probiert. Der Bezeichner zeigt nur die ersten 8 Ziffern und der Schlüssle wird als falsch zurückgewiesen. Könnt ihr mir hierbei weiterhelfen oder bin ich gezwungen auf einen Recovery Anbieter wie IBoysoft zurückzugreifen?

 

[No Escape]

Erzähle jetzt bitte nicht, dass da wichtige Sachen drauf sind und du kein Backup hast.

 

[Chr1st0ph]

@No Escape
Natürlich sind da wichtige Sachen drauf, sonst könnte ich mir die Encryption sparen
Von den wichtigsten Dingen habe ich Backups (sinnigerweise die unersetzlichen, ideellen Files). Der Rest ist lästiges zeitintensives Zeugs, bei dem ich ungern bei Null neu starten möchte. Auch der Gedanke den Quatsch neu aufzusetzen lässt mich nicht gerade Luftsprünge machen, aber der Kosten-Nutzen Faktor der Recoveryanbieter ist für mich negativ.
Die Onlinetutorials, die ich bisher gefunden habe beziehen sich entweder auf
a) Knacken des Schlüssels, den ich aber bereits habe oder
b)(möglicherweise veraltete) Methoden, die nicht zum gewünschten Resultat führen

Daher die Frage, ob jemand hier bereits positive Erfahrungen sammeln konnte

 

[riversource]

Der Schlüssel wurde doch bestimmt im Microsoft Konto hinterlegt, oder?
https://myaccount.microsoft.com/device-list

 

[PC295]

Wie hast du den Bitlocker eingerichtet? (TPM, PIN / Passwort beim Start).

Von solchen Recoveryanbietern kannst du einen Bogen machen, gerade was das Knacken von Schlüsseln angeht.
Ob das Knacken funktioniert ist reine Glückssache, weil Voraussetzungen erfüllt sein müssen, die in der Praxis selten vorkommen.

Das Tool von IBoysoft ist zudem nur dazu gedacht um Dateien aus dem unverschlüsselten Bereich zu retten, auch wenn der Datenträger formatiert wurde.
Denn es ist so, dass Bitlocker nicht den Speicherplatz komplett verschlüsselt, sondern nur den verwendeten Bereich, also dort wo die Dateien und Ordner liegen. Dadurch können u.U. frühere Dateien, die noch nie verschlüsselt waren, wiederhergestellt werden.

In aktuellen Windows-Systemen funktioniert das nicht mehr, da beim Formatieren die Bitlocker-Metadaten sicher gelöscht werden, auch wenn die Schnell-Formatierung verwendet wird.

Ein entsprechenden Hinweis findest du dort auch auf der Seite:

Note: If the BitLocker encrypted drive is formatted in Disk Management or Windows File Explorer on Windows 11/10/8/7/Vista, the BitLocker metadata of the drive has been erased too. This situation is beyond the ability of any BitLocker data recovery software or services.

 

[Chr1st0ph]

@riversource
Nope habe ihn ausgedruckt und einen weiteren per "manage-bde -protectors -get (Drive Letter):" ermittelt

@PC295
Der Bitlocker sollte über TPM laufen (was er bei einer anderen Platte auch anstandslos durchführt), bei dieser behauptet er, dass kein TPMmodul gefunden würde und verlangt den Recoverykey. Starte ich Windows auf einer anderen Platte und versuche die Gesperrte zu entsperren kommt die Meldung "Der Schlüssel stimmt nicht mit diesem Laufwerk überein" (der Bezeichner ist aber der Richtige).

Danke für den Hinweis zum Recovery, das war nur etwas was bei der Suche mit auftauchte, weshalb ich es in die Frage mit einbezogen habe.

 

[riversource]

Aber du hast den Recovery Schlüssel? Als Papier ist zwar lästig, aber dann kannst du auch die Platte entschlüsseln.

 

[Chr1st0ph]

@riversource

Nein leider nicht, da der Schlüssel nicht akzeptiert wird.

Zum besseren Verständnis, der Vorgang war wie folgt:
Bitlocker gestartet -> Prompt: Schlüssel drucken oder ins Konto? -> Drucken -> Verschlüsselung ->Neustart -> kein TPM-Modul gefunden -> RecoveryKey -> Neustartschleife /

Windows auf der anderen Platte gestartet, Datenträger angewählt Key eingegeben -> "Der Schlüssel stimmt nicht mit diesem Laufwerk überein" (ist aber exakt so eingegeben wie gedruckt)

Anschließend Recherche -> Zugriffversuche über Power Shell Commands -> Anfrage im Forum

Vom Bezeichner werden die ersten 8 Ziffern der Kennung angezeigt, weshalb ich ausschließen kann den falschen Key zu verwenden.

Die Datenträgerverwaltung sagt mir "Dateisystem: Unknown (BitLocker-verschlüsselt)" aber "Status: fehlerfrei" und die Kapazität wird auch korrekt angegeben. Die Platte ist also nicht komplett zerschossen, aber es wirkt auf mich als wäre der Locking-Prozess corrupted.

 

[riversource]

Tja, dann ist da wohl gründlich was schief gegangen. Sowas ist mir noch nicht untergekommen. Bislang war Bitlocker immer sehr zuverlässig.

 

[Dr. McCoy]

Erstens, vor jeder Verschlüsselung wichtiger Partitionen oder ganzer Datenträger, immer mehrere vollständige Backups nach dem 3-2-1-1-0-Prinzip anfertigen. Zweitens, ein komplettes Image des fraglichen Datenträgers erstellen und inklusive USB-Notfallstaatmedium in die Schublade legen.

https://www.veeam.com/blog/321-backup-rule.html

Dann entstehen solche Probleme wie jetzt gar nicht erst.

Im Weiteren schützt eine eigene Vollverschlüsselung von Datenträgern nicht vollständig vor Zugriffen von einem anderen System auf einem anderen Datenträger im PC. So könnte beispielsweise eine unter Windows aktiv gewordene Ransomware den kompletten (ebenfalls zuvor von dir verschlüsselten) Linux-Datenträger noch einmal selbst vollständig verschlüsseln. Es würden so zwar keine Daten ausgelesen werden können, aber durch die zusätzliche "Fremdverschlüsselung" durch Malware wäre dir der komplette Zugriff fortan vollständig verwehrt.

Da hilft also nur eine rein physikalische Trennung.

Für jetzt würde ich erstmal den verschlüsselten Zustand des Datenträgers, auf den du derzeit nicht mehr zugreifen kannst, in einem Image extern sichern.

https://www.computerbase.de/downloads/sicherheit/backup/veeam-agent/

Versuche anschließend den Zugriff auf den verschlüsselten Datenträger mittels Hiren's Boot CD (USB), oder direkt über Ubuntu.

https://www.hirensbootcd.org/usb-booting/

https://itsfoss.com/mount-encrypted-windows-partition-linux/

 

[Chr1st0ph]

@Dr. McCoy
Danke für die ausführliche Anleitung, leider blieb der Erfolg aus. Unter Gparted sieht es noch OK aus, Winboot und bitlocked parts werden angezeigt, aber:

Bei Dislocker: "dislocker cannot parse colume header.abort"

Über nen WindowsStick Eingabeprompt -> manage-bde -status:
"Volume *'C:' [Die Bezeichnung ist unbekannt] [Datenvolume]
Größe: Unbekannt GB
Bitlocker-Version: 2.0
Konvertierungsstatus: Unbekannt
Verschlüsselt (Prozent): Unbekannt %
Verschlüsselungsmethode: XTS-AES 128
Schutzstatus: Unbekannt
Sperrungsstatus: Gesperrt
ID-Feld: Unbekannt
Automatische Entsperrung: Deaktiviert
Schlüsselvorrichtungen:
TPM
Numerisches Kennwort
"

Lektion für die Zukunft: Auch Bullshit häufiger sichern