Maximale Sicherheit: BIOS, Festplatte, Partition und OS verschlüsseln?

[will-lee]

Ich hab einfach mit LUKS verschlüsselt. Dann fragt er für die Entschlüsselung vor Start ein Passwort ab. Das reicht m.E. für den Privatgebrauch. BIOS-PW eher im Firmenbereich, aber privat würde ich das nicht setzen.

 

[MountWalker]

Also ich muss sagen, dass ich im üblichen Privatgebrauch nur an einer Stelle Verschlüsselung wirklich sinnvoll finde: Bei festverlöteten SSDs, die mit ihren Trägergeräten irgendwann weiterverkauft werden sollen. Also Smartphones, Tablets und dergleichen. Hintergrund ist, dass diese nicht immer zuverlässig löschbar sind. Wenn TRIM drübergelaufen ist, sind bereits gelöschte Daten zwar nicht mehr auffindbar, aber a) kann TRIM durch das Dirty Bit verhindert sein (soll gerade bei Windows-Rechnern sehr oft vorkommen und dann teilweise nur von Linux aus und nicht von Windows wieder entfernbar sein) und b) gilt das dann ja nicht für Daten die in irgendwelchen temporären Dazeien noch rumschwurbeln könnten.

Auf einem richtigen Rechner aber kann ich aber bei SSD (notfalls Dirty Bit von Linux aus entfernen) mit ATA Secure Erase und bei HDD mit einmal (ja einmal reicht) den kompletten Datenträger überschreiben alles zuverlässig löschen und der Umstand, dass jeder alle Daten vom Datenträger direkt lesen kann und man geradezu den Datenträger einfach in einen neuen Rechner einhängen und mit den Daten weiterarbeiten kann, ist gerade etwas, das ich ausdrücklich will - jeder ist eben auch ich im Notfall.

Die Wahrscheinlichkeit, dass jemand bei mir physisch einbricht um meine physischen Datenträger aus meinem Rechner zu entwenden und diese dann auszulesen, ist a) eher gering und b) hätte sojemand auch Zugriff auf meine Rechnungen und Kontoauszüge der letzten 10 Jahre in meinem Papierarchiv, das ebenfalls weder verschlüsselt ist, noch sich selbst schreddert, wenn jemand einbricht.

 

[Mondgesang]

Aber das hätte auch eine KI erklären können.

Ich bevorzuge den Kontakt mit echter Intelligenz

 

[Janoe]

Im Grunde kannst du dir vorstellen, dass ein Passwort vor der Anmeldung eben nur verhindert, dass jeder Hinz und Kunz sich spontan am Rechner anmeldet und irgendwelche Programme installiert. Eine Live-Disk und man kommt daran immer vorbei die Daten werden da im Grunde kaum oder gar nicht geschützt. Also wie schon mehrfach hier erwähnt geht es um Verschlüsselung der Daten und dann eben je nachdem wann und wie und ob automatisiert (z.B. via TPM) diese am selben PC entschlüsselt werden.

Ich finde der Arch-Wiki hat hier eine schöne Tabelle und Erklärungen wie encrypted wird und welche Vor- und Nachteile die jeweilige Art hat.

 

[GrumpyCat]

Nach dem Löschen von Daten schickt Windows sehr schnell den TRIM-Befehl - und die SSD-Controller führen sehr zeitnah eine Garbage-Collection aus. Dann sind die Daten endgültig sortenrein und unwiederbringbar recycled.

Nö. TRIM gibt erstmal nur die Flash-Datenblöcke zur Wiederbenutzung frei. Tatsächlich überschrieben werden die halbwegs sicher erst dann sein, wenn die SSD irgendwann später zu 100% mit Nutzerdaten gefüllt wurde (und selbst dann ist wegen Overprovisioning noch nicht alles ganz sicher).

Klar kommt das OS nach TRIM nicht mehr an die Daten ran, aber in den Flash-Chips stehen sie nach wie vor.

 

[cyberpirate]

Veracrypt wäre mein Kandidat.

Meiner auch. Ich arbeite auch lieber mit Containern. Bin Ich wesentlich flexibler.

 

[mchawk777]

Ebenso macht das Kennwort für eine SATA-HDD diese unbrauchbar, da man ohne dieses Kennwort der Datenträger komplett unbrauchbar ist und nicht mehr anderweitig genutzt werden kann. Die Daten auf dem Datenträger wären dann aber noch vorhanden.

Kommt jetzt ein wenig darauf an, was Du mit "Kennwort für eine SATA-HDD" meinst. 🤔
Generell scheren sich weder Linux-Life-Systeme oder Datenrettungssoftware um die Begrenzungen von Systemrechten.

Nö. TRIM gibt erstmal nur die Flash-Datenblöcke zur Wiederbenutzung frei. Tatsächlich überschrieben werden die halbwegs sicher erst dann sein, wenn die SSD irgendwann später zu 100% mit Nutzerdaten gefüllt wurde (und selbst dann ist wegen Overprovisioning noch nicht alles ganz sicher).

Faktisch führen aktuelle SSD-Controller sehr schnell die Garbage-Collection nach einem TRIM durch.
Es ist je nach Auslastung des System nicht instant aber es dauert auch keine Stunden.

Mit Nutzerdaten muss da nix neu befüllt werden. Eine SSD ist keine HDD.

 

[h2f]

Obwohl ich Veracrypt auch für eine prima Software halte, würde ich unter Linux prinzipiell das eingebaute Luks vorziehen. Einfach beim Erstellen der Partitionen "verschlüsseln mit Luks" (oder so) wählen und sich durchführen lassen. Luks ist mMn deutlich vertrauenerweckender als Bitlocker unter Windows...
Unter Windows wäre Veracrypt definitiv meine Wahl. (für das ganze System, nicht nur für einen Container)

 

[TomTDooley]

Man muss immer zwei Seiten betrachten.

Sein ganzes System zu verschlüsseln sorgt automatisch dafür, dass man sich im Fall eines Rechnerdefekts auch damit auskennen muss, wie man seine dann verschlüsselten Daten rettet.

Auch Datenrettungslabore dürften es bei Festplattencrash schwerer haben.

Ich bevorzuge die Variante, die auch schon andere genannt haben ... verschlüsselte Container.

Auch hier hier gilt: es gibt immer zwei Seiten eine Medaille.

 

[GrumpyCat]

Faktisch führen aktuelle SSD-Controller sehr schnell die Garbage-Collection nach einem TRIM durch.

Das sag mal z.B. einem System, das nicht 99%ig idle ist.

 

[mchawk777]

@GrumpyCat Das sage ich all den Wehklagenden, die erfolglos versuchen gelöschte Daten von SSDs zu retten.
Was wird das hier? Unbedingt recht behalten wollen? Von mir aus - sind ja nicht meine Daten. 🤷‍♂️

 

[prian]

Kommt jetzt ein wenig darauf an, was Du mit "Kennwort für eine SATA-HDD" meinst. 🤔

nur ein Beispiel:
https://consumer.huawei.com/de/support/content/de-de00688477/

Generell scheren sich weder Linux-Life-Systeme oder Datenrettungssoftware um die Begrenzungen von Systemrechten.

Das hat mit Linux nichts zu tun, die HDD ist dann geblockt und kann nicht mehr verwendet werden.

M.W. wäre dann eine solche HDD unbrauchbar und kann erst nach Entfernen/Eingabe des Kennwortes wieder genutzt werden.

 

[Garmor]

Obwohl ich Veracrypt auch für eine prima Software halte, würde ich unter Linux prinzipiell das eingebaute Luks vorziehen.

Cryptsetup kann übrigens auch Veracrypt-Container öffnen. Theoretisch kann es sogar Bitlocker öffnen.

 

[Blackhorse79]

Es ist nicht immer unbedingt sinnvoll einen ganzen Datenträger zu verschlüsseln.

Man kann vertrauliche Dinge in Containern aufbewahren und diese wie eine Zwiebel sogar mehrfach verschlüsseln. Auch kann man diese Container geschickt tarnen, z.B. als Winiso, so dass die verschlüsselte Datei nicht auffällt auf einem System.

Außerdem sind Container portabel und besser zu transportieren auf einem USB-Stick usw. Auch beliebige Backups sind deutlich simpler zu gestalten.

Zum Verschlüsselungsprogramm wurde Veracrypt schon empfohlen. Das läuft neben Windows auch unter Linux, was sehr praktisch ist. Der Vorgänger von Veracrypt, Truecrypt 7.1a galt lange als nicht knackbar. Aber das damalige Team hat die Arbeit plötzlich, vermutlich wegen Druck von Außen, eingestellt.

Das Ganze mit der Verschlüsselung macht aber wirklich nur dann Sinn, wenn Du wirklich sensible Informationen schützen musst / willst.

Einen reinen Gamingrechner mit ein paar privaten, uninteressanten Daten zu verschlüsseln ist komplett sinnfrei. Ja, Winzigweich macht es mittlerweile trotzdem. Hat aber nur firmenstrategische Gründe und bringt dem Endnutzer in diesem Fall gar nichts.

Warum den privaten Gamingrechner mit uninteressanten Daten NICHT verschlüsseln? Damit man im Fall des Nichtbootens bzw. bei kompletten Systemausfall, Datenträgerbeschädigung mit einem Livelinux immernoch die unverschlüsselten Daten von den Datenträgern retten kann.

Mobile Geräte und deren Partitionen muss man so dann auch nicht mehr verschlüsseln. Hier kann man dann besser einfach den genannten, getarnten Container raufkopieren, mounten, fertig.

Bitlocker hingegen empfehle ich generell nicht für hohe Sicherheitsanforderungen. Das ganze Konzept ist hier seitens Winzigweich sehr fragwürdig.