Nachträgliche System-Verschlüsselung

[badday]

Moin zusammen,

ich habe folgendes Szenario:

1 NTFS-Partition Windows Server 2008 R2 (HDD 1)
1 NTFS-Partition Systemreserviert (HDD 1)
1 EXT4-Partition Fedora 14 (verschlüsselt) (HDD 1)
1 EXT3-Bootpartition Linux
1 NTFS-Partition Daten (HDD 1)
1 NTFS-Partition Daten (HDD 2)


Ich würde nun gerne das gesamte System verschlüsseln (d. h. nich nur einzenlne Partitionen, sonder z. B. auch den MBR) mit AES-256bit.

Meine Frage nun: Wie stellt man das am besten an? Es gibt ja diverse Programme (TrueCrypt, CompuSec, ...), aber ist es unter den gegebenen Umständen einfach möglich, das ganze zu verschlüsseln? Ich denke um das ganze wirklich sicher zu machen, wird man um PBA nicht herumkommen?


Für Tipps und Meinungen wäre ich dankbar


Gruß,

badday

 

[TimBerlin]

hier:
http://www.sophos.de/products/enterprise/encryption/safeguard-easy/

http://www.securstar.com/home.php

warum selber googeln, wenn die arbeit doch andere machen?

noch was:
www.gidf.de

 

[badday]

Ich habe mich natürlich vorher informiert. All deine Vorschläge kosten etwas und kommen daher nicht infrage. Es geht mir nicht primär um Programmvorschläge, sondern darum, inwiefern es sich mit Multi-Boot-Systemen verträgt.

Ich habe z. B. dieses Programm gefunden: http://de.wikipedia.org/wiki/Free_CompuSec

Die Frage ist: Wie erreicht man eine Vollverschlüsselung eines Dual-Boot-Systems? Hat hier irgendjemand Erfahrungen?

 

[Simpson474]

Dass es Programme dafür gibt, ist dem Threadersteller wohl auch klar. Seine Frage war ja, ob das problemlos funktioniert. Um ehrlich zu sein, die TrueCrypt Systemverschlüsselung habe ich selbst noch nicht probiert, ich kann nur ein paar grundsätzliche Sachen dazu sagen. Der MBR selbst wird nie verschlüsselt, dieser muss ja die erste Entschlüsselung handeln. So viel ich weiß unterstützt TrueCrypt kein Linux bei der System Encryption - daher müsstest du auf die Linux-Partition verzichten bzw. die native Verschlüsselung von Linux verwenden. Daten-Partitonen (bei HDDs bin ich mir nicht ganz sicher, ob das nicht nur auf einer HDD funktioniert) können in die System Encryption mit aufgenommen werden (keine weitere Passworteingabe nötig) oder auch getrennt gehandelt werden (späteres Einbinden per TrueCrypt).

 

[Merle]

Also mit Truecrypt hat das alles keinen Einfluss aufeinander.
Ich hatte das mit "Diskcryptor" (eigentlich das gleiche wie Truecrypt, nur für ganze Partitionen/HDDs) und Truecrypt. Beides ging in Dualboot XP/Win7 problemlos.

*edit1:
Ok Linux weiss ich nciht.

 

[badday]

Der MBR selbst wird nie verschlüsselt

OK, das war eine unglückliche Formulierung. Ich dachte daran, dass über den MBR ein Ver- bzw. Entschlüsselungsmodul geladen wird, wie bei CompuSec.

 

[enteon]

die partition verschlüsseln und dann erfolgreich davon booten funktioniert nur wenn der kernel so verändert wird, dass er die verschlüsselten daten komplett transparent als unverschlüsselt sieht. eine software für windows und linux müsste also für beide kernel module bereitstellen, sowas kenne ich nicht, hab aber auch nicht danach gesucht ^^ das einzige was mir einfallen würde, truecrypt, kann linux scheinbar nicht komplett verschlüsseln.

du wirst also wohl windows und linux getrennt verschlüsseln dürfen. leider kann truecrypt kein dual-boot mit einem anderen bootloader. aber dafür gibt es einen workaround: http://blog.dbclan.de/index.php/2008/03/windows-encrypted-truecrypt-linux-encrypted-dm-crypt/. die sache mit LVM ist optional und bei dir wohl nicht nötig, da du nur eine linux-partition hast. stattdessen würde ich mit LUKS und dm-crypt verschlüsseln.

/boot und somit kernel und initrd bleiben dabei übrigens unverschlüsselt, was man mit GRUB2 je nach glück auch ändern könnte, aber dann sollte man nur noch eine partition haben, sonst hat man wieder zwei passwörter. wenn das nicht sowieso immer noch so ist: http://xercestech.com/full-system-encryption-for-linux.geek (letzter absatz^^).

noch spannender wird das alles weil du es nachträglich machen willst. das ist möglich, benötigt aber planung und ein komplettes verständnis von dem was abläuft (oder zumindest ein komplettes backup und viel frusttoleranz), welcher bootloader in welcher reihenfolge in welchem MBR liegt und was von wo wie lädt und somit entschlüsseln muss.
viel spaß beim basteln