Truecrypt - Perfomanceverlust ?

[Scr1p]

Hi,
in unserer Firma möchten wir in nächster Zeit alle portablen PCs also Notebooks komplett mit Truecrypt verschlüsseln.

Ich habe natürlich die ehrenvolle Aufgabe von der Geschäftsleitung herauszufinden ob ein Performanceabfall dabei entsteht.
Eigentlich muss ich nur wissen was passiert wenn ich die Platte komplett mit Truecrypt dichte mache, ob das dann beim booten nach der Truecrypt-Passwort Eingabe eine Ewigkeit entschlüsseln muss oder sofort dannach die Windows Anmeldung kommt.

Dazu brauche ich natürlich noch Zahlen die ich vorlegen kann, gibt es dazu Benchmarkprogramme ? Mit HDD Tune klappt das nicht.

Ihr sollt mir nicht die Arbeit abnehmen ich brauche nur einen Wegweiser

 

[noay11]

stoppuhr

 

[Madman1209]

Hi,

merkt man fast nicht. Die CPU sollte halbwegs aktuell sein und die Festplatte nicht extrem langsam, aber wirklich merken wird man es nicht.

Mach doch einfach zum Spaß den Test mit 2 identischen Geräten: eines ohne, eines mit Verschlüsselung. Stelle beide (nach dem Booten) nebeneinander hin und lasse die Chefs selber damit arbeiten. Wenn jemand wirklich was merkt dann hört er wahrscheinlich auch das Gras wachsen

Warum genau klappt HDD Tune nicht?

VG,
Mad

Edit: Benchmarks und Fazit

 

[JiJiB!]

TrueCrypt bietet dir einen integrierte Benchmark, je nachdem wie du verschlüsseln möchtest.
Und natürlich je mehr Kombinationen an Verschlüsselung du auswählst desto mehr Performance geht flöten.
Allerdings hält sich das je nach verwendeter Festplatte noch im Rahmen.
Die CPU ist zumindest bei mir meist schneller als die Festplatte.

 

[KaeTuuN]

Der einzige Zeitverlust der stattfindet ist die Eingabe des PWs, danach findet zumindest kein spürbarer Verlust statt.

Mfg Kae

EDIT: Je nach eingesetzter Software, solltet ihr da vorher noch ein paar Kompatibilitätstests machen. Gerade VirtualPC, VMWare, App-V / Softgrid, Citrix und dergleichen vertragen sich nicht immer gut mit TrueCrypt.

 

[Scr1p]

Hi,

merkt man fast nicht. Die CPU sollte halbwegs aktuell sein und die Festplatte nicht extrem langsam, aber wirklich merken wird man es nicht.

Mach doch einfach zum Spaß den Test mit 2 identischen Geräten: eines ohne, eines mit Verschlüsselung. Stelle beide (nach dem Booten) nebeneinander hin und lasse die Chefs selber damit arbeiten. Wenn jemand wirklich was merkt dann hört er wahrscheinlich auch das Gras wachsen

Warum genau klappt HDD Tune nicht?

VG,
Mad

Edit: Benchmarks und Fazit

Gras beim wachsen... sau gut

Ok das mit den 2 Geräten mach ich jetzt, gute Idee danke !

HDD Tune mekkert dauernd von wegen er kann auf der Systemplatte keinen Schreib- und Lesetest machen weil dadurch Datenverlust entsteht.

@JiJiB, Tatsache, wird gleich probiert, danke !

@KaeTuuN, also keine ewige entschlüsselung, danke !

 

[SourceCoder]

Da gleich mal ne Frage dazu, ist dass auch bei einer SSD Festplatte sinnvoll oder schadet das der SSD wegen der mehr Arbeit die es leisten muss?

 

[KaeTuuN]

Wenn die SSD 10 Jahre halten soll, dann könnte das knapp werden, wenn es sich allerdings um den normalen Zeitraum handelt (4 Jahre -> Abschreibung), dann dürfte das kein Problem sein.

Mfg Kae

 

[Atkatla]

Wenn Chefs Zahlen sehen wollen, dann gib ihnen Zahlen. Die Frage ist, ob sie sich Zeit nehmen wollen, selbst zu vergleichen.

Praxisnahe Zahlen wären wie bereits vorgeschlagen die Startzeit des Systems, bis z.B. inkl. die Office-Lösung gestartet ist, oder das Stoppe wielange wenige, große Dateien oder viele, kleine Dateien auf/von HD kopiert worden sind.

 

[Atlan3000]

Falls die eingesetzen Notebooks mit Intel CPU´s mit Core i5-24xx oder höher bestückt sind, sollten die den AES Befehl unterstützen. Das bringt laut eingebautem Benchmark etwa eine 7-fache Beschleunigung beim Zugriff wenn nur mit AES verschlüsselt wurde. Man sollte aber prüfen ob der AES-Befehl wirklich funktioniert, angeblich kann man das bei Notebooks deaktivieren. Dann merkt man fast gar nichts mehr von der Verschlüsslung.

Ungefähre Zahlen mit Desktop Core i5-2500 (aus Gedächtnis): ohne AES 300 MB/s, mit AES 2 GB/s

 

[Scr1p]

Danke SourceCoder für die Ergänzung ! Wollt ich auch noch wissen.

Was ich nich wissen will, wenn ein PC mehrere Festplatte hat, kann man den kompletten PC Plattenübergreifend verschlüsseln ?

Also wenn man dann eine der Platte ausbaut und als Slave an einen anderen PC hängt dass diese dann auch noch verschlüsselt ist.

 

[Mumpitzelchen]

HDD Tune mekkert dauernd von wegen er kann auf der Systemplatte keinen Schreib- und Lesetest machen weil dadurch Datenverlust entsteht.

Schreibtest macht immer Datenverlust, egal ob verschlüsselt oder nicht.

Da gleich mal ne Frage dazu, ist dass auch bei einer SSD Festplatte sinnvoll oder schadet das der SSD wegen der mehr Arbeit die es leisten muss?

Wo muss da die SSD mehr leisten?

Also wenn man dann eine der Platte ausbaut und als Slave an einen anderen PC hängt dass diese dann auch noch verschlüsselt ist.

Wenn du eine Platte oder Partition verschlüsselst ist sie auf der physischen Scheibe verschlüsselt, egal wo du sie ranhängst. Sonst wäre es ja keine Verschlüsselung.

 

[Scheitel]

Bei der SSDs und Vollverschlüsselung geht definitiv Leistung verloren. Auch funzen dann sachen Wie Trim, GarbageCollection und WearLeveling nicht mehr, weil für den Controller die ganze Platte "voll" ist durch die Verschüsselung.
Bei ner SSD am besten 20% unpartitioniert lassen, damit die Sachen noch vernünftig gehen.
Nen Arbeitskollege hat bei der M4(512GB) nen Geschwindigkeitsabfall auf 350MB/s lesen von vorher knapp 500MB/s.
Ist immer noch schnell, aber eben theoretisch deutlich langsamer^^

Bei ner HDD und I3 2300 besteht kein Geschwindigkeitsunterschied beim lesen/schreiben der HDD. Hatte mir das mit AS SSD angeguckt.

Wenn gewünscht, kann ich nach den Links gucken wo ich meine Aussagen zur SSD her habe.

 

[Ernst@at]

HDTune testet auf der physischen Ebene - dabei wird nicht ver/entschlüsselt.

Auch funzen dann sachen Wie Trim, GarbageCollection und WearLeveling nicht mehr,

Falsch gedacht. Warum sollte das nicht mehr funktionieren? Die Platte ist vollgeramscht mit Zeug, welches sich nicht mehr verdichten lässt - das wars aber auch schon, was haben die anderen Funktionen damit zu tun?

Für Notebooks gibt es übrigens HDDs, welche selbst verschlüsseln...

 

[Atkatla]

Weil in jedem Block schon alle Pages beschrieben sind und daher bei jedem kleinen Schreibzugriff alle Pages in dem Block neu geschreiben werden müssen.
SSDs schreiben dann mit normaler Geschwindigkeit, wenn es freie Pages gibt bzw genügend freie Blöcke in den Pages. Und die fehlen bei Vollverschlüsselung, ausser man verkleinert die Partition.

siehe http://www.anandtech.com/show/2738/8

 

[Scheitel]

Bei einem versteckten BS kann Truecrypt den Trim befehlt nicht weiterleiten.
http://www.truecrypt.org/docs/?s=trim-operation

Außerdem ebensowenig bei normalen Partitionen und Containern.
https://de.wikipedia.org/wiki/TrueCrypt#Funktionalit.C3.A4t_mit_Solid_State_Drives_.28SSD.29

Zum Wearleveling scheint meine Aussage teilweise überholt zu sein, wenn alle heutigen SSDs Over Provisioning besitzen.
http://wiki.ubuntuusers.de/SSD/Verschlüsselung

Trotzdem wird zum Freitlassen von Speicherplatz für das WearLeveling gerarten, wovon ich bereits sprach.
http://blog.siyuz.net/2010/11/17/truecrypt-7-0a-fde-on-ssd/
http://media-addicted.de/ssd-and-truecrypt-durability-and-performance-issues/744/

 

[Atlan3000]

Die GarbageCollection funktioniert bei SSD´s immer egal welches BS läuft. Das ist ja gerade die Alternative wenn Trim nicht unterstützt wird. Wenn Trim funktioniert arbeitet die GC auch nur wahrscheinlich hat sie dann nicht viel zu tun.

 

[Ernst@at]

Bei einem versteckten BS kann Truecrypt den Trim befehlt nicht weiterleiten.Außerdem ebensowenig bei normalen Partitionen und Containern.

Könnte schon, tut es aber absichtlich nicht.
Sind zwei verschiedene Paar Schuhe: "Funktioniert nicht" <=> "TC blockt es aus Sicherheitsgründen"
Da könnte sonst der böse Angreifer beim auslesen der getrimmten Sektoren(die dann statt vercrypteten unverschlüsselte Nullen enthalten) sofort sehen, wo nichts gespeichert ist.

Damit ist aber auch

Bei ner SSD am besten 20% unpartitioniert lassen, damit die Sachen noch vernünftig gehen.

bei einer vollverschlüsselten Platte vergebliche Liebesmüh.

Um der Sicherheit Willen weder Performance noch Lebensdauer zu schmälern, hat man die "self-encrypting SSDs" erfunden.

 

[Scheitel]

Du hast natürlich Recht, man möge mir meine Formulierung vergeben.

Hab in dem Zusammenhang noch was interessantes gelesen:
Link
In Beitrag 17 hat der, wie es scheint recht fähige Themenstarter, ohne was freizulassen, nach den Trimmen auch keinen Performanceverlust feststellen können.

Ist zwar mit DC statt TC aber sei es drum. Hab noch nicht alle Seiten durch, aber DC scheint auch eine interessante Alternative zu TC zu sein, grad was SSDs angeht.

Interessantes PDF, danke :-)

 

[etheReal]

Falsch gedacht. Warum sollte das nicht mehr funktionieren? Die Platte ist vollgeramscht mit Zeug, welches sich nicht mehr verdichten lässt - das wars aber auch schon.

Dadurch kann ja aber TRIM nicht mehr seine Arbeit verrichten, wenn alle Zellen voll sind - das meinte er wohl.
Deshalb der Tipp, am besten 20% der SSD unpartitioniert zu lassen, und dann nur die Systempartition verschlüsseln, nicht das ganze Laufwerk (sonst hilft das Freilassen nicht).

Bei Sandforce SSDs geht Verschlüsselung natürlich nochmal mit einem zusätzlichen Leistungsverlust einher, weil die verschlüsselten Daten zu 100% nicht mehr komprimierbar sind.
Die SSD lohnt sich trotzdem noch, ich habe ein Test-Windows auf einer alten Vertex II, das ist zur Zeit TC verschlüsselt - es fühlt sich immer noch nach SSD an, selbst auf einem relativ lahmen Athlon II X2 Dualcore ohne AES-Hardware.

Bei TC Verschlüsselung ohne AES-fähigen Prozessor bemerkt man hauptsächlich, dass HDD und SSD Zugriffe mit hoher Systemlast einhergehen. Fährt man z.b. ein Backup, bei dem viele Daten von Platte zu Platte kopiert werden, dann geht bei meinem erwähnten Athlon II die CPU auf gute 50% Kernellast (die rote Kurve im Task Manager). Diese CPU-Leistung fehlt dann natürlich, falls sie gleichzeitig gebraucht würde.
Bei den meisten Arbeiten, die der normale Büromensch aber so durchführt, wird eine moderne CPU niemals ausgelastet, und deshalb fällt die zusätzliche Belastung durch die Verschlüsselung eigentlich gar nicht auf.