Verschlüsselung gegen Diebstahl

[schlesi]

Hi zusammen,

ich stelle mir gerade eine Frage. Vielleicht könnt ihr mir dabei helfen, diese zu beantworten oder alternativ zu diskutieren, ob in meinem Gedankengang womöglich irgendwo ein massiver Denkfehler steckt.

Ich habe bis vor kurzem Bitlocker benutzt, um eine Partition zu schützen, auf der ein paar halbwegs wichtige Daten zu finden sind. Ich will jedoch keinen Geheimdienst aussperren, sondern lediglich meine Daten vor Diebstahl und im Falle eines versehentlichen Verlusts schützen.

Bislang habe ich Bitlocker verwendet. Das geht nun aber nicht mehr. Bei Bitlocker fand ich es äußerst praktisch, dass die Daten direkt mit dem Windowslogin freigegeben wurden. Bei Truecrypt gestaltet sich das i.d.R. etwas aufwendiger.

Nun zu meine Frage: Besteht die Möglichkeit, ein Volume direkt nach dem Login zu mounten und hierfür kein PW einzusetzen, sondern irgendeine Datei auf C:\ (in die ein Schlüssel integriert wurde). So kann im Falle eines Verlustes die Partition nicht entschlüsselt werden und ich spare mit bei jedem Systemstart die Eingabe eines PW.

Ist das denkbar, oder gibt es hier - bis auf die Tatsache, dass das Keyfile automatisiert eingelesen wird und sich der Schlüssel zur Partition irgendwo auf dem Notebook befindet- einen Nachteil? Wie wird hinterlegt, welche Datei als Key eingelesen werden soll? Wäre dies einsehbar, wenn jmd. z.B. mit Knoppix in den Rechner eindringt, oder wird der Pfad zur Datei ähnlich wie ein PW selbst verwaltet?

Falls alles nicht fruchtet: Gibt es Alternativen, die ihr mir empfehlen könnt?

Viele Grüße
schlesi

 

[Autokiller677]

Naja, dass der Keyfile unverschlüsselt irgendwo auf dem PC rumfliegt, macht eigentlich die ganze Verschlüsselung zunichte. Du kannst das System mit Truecrypt vollverschlüsseln und dann das Windows Passwort weglassen. Dann musst du vor dem Bootloader halt das TC Passwort eingeben, aber später bei Windows nix mehr. Sicherer als nur Windows Login + auf dem System befindlicher KeyFile ist das alle Mal.

Ein Windows Login kann umgangen werden und ein so rumliegender Keyfile kann so ausgelesen werden. Da kannst du die Verschlüsselung auch gleich weglassen.

 

[dup]

Bislang habe ich Bitlocker verwendet. Das geht nun aber nicht mehr.

Weshalb nicht?

 

[=DarkEagle=]

Für Truecrypt kann man sich ein Batchscript basteln, was beim Autostart mittels Keyfile und Passwort ein Volume mountet.

 

[schlesi]

Weshalb nicht?

Weil das Betriebssystem zurück auf Win 7 Prof. gewechselt wurde.

 

[dup]

Hat der Rechner ein TPM?

 

[schlesi]

Ja, ist eingebaut. Wieso?

 

[dup]

M.W. kann Truecrypt ähnlich wie Bitlocker auch TPM nutzen.

Edit: Anscheinend doch nicht http://www.truecrypt.org/faq. Die FAQ ist aktuell. Ich meine aber, das mal gelesen zu haben.

 

[schlesi]

Tatsächlich? Ich dachte, es könne das nicht. Das wäre ja äußerst hilfreich.

Ergänzung:
Es scheint so, als könne es das nicht.

Some encryption programs use TPM to prevent attacks. Will TrueCrypt use it too?

No. Those programs use TPM to protect against attacks that require the attacker to have administrator privileges, or physical access to the computer, and the attacker needs you to use the computer after such an access. However, if any of these conditions is met, it is actually impossible to secure the computer (see below) and, therefore, you must stop using it (instead of relying on TPM).

 

[dup]

Ich bin ziemlich sicher, das ich mal gelesen habe das es geht. Vielleicht war es dieser unfassbar komplizierte Artikel wie man das unter Linux mit ewigem Gebastel hinbekommt. Für einen konkreten Link reicht meine Erinnerung nicht mehr aus.

Wie auch immer, standardmäßig geht es wohl nicht. Außerdem benutzt du sowieso Windows.

 

[schlesi]

Gibt es da nicht eine praktikablere Lösung? Die Verschlüsselung des System-LW scheitert bspw. alleine daran, dass der häufig angeschlossene externe Monitor während des Bootens kein Signal empfängt und deshal die Eingabe des PW vor dem Booten nicht ohne (umständlichen) Aufwand möglich ist.

 

[miac]

Wie hast du dich denn mit Bitlocker autorisiert?

 

[schlesi]

TPM und Windows-Login. Verstehe ich dich da gerade richtig?

 

[miac]

Das bedeutet doch, daß deine Festplatte entschlüsselt ist, sobald du den Rechner einschaltest. Ein Dieb wird einfach deinen Rechner klauen, statt die Festplatte auszubauen.

 

[schlesi]

Ist das so? Ich bin davon ausgegangen, dass nur mit dem richtigen Windows PW die Freischaltung erfolgt.

 

[miac]

Windows würde gar nicht starten können, wenn die Bitlockertreiber auf der Systempartition nicht schon geladen wären und die Partitionsdaten on the fly entschlüsselt.

Du kannst aber (auch mit Truecrypt) ein Bootpasswort vergeben und dann Windows ohne Passwort starten.