Vollverschlüsselung mit TrueCrypt, kleine Frage

[Daniel#]

Hallo,
will meinen PC vollverschlüsseln mit PBA und wollte auch mal den PC neu machen weil er schon lange läuft.

Nun meine Frage:
Sollte ich zuerst Windows neu installieren und dann verschlüsseln, oder umgekehrt?

Weil ich hab mir gedacht das windows wenns das System formatiert die verschlüsselung "wegformatiert" oder?

Danke für die Antworten

MfG

 

[1668mib]

Die Frage ist: Kannst du Windows überhaupt auf eine vollverschlüsselte Platte installieren?

 

[thomas28]

@1668mib
Glaube ich auch nicht...

Bevor du alles verschlüsselst, denk noch dran die alten Datenrest, mit einem Tool sicher von der Platte zu löschen.

Ich würde mich generell über ein TrueCrypt oder Festplattenverschlüsselungs HowTo bzw FAQ freuen

thomas28

 

[CPat]

Wie schon angedeutet: Du musst erst das Betriebssystem installieren, um dann die Systemfestplatte oder Partition verschlüsseln zu können.
Andersrum ist der Ablauf lediglich bei nicht Systempartitionen. Da wird zuerst verschlüsselt und anschließend kann man Daten dort ablegen.

 

[Mr.Zweig]

Ich würde die Systemplatte unverschlüsselt lassen und die beiden Datenplatten, die du vor hast zu kaufen als Container verschlüsseln. Kannst dir ja zusätzlich für die Systemplatte nen Panikkey einrichten. Den kannste dann mit nem Tool verknüpfen, dass auf Knopfdruck die Platte innerhalb von Sekunden mit Datenmüll überschreibt.

 

[abulafia]

Ja, äh, Mr. Zweig , Blödsinn!

Erstens unpraktisch und zweitens unsicher.

 

[Mr.Zweig]

Bessere Idee?

Und mal abgesehn davon halte ich es sowieso für unsinnig Privatrechner zu verschlüsseln, da in den meisten Fällen die 200 kopierten Filme fein säuberlich im Schrank neben dem Rechner liegen. Wenn die Bullen einmal vor der Tür stehen nutzen dir deine verschlüsselten Kinderplatten dann auch nichts mehr.

 

[abulafia]

Vollverschlüsselung schützt ja vor allem auch vor den forensisch verwertbaren Datenrückständen in Windows, also auf der Systemplatte. Die sollte mitverschlüsselt werden.

Festplatten lassen sich auch nicht schnell zuverlässig löschen, außer du sitzt in einer Metallhütte direkt über dem Kessel. Der Quatsch mit starken Magneten funktioniert nicht, oder welche Idee auch immer hinter deinem Panikknopf steht.

 

[CPat]

Die Syststemverschlüsselung ist in fast jedem Fall vorzuziehen und auch wesentlich wichtiger. Hier liegen meist private Daten, sowie deren Rückstände (Verweise, Temps, Swap etc)
Ich persönlich würde ein wenig Vertrautheit im Umgang mit TC voraussetzen, einen Brenner und wissen, wie man vorgehen muss, sofern mal der MBR leer ist etc. Ich würde es also nicht bei jedem meiner Bekannten empfehlen. Der User sollte schon ein wenig Ahnung haben, was er da macht.

Aber ein Panik-Button zum Löschen?
Die Platte mit Datenmüll überschreiben braucht seine Zeit, Daten löschen, die in einem verschlüsselten Container stecken, macht meiner Meinung nicht wirklich Sinn (dafür verschlüsselt man ja, dass kein anderer Zugriff hat) und wenn der Rechner geklaut wird, drückt der Dieb ganz sicher nicht erstmal einen Panik-Button und schaut, was passiert.

 

[abulafia]

Ja, genau das wollte ich auch sagen!

 

[BeeHaa]

Heir find ichs schön, Mr.Zweig. Hier hat man noch was zu lachen. Wie überschreibt man 400GB in Sekunden mit Datenmüll? Ist das hart...

@Fachmänner
Was ist eigentlich mit dem Fall, daß man eine extra Swappartition hat, die nicht auf der Systemplatte ist? ? Darüber hab ich noch garnicht nachgegrübelt. Gilt jetzt für TC wie für andere PBAs.

 

[Daniel#]

Also zuerst OS installieren und dann verschlüsseln, Alles Klar

Eine Frage noch:
Wenn ich den vollverschlüsselten Rechner mal neu machen will, sprich OS neu draufmachen, wie gehe ich dann vor?

PS:
Falls jemand ein FAQ zum Thema Verschlüsselung haben will, ich kenne da ein sehr umfangreiches und ausführliches aus einem anderen Forum, könnte ich hier verlinken wenn Bedarf besteht

 

[abulafia]

Soll ich jetzt den Knopf drücken? Soll ich?

Was ist eigentlich mit dem Fall, daß man eine extra Swappartition hat, die nicht auf der Systemplatte ist?

Was soll dann sein? Wenn die auf einer nicht verschlüsselten Partition ist, wird sie entsprechend auch nicht verschlüsselt.

Wenn ich den vollverschlüsselten Rechner mal neu machen will, sprich OS neu draufmachen, wie gehe ich dann vor?

Prinzipiell entweder den betroffenen Bereich einfach überschreiben oder vorher entschlüsseln. Hängt aber davon ab, wie genau verschlüsselt wurde, also mit welchem Tool und ob die Platte komplett oder die Systempartition unabhängig verschlüsselt wurde.

 

[Daniel#]

Wie gesagt Truecrypt Vollverschlüsselung mit PBA warscheinlich mit AES 256bit oder Twofish 256bit

Und falls ich den neu mache dann komplett neu.

Wie mache ich das dann?

 

[abulafia]

TC unterstützt für die Systemverschlüsselung eh nur AES. Selbst wenn Twofish auswählbar wäre, wäre es langsamer, da es noch nicht in Assembler portiert wurde.

Das Windows Setup würde eine Leere (unbekannte) Partition/Festplatte anzeigen und sie einfach löschen. Wenn du die Inhalte behalten willst, musst die die Platte vor einer Neuinstallation entschlüsseln.

Da man aber eh ein Backup aller verschlüsselten Daten z. B. auf einer anderen, externen Festplatte hat (auch verschlüsselt), ist es schneller Windows einfach drüber zu installieren, dann neu zu verschlüsseln, und die Daten zurück zu kopieren. Das verhindert auch, dass die Daten (außer das neu installierte Windows) zu irgendeinem Zeitpunkt unverschlüsselt auf der Platte waren.

 

[Mr.Zweig]

Heir find ichs schön, Mr.Zweig. Hier hat man noch was zu lachen. Wie überschreibt man 400GB in Sekunden mit Datenmüll? Ist das hart...

In Sekunden garantiert nicht. Nimmste n Schredder, der überschreibt dir fünf mal deine angegebene Verzeichnisse je nach Plattengröße innerhalb von ner halben Stunde. Aber im Endeffekt ist es ja so: Hast n Ferrari vor der Tür stehen, egal mit welcher nonsense High End Alarmanlage, wenn jemand den haben will, dann wird er ihn auch bekommen. Haste nen Ferrari in der Garage stehn, dann weiß es auch niemand.

100%igen Schutz gibt es nicht. Wenn die Bullen vor der Tür stehen, haben die auch nen Grund, die Logs vom Provider, und wissen ganz genau was sie von dir wollen. Dann ist es eh zu spät. Da gilt es womöglich Schadensbegrenzung mit nem Panikkey zu betreiben. Um mehr auch nicht! Truecrypt ist sicherlich ne gute Lösung. Gerade mit nem Container im Container. Es gibt aber mittlerweile auch Möglichkeiten an diese Daten zu kommen. Im Endeffekt ist es einfach nur die Frage ob es den Aufwand wert ist, und das muss jeder selbst entscheiden.

 

[Daniel#]

Es gibt aber mittlerweile auch Möglichkeiten an diese Daten zu kommen.

Sehr interessant. Dann verrate mir wie du an die verschlüsselten Daten kommst.
30stelliges Passwort mit Groß- und Kleinschreibung, Zahlen und Sonderzeichen.

Ergibt 30stellen^92 Möglichkeiten.
Wenn du mit Bruteforcen mit nem Großrechner in 100 Jahren fertig bist sagst bescheid.

 

[CPat]

@Mr.Zweig
Sofern du kein nukleares Material im Keller gelagert hast, kannst du eigentlich ruhig schlafen.

Die Unsicherheit bei Verschlüsselungen besteht hauptsächlich dann, wenn das Passwort geklaut oder von Haus aus unsicher gewählt ist. Sprich du hast einen Keylogger am Rechner, einen Trojaner an Bord oder ein Eisspray-Kommando bricht bei dir durch die Wand und steht vor dem frisch ausgeschalteten Rechner.
Ist dein Passwort aber stark, nur dein geistiges Eigentum und der PC aus (Steckdosenleiste-Panik-Leucht-Schalter), war es das mit unsicher. Eine Möglichkeit an diese Daten zu kommen gibt es - aber nicht in Deutschland. Anderswo könnte man dich z.B. ganz rechtsstaatlich Wasser schlucken lassen (falls du doch eine Atombombe in der Garage hast) bis zum scheinbaren Erstickungstod und bis du alles sagst, was gehört werden will. Aber Hand an die Hardware zu legen macht keinen Sinn.

 

[abulafia]

[...]
100%igen Schutz gibt es nicht. [...] Truecrypt ist sicherlich ne gute Lösung. Gerade mit nem Container im Container. Es gibt aber mittlerweile auch Möglichkeiten an diese Daten zu kommen. Im Endeffekt ist es einfach nur die Frage ob es den Aufwand wert ist, und das muss jeder selbst entscheiden.

Gerade der Aufwand ist mit einer Vollverschlüsselung der gesamten Festplatte sehr gering. So muss man nur einmal beim Starten das Passwort eingeben und hat dann seine Ruhe.

Möglichkeiten gibt es immer, solange es die mathematischen Grundlagen zulassen. Die Schwächen liegen außerhalb der eigentlichen TC Verschlüsselung. Durch die Komplettverschlüsselung kann man aber einigen Angriffen entgegenwirken. So ist zum Beispiel die Passworteingabe vor dem Windowsstart in gewissen Fällen ein Vorteil.

Container im Container? Wozu soll das gut sein?

Ich benutze selbst eine Vollverschlüsselung, da der Aufwand insgesamt am geringsten ist. Und Leistungseinbußen sind mittlerweile nicht mehr spürbar. Ein RAID mit Transferraten über 80 MB/s wird aber auf aktuellen Systemen ausgebremst werden.

Leider kann TC noch nicht alle Festplatten, für die das gleiche Passwort benutzt wird, gleichzeitig mit der PBA mounten. DCPP hätte in diesem Fall einen Vorteil.

 

[Daniel#]

Leider kann TC noch nicht alle Festplatten, für die das gleiche Passwort benutzt wird, gleichzeitig mit der PBA mounten. DCPP hätte in diesem Fall einen Vorteil.

Wieso kann TC keinen RAID 0 Verbund mit dem PBA mounten?
Das Thema interessiert mich, da ich vll bald einen RAID 0 Verbund haben werde.

Wenn es ein Hardware RAID wäre, dann würde es für TC doch wie ein Laufwerk aussehen, wieso geht das nicht?