WHS 2011 / Truecrypt-Passwort übers Netzwerk abfragen ?

[User7634]

Guten Abend,

bei mir läuft seit einiger Zeit ein Server mit WHS 2011 als OS. Als Clients fungieren u.a. ein Win7-PC, ein WinXP-Laptop und zwei Android-Smartphones.

Der Server verfügt über verschiedene mit Truecrypt („TC“) verschlüsselte Partitionen (keine System-Encryption). Der Server geht automatisch in den Ruhezustand, wenn keine überwachte Quelle (PC/Laptop) mehr aktiv ist und wacht mit diesen Geräten auch wieder auf.

Ich habe es über den Aufgabenplaner so eingestellt, dass der Server beim Start bzw. Aufwachen 2 TC-Laufwerke mounted und im Netzwerk als Share bereitstellt. In der Testphase habe ich in der dazugehörigen batch-Datei die Passworte direkt eingebaut, aber das ist natürlich keine Lösung, da kann ich mir das crypten gleich sparen.

Was mir vorschwebt ist, dass die Laufwerke über TC gemountet werden und dann bei dem Client, der das Aufwach-Event ausgelöst hat übers Netzwerk die Abfrage zur Eingabe des Passwortes gesendet wird. Dann soll – mittels dieses Passworts – das Laufwerk über TC eingebunden werden.

Meine Fragen:
- Kann ich über das Netzwerk eine solche „Get-input“ Aufforderung an einen Rechner schicken und die Eingabe (= das Passwort) dann im Rahmen des Aufgabenplaners als Argument übergeben ?

- Kann ich es so einstellen, dass diese Aufforderung nur an den Client geschickt hat, der den Server aufgeweckt hat ?

VG
user7634

 

[JamesFunk]

Hi, das macht keinen Sinn bzw funktioniert nicht.

Entweder mounted der Server automatisch - was bringt es dann? - oder der zugreifende PC entschlüsselt - dazu lädt er aber den kompletten Container, was je nach Größe sehr lange dauert.

 

[User7634]

Danke für die schnelle Antwort. Das automatische Mounten ist nur insoweit automatisch, als dass ich TC nicht jedesmal per Hand starten muss. Es soll also quasi bis zur Passwort-Eingabe automatisch ablaufen, dann kommt die Abfrage und danach wird das Passwort "verarbeitet" und das gemountete Laufwerk per netshare im Netzwerk bereitgestellt. Was ich vermeiden möchte, ist:
- TC von Hand zu starten
- Passworte im Klartext zu hinterlegen.

Da ich außerdem keine Container-Datei habe, sondern verschlüsselte Partitionen, kann ich mit dem TC auf dem Client nicht auf die verschlüsselten Partitionen auf dem Server zugreifen. Das wäre ansonsten durchaus meine ideal-Lösung.

 

[JamesFunk]

Wenn TC beim Aufwachen automatisch startet, du das Passwort aber über den zugreifenden PC eingibst (über eine verschlüsselte Verbindung), dann funktioniert das auch.

Den TC Start kannst du mit der Aufgabenplanung erledigen.
Dann gibst du das Passwort ein und musst netshare einbauen.

Weißt du denn, wie du vom Client das Passwort am Server eingehen kannst? Nutzt du Teamviewer dazu?

Deine Ideallösung funktioniert auch wenn es Container wären nicht.
TC am Client lädt erst den kompletten Container, kann erst dann auf dem Client entschlüsseln.
Das Laden dauert dementsprechend ewig.
Oder hast du eine Lösung gefunden, die auf dem Server entschlüsselt?
Ich glaube, dass es das nicht gibt, leider.

 

[User7634]

Wenn TC beim Aufwachen automatisch startet, du das Passwort aber über den zugreifenden PC eingibst (über eine verschlüsselte Verbindung), dann funktioniert das auch.

Genau danach suche ich: wie kann der zugreifende PC an den Server ein Passwort übergeben ? Any idea ? "Net send" geht nicht.

Den TC Start kannst du mit der Aufgabenplanung erledigen.

--> Das habe ich gemacht.

Dann gibst du das Passwort ein und musst netshare einbauen.

--> Hier fehlt mir die Möglichkeit das PW abzufragen. Den netshare-Teil habe ich schon in einer batch.

Weißt du denn, wie du vom Client das Passwort am Server eingehen kannst? Nutzt du Teamviewer dazu?

--> Genau darum geht es. Der WHS wacht ja nur auf, wenn ein PC aktiv ist. wenn ich mich also beim PC einlogge, soll einfach eine EIngabeaufforderung für das pw erfolgen. Nach Eingabe wird dieses dann an den Server geschickt. Teamviewer finde ich dafür nicht passend.

Deine Ideallösung funktioniert auch wenn es Container wären nicht.
TC am Client lädt erst den kompletten Container, kann erst dann auf dem Client entschlüsseln.
Das Laden dauert dementsprechend ewig.
Oder hast du eine Lösung gefunden, die auf dem Server entschlüsselt?

--> Genau: TC ist auch auf dem server installiert, entschlüsselt dort und stellt dann die gemountete partition im Netzwerk via net share zur verfügung. Das ist kein Problem, da die Partitionen die persönl. Daten meine Familie enthalten. Da kann jeder zugreifen. Ich verschlüssele vor allem, da ich nicht möchte, dass im Falle eines Einbruchs ein Dritter Zugriff auf meine Daten bekommen kann.

Ich glaube, dass es das nicht gibt, leider.

 

[dysgenics]

Hallo,

warum willst du mounten, wenn du dein Server nur in Ruhezustand schickst? Gemountete Laufwerke/Container bleiben offen, wenn du Ruhezustand oder Standby verwendest (zumindest ist das unter Linux so )

Das sicherste/bequemste (finde ich) ist, wenn du per Hand auf dem Server mountest und dein Server nur in den Standby gehen lässt.

Ruhezustand ist riskant (Einbruch - wofür du ja schützen willst)

Noch ein Tipp: Du kannst dir auch ein Notausschalter vors Netzteil klemmen

Oder eben mit Containern die in Shares liegen und die du auf dem Client mountest arbeiten.

 

[User7634]

Hallo dysgenics,

es ist richtig, dass beim Ruhezustand die gemounteten Partitionen offen bleiben. Ich hatte nicht erwähnt, dass ich beim Ruhezustand - aus den genannten Sicherheitsgründen - automatisch wieder dismounte. Daher muss ich auch wieder mounten, wenn der Kerl wach wird
Standby finde ich nicht so toll, da der Rechner ja weiterhin an bleibt und Strom zieht.

Aber es würde mich auch ansonsten interessieren, ob es eine einfache Möglichkeit gibt, via Netzwerk vom Server zum PC eine Eingabeaufforderung zu schicken. Das muss doch möglich sein, oder ?

VG

 

[d4nY]

wie wärs denn mit folgender idee:

du schmeißt die TC container am WHS in ein laufwerk/ordner und gibst diese dann frei
dann installierst du bei dir lokal am client truecrypt und gibst als pfad den UNC-pfad zur freigabe ein (also bspw: \\HOME-SERVER\SHARE\container1.tc)
dann kannst den container unter dem buchstaben einbinden, der normalerweise das netzlaufwerk ist

könnt ggf. nur etwas problematisch werden, wenn mehrere personen auf den container zugreifen sollen

E: wegen der eingabeaufforderung: ich denke mit powershell sollte das bestimmt irgendwie machbar sein (bietet ja genug funktionen zur kommunikation übers netz) allerdings wäre das wohl n wahnsinns aufwand und ausserhalb einers AD gibts bestimmt auch noch berechtigungsprobleme

 

[User7634]

dann müsste ich die tc-partitions in file container umwandeln, was ich eigentlich nicht möchte. encryptete partitions kann man jedenfalls im netz nicht freigeben, da whs 2011 sie gar nicht erst als mögliches freigabe-objekt erkennt.

powershell wäre vielleicht eine idee, daran arbeite ich. ich habe auch an psexec gedacht. das erfordert aber admin-rechte auf dem zielrechner, und das wäre wieder kontraproduktiv.

mühsam ernährt sich das eichhörnchen...
danke an alle beteiligten für ideen und ratschläge.
Gruß

 

[d4nY]

aaahhh ok, bei partitionen geht das schlecht, ja...hab ich überlesen