Verschlüsselt Ihr Eure Festplatte?

[Endorphine]

Hm, wieso "gegen"? Verschlüsselung bringt doch sowohl security als auch safety, oder wie verwendest du die Begriffe?

"safety" meint in dem Kontext Sicherheit der Daten vor dem Verschwinden. In Deutsch nennt man das "Verfügbarkeit". Das ist ein Teilaspekt der IT-Sicherheit, siehe auch http://de.wikipedia.org/wiki/Informationssicherheit

Mit Verschlüsselung verringert man aber die Verfügbarkeit, da die Wiederherstellung einer an den entscheidenden Stellen beschädigten verschlüsselten Partition unmöglich wird. Oder wenn Keyfiles beschädigt werden oder sonstwie abhanden kommen. Oder wenn die Verschlüsselungssoftware Bugs hat und man auf einmal nur einen gewaltigen BLOB vor sich hat, dem man keine Daten mehr entlocken kann etc.

Siehe auch: GBDE - making sure data is lost: http://phk.freebsd.dk/pubs/bsdcan-04.slides.gbde.pdf

 

[s-tlk]

Hm, dass es bei der momentan von mir verwendeten Software glaube ich eher unrealistisch.

Das denkst du.
Ihr denkt auch alle viel zu kompliziert. Es reicht doch, wenn du mit einer LiveCD startest und deine manipulierte Version von geli/gbde einspielst. Das geht innerhalb von 5 Minuten. Wenn einer wirklich an die Daten ran kommen möchte, dann wird der auch daran kommen. Und zwar nicht derart, das er einen bruteforce auf den Schlüssel startet, sondern direkt das Passwort snifft über ein manipuliertes Programm, oder gar die Tastatur selber, eine Kamera, es aus dir rausprügeln... etc. Alles andere wäre Wahnsinn und sehr unpraktikabel. Vllt noch einen Angriff auf den Algorithmus selber, obwohl das keinen Erfolg garantiert.
Es wird nicht umsonst gesagt, das ein 'sicherer' Server in einen Tresor gehört, wo man das weitesgehend ausschließen kann, wenn er entsprechend gesichert ist.

Das höhere Risiko eines Datenverlust besteht natürlich auch. Eigentlich ist dies ja das Ziel der Verschlüsselung solche Redundanzen auzuschließen, wo Wiederherstellungsprogramme anknüpfen.

Wie gesagt, ist das ein wirklich kompliziertes Feld, aber hin zugehen und sein Home-Verzeichnis zuverschlüsseln und dann zu glauben seine Daten wären 'sicher' ist in der Tat "security by obscurity", wie ich hoffentlich dargelegt habe.

 

[mapet]

Wie gesagt, ist das ein wirklich kompliziertes Feld, aber hin zugehen und sein Home-Verzeichnis zuverschlüsseln und dann zu glauben seine Daten wären 'sicher' ist in der Tat "security by obscurity", wie ich hoffentlich dargelegt habe.

falsch, würde derjenige sagen, der seinen laptop am flughafen hat stehen lassen...

 

[s-tlk]

falsch, würde derjenige sagen, der seinen laptop am flughafen hat stehen lassen...

Das ist ja auch ein anderes Feld. Hier sieht er sein Laptop auch nie wieder und wird auch niemals sein Passwort/Keyfile dort eingeben. Das ist auch das eigentliche Anwendungsfeld von Verschlüsselung, wenn dir deine Platten/Datenträger _bewusst_ geklaut werden. Aber wenn sich jemand an deinem System zu schaffen machst und du davon nichts weißt, dann hilft dir keine Verschlüsselung der Welt etwas.

 

[k_e_x]

@TODuke
FileVault verschluesselt nur das home Verzeichnis des Users. Damit kann ich leben und dient einfach als Schutz davor das mir das Macbook in der Uni geklaut wird - weil sich da wohl keiner die Muehe machen duerfte da an meine Daten ranzuwollen sondern primaer an die Hardware.

Backups reichen 1x die Woche, dann per TimeMachine beim Ausloggen (da kein Backup moeglich ist solange der User angemeldet ist).

@all
Mir geht es prinzipiell erstmal um meine Privatssphaere. Falls ich da Top Secret Dokumente drauf haette wuerde ich ganz bestimmt auch was besseres als FileVault benutzen (da Implementierung nicht OpenSource Sicherheit prinzipiell ungeklaert) und den Rechner nie ans Internet haengen ...

Und mal ganz ehrlich, fuer die meisten von uns wuerde sicherheitstechnisch (auf den Algorithmus bezogen) immernoch 56-Bit DES reichen, da dass kein gewoehnlicher Dieb geknackt bekommt weshalb ich alles ueber dem Niveau von 128Bit AES in keinster Weise nachvollziehen kann. Wenn ich da sowas lese von Zufallszahlen Partitionen .... muesst ihr wohl echt Kacke am dampfen haben ...

 

[bsdagent]

Abend

FreeBSD: Alternative Basisinstallation.

Gruss
bsdagent

 

[soul_rebel]

Es wird nicht umsonst gesagt, das ein 'sicherer' Server in einen Tresor gehört, wo man das weitesgehend ausschließen kann, wenn er entsprechend gesichert ist.

Ich weiß ja nicht was du für ein Verständnis von Sicherheit hast. Oder wer du glaubst, der deinen Server mitnehmen könnte? Eine Bande Einbrecher? Ich mach mir da mehr um andere Strukturen sorgen (auch wenn sich da langsam auch Bandenähnliche Strukturen bemerkbar machen...).
Einen Safe kann ein Gericht auf jeden Fall öffnen lassen, zum Entschlüsseln deiner Daten können sie dich in Deutschland (noch) nicht zwingen.

 

[nakal]

Aber wenn sich jemand an deinem System zu schaffen machst und du davon nichts weißt, dann hilft dir keine Verschlüsselung der Welt etwas.

Naja. Eine Option wäre, die Boot-Dateien, die nicht verschlüsselt werden können, mit Hashsummen zu versehen auf dem verschlüsselten Laufwerk. So kannst Du (nachdem Du Dein Passwort verraten hast), direkt sehen, ob jemand daran gefummelt hat.

Mit Startskripten lässt sich eine schnelle Lösung basteln, um die Platte mit Nullen zu überschreiben, solange sie Deine Haustür bearbeiten.

Noch jemand Ideen, um meine Paranoia zu optimieren?

Optimierung 1
Es gibt bei FreeBSD ein GEOM-Modul mit einem "Shared-Secret" (geom_shsec(4); gshsec(8)). Da braucht man alle zugehörigen Datenträger, damit eine lesbare Partition entsteht. Wenn einer fehlt, ist es vorbei. Es steht nicht geschrieben wie groß die sein müssen. Ich nehme an, dass man eine kleine Flash-Karte oder einen kleinen USB-Stick auch nehmen kann. Diese lassen sich dann viel schneller mit Nullen überschreiben als eine ganze Platte.

 

[Amin]

zum Entschlüsseln deiner Daten können sie dich in Deutschland (noch) nicht zwingen.

Echt nocht nicht? Hätte gedacht, das wäre schon so. Wenn es nicht so ist, wird es (wie von dir richtig gesagt) bald wohl so sein.

 

[nakal]

Das bringt auch nichts, sonst benutzen alle bald plausible deniability.

 

[Cessel]

Echt nocht nicht? Hätte gedacht, das wäre schon so. Wenn es nicht so ist, wird es (wie von dir richtig gesagt) bald wohl so sein.

Wird wohl auch nicht möglich werden.
Es gilt nämlich immer noch, das du keine Aussage machen musst, die dich selbst belastet.
Ergo brauchst du auch nicht den Key nennen, da du dich ja damit selbst belasten könntest.
Eine so gravierende Änderung des Rechtssystems ( da könnte man ja auch direkt die Unschuldsvermutung abschaffen), halte ich selbst in Zeiten des Terrorismus für nicht gangbar.

 

[k_e_x]

Wobei das afaik bei der Unschuldsvermutung vor einiger Zeit ueberlegt wurde ob man nicht Ausnahmen macht - z.B. bei Terrorverdaechtigen ...

 

[mapet]

bei openbsd ist mittlerweile crypto support (experimental!) in softraid integriert. damit kann per bioctl(8) ein verschlüsseltes laufwerk erzeugt werden:

scsibus3 at softraid0: 1 targets, initiator 1
sd2 at scsibus3 targ 0 lun 0: <OPENBSD, SR CRYPTO, 001> SCSI2 0/direct fixed
sd2: 96769MB, 12336 cyl, 255 head, 63 sec, 512 bytes/sec, 198183841 sec total

beim einsatz sollte man aber noch über gute backups verfügen, da das ganze noch "work in progress" ist und es unter umständen passieren kann, dass nach nem cvs-update die tools nichts mehr mit den partitionen anfangen können

 

[Daemotron]

Das Notebook ist (bis auf /boot) komplett per GELI verschlüsselt (Passwort + Keyfile). Auf der Workstation verzichte ich drauf - sind einfach zu viele verschiedene Betriebssysteme parallel drauf installiert, und meine Platten zu klauen wäre dann doch eher eine Verzweiflungstat - zumal wichtige Daten (vertrauliche Mails, z. B.) ohnehin nur verschlüsselt vorliegen.

Auf dem Server halte ich Plattenverschlüsselung komplett für sinnfrei, da es Aufgabe eines Servers ist, permanent zu laufen. Damit müssen eh alle Partitionen "offen" sein, so dass ein Angreifer, der es schafft, ins RZ zu marschieren, sich auch dann ungeniert bedienen könnte, wenn die Platten verschlüsselt wären. Wenn ich eine Maschine abgebe, werden die Platten mit shred "behandelt"; das ist so wunderbar endgültig

 

[marzl]

ich mag gbde ganz gern und es läuft wie sau.

 

[soul_rebel]

ich mag gbde ganz gern und es läuft wie sau.

Echt? Ich hab über gbde so viel unterschiedliches gehört:
Es ist wohl die sicherste treiberbasierte Verschlüsselung "ever"
dafür auch die langsamste.
Angeblich gibt es nicht mal crypto(4)-Unterstützung....
Und es kommt noch dazu, dass die Metadaten nicht vollständig auf der Partition liegen und somit extra gespeichert und gesichert werden müssen...
Oder hat sich da was geändert?

 

[Athaba]

kommt auf den Rechner an:
Ich hatte zum Beispiel meinen alten Torserver verschlüsselt.
Da war die Performance der Platte nicht _so_ wichtig und wenn die Daten mal weg gewesen wären, wäre es auch nicht so schlimm gewesen.
Außerdem verschlüssle ich auf praktisch all meinen Systemen den Swapbereich. Sollte IMO Standard sein.

Ab und zu hab ich auch mein Linux verschlüsselt. Da ich da ziemlich Oft zwischen den Distris herumhüpfe ist das aber nicht immer der Fall.

Das größte Problem ist IMO die Datensicherheit:
Wie mach ich das am besten mit Backups? Da entscheide ich mich meist für einen Zwischenweg: Sensible Daten verschlüsselt gebackupt und nicht so sensible unverschlüsselt.

Im Bereich Performance sehe ich nicht so das Problem. Ich kann mich noch erinnern, ein stark (Serpent) verschlüsseltes GNU/Linux-System und da ein paar ziemlich festplattenintensive Dinge (Beispielsweise einen Webcrawler) betrieben zu haben. Das lief eigentlich alles ganz gut. Nicht mit dem letzten Bit an Performance, aber ganz brauchbar. Das lag vielleicht auch an der Kombination mit XFS. Ich weiß nicht, wie viel das ausmacht.

Das Einzige, was ich mir wünschen würde wäre ein einheitlicher Standard zur Verschlüsselung. Vielleicht ist FreeOTFE ein Weg in die richtige Richtung.

Im Übrigen: Festplatten verschlüsseln ist (vollkommen egal mit welcher (klixi bunti) Software) IMO viel schwieriger, komplizierter und aufwendiger, als email-Verschlüsselung. Aber, wenn es läuft läuft es (wie bei e-Mail-Verschlüsselung und den diversen Loginsystemen, OpenSSH, OpenVPN und Co.).

 

[Ararat++]

Ich würds ja gern machen wenn ich wüsste wie

Tutorials dazu sind wie ja Eisbären in der Wüste zu finden

 

[Endorphine]

Ich würds ja gern machen wenn ich wüsste wie

Tutorials dazu sind wie ja Eisbären in der Wüste zu finden

Ich hab jetzt inklusive tippen ca. 10 Sekunden gebraucht, um diese Anleitung für NetBSD zu finden: http://www.netbsd.org/docs/guide/en/chap-cgd.html#chap-cgd-example

Funktioniert das dort beschriebene Verfahren nicht?

 

[marzl]

Echt? Ich hab über gbde so viel unterschiedliches gehört:
Es ist wohl die sicherste treiberbasierte Verschlüsselung "ever"
dafür auch die langsamste.

Mörderschnell isse nich, aber ein 100mbit Netzwerk bekommt man damit ausgelastet.

Angeblich gibt es nicht mal crypto(4)-Unterstützung....

ka, möglich.

Und es kommt noch dazu, dass die Metadaten nicht vollständig auf der Partition liegen und somit extra gespeichert und gesichert werden müssen...
Oder hat sich da was geändert?

Also ich habe nur auf der Platte die Metadaten komplett, nix anderes. Ich nehm ne USB-Platte, klemm' die an einen anderen FreeBSD Rechner und komm sofort drauf (natürlich erst nach der Passworteingabe).
ABER: Ich nutze nur das Passwort, es gibt aber auch die Möglichkeit mit Schlüsseldateien zu arbeiten, die dann natürlich irgendwo anders liegen müssen.

 

[oenone]

Außerdem verschlüssle ich auf praktisch all meinen Systemen den Swapbereich. Sollte IMO Standard sein.

Ist es auch - zumindest bei OpenBSD.

 

[bsdagent]

Morgen

Also bei FreeBSD ist nachdem GELI im Kernel oder beim booten geladen wurde einfacher als eine Netzwerkkarten konfiguration

/etc/fstab

/dev/ad0s1b.eli none swap sw 0 0

/etc/rc.conf

geli_swap_flags="-a hmac/sha512 -d -e Blowfish -l 448 -s 4096"

Gruss
bsdagent

P.S. Der Arbeitsaufwand ist 33.3% geringer .

 

[bofh_hannibal]

HI,


Obwohl ich den Thread echt witzig finde, geb ich dennoch mal Senf ab.

1. Sicherheit ist ein Prozess der vom Admin immer neu erweitert werden muss.

2. Da die meisten von euch einen Server @home betreiben, macht es auf jedenfall sind die Platten zu verschlüsseln, inclusive dem SWAP.

Für den Schutz gegen Lokale angriffe, gibt es BSD Tools (chflags + Securelevel >= 2) und andere viele nützliche sachen (root login auf tty ebene disablen -> /etc/ttys)
Natürlich sollten Lokale Server auch gemonitort werden, falls die Kisten Down sind oder Ähnliches. Auch eine Webcam mit Veränderungs Monitoring ist SEHR sinnvoll.
Natürlich alles eine Kosten/Nutzen frage.
Auch sollte man über die Verschlüsselung der Input Eingaben nach denken.

So. Wenn ich jetzt beim BND wäre, wüsste ich schonmal wer von euch Daten hat, und wer nicht :-). Glaubt Ihr dann wirklich der BND dringt in eure Wohnungen ein ???
Negativ, viel Leichter ist es den ISP von euch zu Sniffen (Darf er ja jetzt auch endlich).

So, ich muss weiter .....

 

[mapet]

wie ich weiter oben schon erwähnte, ist die datenpartition meines lappis verschlüsselt, damit die jungs und mädels nicht unbedingt firmen-/kundendaten bzw. logins oder keys haben. eigentlich geht's hier in dem thread ja auch um nichts anderes und ist eher als analogie zu dem email-verschlüsselungsthread zu sehen.
mein desktop zu hause hat auch keine verschlüsselung und der datenaustausch von dort mit der firma geht durch nen ipsec-tunnel. da kann der herr bnd beim isp schnüffeln, was er will.

 

[nakal]

@bsdagent

Es reicht nur in der fstab ".eli" hinter die Swap-Partition zu schreiben. Das war's.