Full Disk Encryption / FDE - Vor- und Nachteile

[dark_rider]

Hallo zusammen,

meine Hitachi 200 GB Festplatte hat ja die FDE, verschlüsselt also hardwaremäßig per Chip auf der Platte stets alles. Natürlich bringt das nichts ohne Passwort, welches man im BIOS vergeben kann und dann bei jedem Systemstart noch vor dem Windows-Start eingeben muss.

Die FDE-Technologie scheint noch recht neu zu sein. Seagate nennt sie FDE, Hitachi eigentlich BDE (Bulk Disk Encryption). Und es gibt auch Software, die man auf dem PC installieren kann - allerdings kostet die CPU-Performance und ist nicht so transparent (unmerklich mitlaufend) wie die Hardware-FDE. Leider finde ich deshalb kaum gute Artikel zu den Hintergründen und Funktionsweisen.

Folgende Fragen hätte ich noch:
1. Ist es richtig, dass man eine FDE-HD nur im PC, in dem sie eingebaut ist, nutzen kann, und sie bei Umbau in einen anderen PC den Dienst versagt?
2. Stimmt es, dass bösartige Programme theoretisch das Passwort ändern und die HD damit unbrauchbar machen können?
3. Ist es richtig, dass man die FDE-HD mit einem einzigen Verschlüsselungs-Key-Reset sicher löschen kann und sich damit Stunden oder gar Tage dauernde Erase-Torturen ersparen kann?

 

[Knacker]

Darin wird insbesondere erwähnt, dass das BIOS im ThinkPad nach der Installation einer FDE Festplatte eine Zusatzoption unter Security -> Disk Encryption HDD aufweist.

Diese Option finde ich bei mir nicht. Ich werde mal noch spater die BIOS erweiterung ausprobieren und berichten.

 

[Raleigh]

Hallo,
habe mir jetzt auch die neue Seagate FDE Platte mit 500 GB und 7200 U/min gekauft.

Im Bios taucht bei mir jetzt auch die "Security -> Disk Encryption HDD" Einstellung auf(T61). Allerdings verstehe ich darunter nur, das man das Festplatten Passwort dort löschen kann.

Ich verstehe immer noch nicht wie man das Passwort bei der Festplatte setzt. Nachdem ich schon überall nach Infos gesucht habe verstehe ich jetzt gar nichts mehr. :wacko:

Kann jemand erklären wie ich das mache?

Bin für jede Hilfe dankbar.


Gruß
Raleigh

 

[Don Qui Schotte]

Ich hatte eine Hitachi 7k320 FDE mit 250 GB bei meinem T400 dabei. Wann genau ist die Platte denn am Verschlüsseln? Ich kann sie in anderen ThinkPads / Notebooks einbauen und dort kommt jeder an die Daten ran. Genauso kann ich sie in einem externen 2,5 SATA Gehäuse einbauen und dort kommt ebenfalls jeder an die Daten ran. ?(

Ich bin TrueCrypt Nutzer seit etwas über einem Jahr und habe so gut wie alles bei mir entweder mit AES oder TwoFish (Bruce Schneier ftw!!) verschlüsselt. Ich zeige auch gerne meinen Kumpels (die sich gerne damit brüsten, was sie alles wiederherstellen können), dass sie selbst gegen die einfachste Verschlüsselung keine realistische Chance haben. Aber die Umstände zu FDE finde ich etwas anwenderunfreundlich. Klar, es wird sicher an einer Banalität liegen, aber mit Intuition ist hier nichts zu holen finde ich

 

[Anybody]

[quote='Raleigh',index.php?page=Thread&postID=645091#post645091]Kann jemand erklären wie ich das mache?
[/quote]Ich habe jetzt nicht nachgeschaut aber m.W. ist das unter Security als Harddisk Password (oder so), lässt sich wunderbar kombinieren mit Power On Password. (Gleiches Passwort = Nur eine einzige Nachfrage, zumindest an meinem W500)
Ich lasse mich aber gerne eines besseren belehren

 

[Knacker]

Harddisk Password (oder so)

Diese Password ist nicht der welcher die FDE Aktiviert leider...das haben wir schon durchgeredet (findest du auch am anfang des Threds)

lässt sich wunderbar kombinieren mit Power On Password. (Gleiches Passwort = Nur eine einzige Nachfrage, zumindest an meinem W500)

Ist unsicher...wer einen Password rausfindet hat beide...dein W500 hat sicher auch ein FPR... mach doch den Aktiv, setzte zwei verschiedene Passworter und am ersten mal nur eingeben dann nur Finger druberziehen und ist alles erledigt!

 

[Anybody]

Jetzt bin ich verwirrt ?(
Kann mir jemand erklären was diese Funktion dann überhaupt soll? Und ab wann der FDE greift ?(

 

[Knacker]

Kann mir jemand erklären was diese Funktion dann überhaupt soll? Und ab wann der FDE greift

Das wisse wir auch nicht so genau...und wird noch nachgeforscht...ich warte und suche auch auf neuere Infos :S

 

[SiMa]

Einige wundern sich ja, wann denn die FDE-Platte denn mit dem Verschlüsseln beginnt.

Nun, die FDE-Platte verschlüsselt IMMER, auch ohne Passwort mit einem intern (durch Rauschen) erzeugten Key. Setzt man das Passwort, kommt der Plattencontroller/die Logik in der Platte nur noch an den Key, nachdem man das gültige Passwort eingegeben hat - erst dann ist die Platte "sicher".

 

[Raleigh]

Bei Seagate habe ich über diesen Link

h**p://www.seagate.com/ww/v/index.jsp?name=st9500327as-momentus-5400-fde-sata-enterprise-500gb-hd&vgnextoid=4bbd33d9232d1210VgnVCM1000001a48090aRCRD&locale=en-US

in der .pdf Datei "Easily Manage Drives and Data Security" es so verstanden, das über ein Bios Passwort die Festplatte zu sichern sei. Allerdings ist mein Englisch so schlecht.

Warscheinlich steht da was ganz anderes. :thumbsup:



Gruß
Raleigh

 

[jbk037]

@Raleigh:
Also ich finde, dass das Ganze so ist, wie IBM/Lenovo sich das mit den FDE Laufwerken vorstellt. Insbesondere die zusätzliche BIOS Option spricht dafür, dass das Laufwerk als echtes FDE Laufwerk erkannt wurde.

Als Test käme meiner Meinung nach in Frage, nicht - wie es Udi offensichtlich getan hat - das BIOS Passwort der Platte zu löschen, präziser gesagt, auf <Leer> zu setzen, sondern folgende Anordnung:

1. BIOS Passwort vergeben.
2. Daten drauf
3. BIOS Passwort OHNE die spezielle BIOS Option zum Ändern des Passwort neu vergeben. Jetzt dürften die verschlüsselten Daten nicht mehr zugänglich sein.
4. BIOS Passwort der Festplatte löschen, d.h. auf Leer setzen: Die Platte müsste nun leer sein und überall zugänglich sein.

Ich bin sehr gespannt.
Ich habe mir eine Momentus 7.200 FDE Festplatte bestellt und kann nächste Woche in die Versuchsphase eintreten.

Gruß, JBK

 

[Raleigh]

Hier noch ein interessanten Testbericht aus der zeitschrift "iX" mit Dell Notebook und einer Seagate FDE.

h**p://www.ict-economic-impact.com/2008%2011%2022/ix%201108%20060-061%20neu1.pdf



Gruß
Raleigh

 

[dark_rider]

Hallo zusammen,

ich habe eine Hitachi FDE-Platte. Im BIOS kann ich das HDD-Passwort aktivieren, es wird dann nach jedem Kaltstart (nicht nach Resume aus Standby oder nach aus Windows initiiertem Neustart, sondern nur nach endgültigem Herunterfahren und manuellem Neustarten) BIOS-seitig (vor Windows) abgefragt. Zum Deaktivieren muss ich es aber erneut eingeben, also kann man ohne das Passwort das TP nicht hochfahren.

PS: Der Link zur FDE-FAQ@Lenovo ist defekt.

 

[Raleigh]

Auch wenn ich euch langsam auf die Nerven gehen sollte, möchte ich meine Erfahrung eben mitteilen.

Das Verhalten was dark_rider beschreibt ist bei mir genau so.

Als erstes lief die geklonte FDE Festplatte im System ohne Passwortvergabe bei der Verschlüsselung. Daraufhin ging ich in das Bios um unter - Security -> Disk Encryption HDD -
erst einmal ein reset durchzuführen. Danach war die Festplatte "gelöscht". Obwohl vorher kein Passwort gesetzt wurde. Danach habe ich unter - Harddisk Password - ein Passwort eingerichtet.

Als nächstes klonte ich meine alte Festplatte mit Acronis True Image. Wie schon gesagt die Festplatte verhält sich beim Booten dann so, wie dark_rider beschrieben hat.

Alte Festplatte mit USB Gehäuse an einem Desktop angeklemmt und wird komplett erkannt. Neue geklonte FDE Festplatte mit USB Gehäuse am Desktop angeklemmt und wird nicht erkannt.
Unter der Datenträgerverwaltung taucht die FDE Festplatte auch nicht auf. Unter "Computer sicher entfernen" wird die FDE Festplatte erkannt(als ST9500421AS) doch im Explorer nicht angezeigt. Wenn ich unter "Computer sicher entfernen" in die Eigenschaften der FDE Festplatte gehe bekomme ich null Infos über die Festplatte. Es sind nur leere Felder unter Größenangabe.........

Außerdem ist mir aufgefallen, das die LED des USB Gehäuses die ganze Zeit unterschiedlich blinkt. Als würde das System nach was suchn und nichts finden. Nach dem sicheren entfernen hört logischerweise das blinken auf.

Es spricht doch alles dafür, das die Passwortvergabe auf diese Weise korrekt ist.

Ich muss mir nur noch überlegen, wie ich das komfortabel in Verbindung mit dem Fingerprint einstelle.



Gruß
Raleigh

 

[jbk037]

@Raleigh:
Auch ich bin optimistisch: Meine Seagate Momentus FDE Platte ist heute angekommen und ich versuche, sie heute Abend einzubauen.

Das beschriebene Verhalten sieht gut aus, spricht aber noch nicht 100%ig für die Verschlüsselung des Platteninhalts: Auch Festplatten ohne FDE verhalten sich so, wenn man ein HDD Passwort vergeben hat. Sie starten dann an anderen Notebooks oder externen Gehäusen nicht. Gleichwohl ist der Festplatteninhalt nicht verschlüsselt. M.a.W.: Das HDD Passwort ist nur der Zugang zum Platteninhalt.
Bei einer FDE Festplatte führt dagegen die Vergabe eines HDD Passworts m.E. nicht nur zum Zugangsschutz, sondern gleichzeitig zur Aktivierung der Ver- und Entschlüsselung der Daten. Dass das bei der Festplatte von Raleigh funktioniert, belegt die Ergänzung im BIOS.

Die Zusammenarbeit mit dem Fingerprintreader funktionierte bei mir bei der Vergabe eines HDD Passworts einer Nicht-FDE Festplatte einwandfrei: Einfach im Fingerprint oder Client Security Programm (habe mein ThinkPad gerade nicht hier) beim jeweiligen Finger beide Kästchen aktivieren. Ich denke, bei einer FDE Festplatte funktioniert das genauso.

Gruß, JBK

 

[jbk037]

So, die Seagte Momentus FDE Festplatte ist da. Auf der Hülle ist ein Aufkleber mit einem interessanten link:
www.seagate.com/support/sedqual

Dort findet man allerlei Informationen und kann auch die so genannte SED Software herunterladen.

Interessant ist das PDF Dokument "Seagate® Momentus® FDE Self-Encrypting Drive Self-Qualification Kit".
Darin wird dargestellt, dass FDE Platten immer verschlüsseln, nur ab Werk keine Authentifizierung erfolgt.

Die Authentifizierung und Konfiguration der FDE Festplatte kann dann auf zwei Arten erfolgen:
Durch Drittherstellersoftware oder über das BIOS.
Letzteres soll dann möglich sein, wenn das BIOS die Option des HDD Passworts aufweist.
Die FDE Festplatte sollte daher in einem ThinkPad funktionieren.

Die Notwendigkeit des SED Qualification Tests scheint mir zweifelhaft.
Hierdurch soll wohl getestet werden, inwieweit das Betriebssystem Pass-Through Kommandos an die Festplatte schicken kann.
Das ist möglicherweise für Pre Boot Operationen sinnvoll.

Gruß JBK

 

[Raleigh]

jbk037 hat geschrieben:

Die Zusammenarbeit mit dem Fingerprintreader funktionierte bei mir bei der Vergabe eines HDD Passworts einer Nicht-FDE Festplatte einwandfrei: Einfach im Fingerprint oder Client Security Programm (habe mein ThinkPad gerade nicht hier) beim jeweiligen Finger beide Kästchen aktivieren. Ich denke, bei einer FDE Festplatte funktioniert das genauso.

Ich konnte die Fingerprints für das Admin und eingeschränkte Benutzerkonto beim Booten mit der Festplatte einbinden. Erst den Fingerprint und danach das Passwort für die Festplatte.
Ich glaube es muß aber die Anmeldeunterstützung in der Fingerprintsoftware aktiviert sein. Obwohl ich für die Festplatte und die Benutzerkonten jeweils unterschiedliche Passwörter benutze, reicht ein Fingerprint für den gesamten Bootvorgang aus. Ist bestimmt nicht jedermans Sache, aber mir gefällt es so.


Gruß
Raleigh

 

[dark_rider]

Hallo zusammen,

noch kurz zur Klarstellung: FDE-Platten verschlüsseln immer. Nur bringt das ohne aktivierten Passwortschutz lediglich den Vorteil, dass man die Platte durch Reset des FDE-Keys in Sekunden komplett löschen kann. Erst mit Passwortschutz kommt dann sonst niemand mehr auf die Platte. Das Passwort im BIOS kann man übrigens auch im laufenden Betrieb aktivieren, d.h. ohne die Platte vorher zu reseten (und damit zu löschen). Sprich, ich hatte meine Platte schon einige Wochen in Betrieb und erst dann das Passwort aktiviert.

Noch etwas: Meines Erachtens nach braucht man eine extra Software nur dann, wenn das BIOS ein HDD-PW und FDE nicht unterstützt, sprich bei Thinkpads ist sowas nicht nötig.

@Raleigh + jbk037: Was mich noch interessiert: Kann man, wenn man die Platte mit aktiviertem PW und FDE aus dem TP herausnimmt, denn an einem anderen PC lesen, wenn dieser auch im BIOS das HDD-PW unterstützt oder wenn man so eine extra Software installiert?

 

[Raleigh]

@dark_rider

Wenn die Hardwarevorausetzungen gegeben sind, kann ich mir gut vorstellen, das es funktioniert. Allerdings ist das nur eine Vermutung. Warscheinlich dann auch nur ein anderes Thinkpad. Beim deutschen tech. Support von Seagate hatte ich die Tage mal angerufen. Der(mit extrem ausgeprägten amerikanischen Dialekt ) sagte mir das jeder Hersteller seine eigene Implementierung hat. Seagate sei nur der Hardware Hersteller. Man möchte sich doch dann an seinem Notebook.....Hersteller wenden.

Leider kann ich es auch nicht ausprobieren da mein Desktop keine HDD Paßwortvergabe im Bios anbietet.


@Edit
Außerdem sprach ich die Tage mit einem Lenovo Buisness Partener. Der erklärte mir, man könne einmal über eine Fremdsoftware das Passwort setzen(und andere Sicherheitsfeature) und nur über das Bios ginge es auch. Leider wollte er nicht ins Detail gehen wie man das über das Bios einstellt. Man hatte das Gefühl, er möchte eine Dienstleistung an den Mann bringen. Aber da ich keine andere Möglichkeit im Bios finde kann es ja nur über "HDD Passwort" sein.


Gruß
Raleigh

 

[jbk037]

Kleines Update:

Ich habe die neue Seagte Momentus FDE Festplatte in mein X200s eingebaut.
Trotz BIOS Update erschien die FDE Zusatzoption dort nicht. Hierzu musste ich erst via DOS Bootdiskette das IBM/Lenovo Zusatzprogramm drvmenu von der IBM/Lenovo FDE FAQ Seite installieren.
Danach ist die Option im BIOS vorhanden.

Die Festplatte hat gigantische 500GB (nominal) und ist dank ihrer 7.200 Umdrehungen sehr schnell, was sich in einem geringfügig lauteren Laufgeräusch wiederspiegelt. Dafür aber kein Klicken/Klackern u.ä.
Ein Geschwindigkeitsverlust durch die fortwährende Verschlüsselung konnte ich (gefühlt) nicht feststellen.

Ich bin zufrieden.

Gruß, JBK

 

[stevie]

Falls es noch von Interesse ist...[quote='jbk037',index.php?page=Thread&postID=645033#post645033]Darin wird insbesondere erwähnt, dass das BIOS im ThinkPad nach der Installation einer FDE Festplatte eine Zusatzoption unter Security -> Disk Encryption HDD aufweist.
[/quote]In meinem T61 ist eine Hitachi Travelstar 7K200 mit FDE verbaut. Im Bios kann ich ein User- und ein Master-Passwort für die Festplatte festlegen, das dann bei jedem Systemstart abgefragt wird. (Alternativ kann man es im TPM ablegen und mit dem Fingerabdruck freigeben.) Testhalber habe ich die Festplatte eben ausgebaut und per SATA-USB-Adapter an einen anderen Rechner angeschlossen. Dort wurde die Kapazität der Platte korrekt erkannt, aber keine Partitionen. Mehr habe ich mich nicht getraut...