Full Disk Encryption / FDE - Vor- und Nachteile

[dark_rider]

Hallo zusammen,

meine Hitachi 200 GB Festplatte hat ja die FDE, verschlüsselt also hardwaremäßig per Chip auf der Platte stets alles. Natürlich bringt das nichts ohne Passwort, welches man im BIOS vergeben kann und dann bei jedem Systemstart noch vor dem Windows-Start eingeben muss.

Die FDE-Technologie scheint noch recht neu zu sein. Seagate nennt sie FDE, Hitachi eigentlich BDE (Bulk Disk Encryption). Und es gibt auch Software, die man auf dem PC installieren kann - allerdings kostet die CPU-Performance und ist nicht so transparent (unmerklich mitlaufend) wie die Hardware-FDE. Leider finde ich deshalb kaum gute Artikel zu den Hintergründen und Funktionsweisen.

Folgende Fragen hätte ich noch:
1. Ist es richtig, dass man eine FDE-HD nur im PC, in dem sie eingebaut ist, nutzen kann, und sie bei Umbau in einen anderen PC den Dienst versagt?
2. Stimmt es, dass bösartige Programme theoretisch das Passwort ändern und die HD damit unbrauchbar machen können?
3. Ist es richtig, dass man die FDE-HD mit einem einzigen Verschlüsselungs-Key-Reset sicher löschen kann und sich damit Stunden oder gar Tage dauernde Erase-Torturen ersparen kann?

 

[hanseatic]

Naja... fürs tägliche internetten, Rechnungen, Briefe, etc hab ich nen Linux mit Firestarter. Windows boote ich dann und wann, wenn ich 'ne Win native Anwendung machen will, die Recourcen frisst (e.g. Orbiter).
Von den ganzen Botnetmalwarekram bin ich damit nicht betroffen. Wer mich allerdings gezielt angreifen will, der schafft das so durchaus. Vorm Bundestrojaner hab ich allerdings eher weniger Angst, egal mit welchem OS

 

[SF6]

Was ist eigentlich mit den SSDs und FDE passiert? Die neuen Sandforce Controller sollen ja eine AES Verschlüsselung bieten. Hat da jmd. genauere Infos und sind die kompatible zu TPs?

 

[DVormann]

[quote='tarzan',index.php?page=Thread&postID=837784#post837784]Ich wollte mit meinen Posts nur sagen, dass FDE bei korrekter Implementierung nicht weniger Sicherheit bietet als Cryptsetup/LUKS oder Truecrypt.[/quote]OK. Das habe ich verstanden.

Frage: Existiert FDE mit korrekter Implementierung?

 

[yatpu]

meines wissens nach verraten die hersteller nicht, wie fde bei ihren produkten implementiert ist. also wiedermal "security by obscurity". würden die dinger aes im xts-modus nutzen, bräuchten sie nichts verheimlichen, denn aes-xts ist bereits für diese zwecke standardisiert (IEEE Std 1619-2007 und NIST SP 800-38E). somit kann man nciht mit sicherheit sagen, ob es gute implementierungen gibt, sondern nur spekulieren. ich persönlich tippe mal auch "nein".

http://en.wikipedia.org/wiki/Disk_encryption_theory#XTS

 

[hanseatic]

Irgendwie muss die Firmware der PLatte ja an die Passphrase herankommen. Also muss sie auch somehow verschlüsselt oder nicht gespeichert, und entsprechend auslesbar sein, wenn nicht das ATA Passwort die Passphrase selbst ist. Selbst dann wird es aber in dem meissten Fällen daran hapern, dass der User sich kein sicheres 20stelliges Passwort ausdenkt. Da hilft auch kein AES/XTS.

 

[noco]

Was ist eigentlich mit den SSDs und FDE passiert? Die neuen Sandforce Controller sollen ja eine AES Verschlüsselung bieten. Hat da jmd. genauere Infos und sind die kompatible zu TPs?

Das würde mich auch interessieren. Gibts da schon was neues? Oder andere SSDs mit FDE?

Nehmen wir an, die ATA Sicherheitsfeatures sind korrekt, (sprich ohne absichtliche oder versehentliche Sicherheitslücken) implementiert. Sprich die Platte gibt ihren Inhalt nur frei, wenn sie ein gültiges Passwort erhält. (Workarounds zum Resetten des Passwords oder der Firmware sind auch nicht vorgesehen. Welchen zusätzlichen Schutz bietet dann eine in der Platte herumfuhrwerkende Verschlüsselung, abgesehen vom Lesen von Plaintext auf den eigentlichen Scheiben unter Laborbedingungen?

Das würde mich auch interessieren. Könnte jemand (wie ich), der letztlich nur seine HDD davor schützen will, dass sie im Falle eines Diebstahls nicht ohne größeren Aufwand ausgelesen kann, auch eine normale HDD/SSD nehmen und ein ATA Passwort setzen? Z.Z. nutze ich TrueCrypt und bin bezüglich Geschwindigkeit und Backups leicht genervt. Beim geplanten Umstieg auf eine SSD wird die Sache wegen TRIM und Wear Leveling nicht wirklich durchschaubarer bzw. ich konnte noch nicht herausfinden, ob es da durch TC tatsächlich Nachteile gibt.


Gruß,
Nico.

 

[helmut_grokenberger]

Könnte jemand (wie ich), der letztlich nur seine HDD davor schützen will, dass sie im Falle eines Diebstahls nicht ohne größeren Aufwand ausgelesen kann, auch eine normale HDD/SSD nehmen und ein ATA Passwort setzen?

Das wird dir wohl reichen. Egal ob es eine FDE Platte oder eine normale ist: ohne ATA PW bekommt man nicht so schnell einen Zugang zu den Daten. Bei einer FDE wird eben durch einen zufällig erzeugten Key der gesamte Inhalt der Platte verschlüsselt --> Vorteil: wenn z.B. ein Datenretter-Labor die Platte ausbaut und öffnet dann können die ja von der Scheibe Bit für Bit auslesen. Ist der Inhalt nicht Verschlüsselt, so stehen die Daten hier im Klartext.

Also Fazit: ATA PW ohne FDE bietet einen passablen Schutz gegen den kleinen Dieb um die Ecke. Wenn aber jem. wirklich an deine Daten will so bekommt er das mit rel. wenig Aufwand hin. Bei einer FDE ist das fast unmöglich.

Edit: TC mag ich nicht um ein ganzes Volume zu verschlüsseln. Wenn du Win7 Ultimate hast, dann würde ich eher BitLocker verwenden. Das ist sauber implementiert und sicher.

 

[tarzan]

Edit: TC mag ich nicht um ein ganzes Volume zu verschlüsseln. Wenn du Win7 Ultimate hast, dann würde ich eher BitLocker verwenden. Das ist sauber implementiert und sicher.

Zunächst mal ist "sicher" immer ein relativer Begriff . Zur Implementierung kann ich nicht viel sagen, da ich den Code nicht einsehen kann.

Angriffe gegen Bitlocker existieren aber: siehe hier .

Edit: Mein Deutsch...

 

[helmut_grokenberger]

Klar, alles ist relativ und nichts ist zu 100% sicher. Aber er arbeitet auch nicht beim Geheimdienst
Und für Privatpersonen ist Bitlocker 1000mal sicherer als nur ein ATA PW...

Edit: und mit sauber implementiert meine ich hauptsächlich die Performance, da direkt vom BS-Hersteller angeboten, etc. - Das stört noco ja am meisten an TC. Sonst könnte er auch dabei bleiben - weil "sicher" ist TC schon...relativ

 

[carlito]

Angriffe gegen Bitlocker existieren aber: siehe hier .

Der Link funktioniert nicht. Unabhängig davon sind BitLocker und TrueCrypt grundsätzlich mit den selben Szenarien angreifbar. Beide Möglichkeiten würde ich ggü. einem ATA-PW bevorzugen.

 

[helmut_grokenberger]

Gestern Abend hat der Link bei mir noch funktioniert.
Server ist wohl down...

 

[noco]

Hi,

Also Fazit: ATA PW ohne FDE bietet einen passablen Schutz gegen den kleinen Dieb um die Ecke. Wenn aber jem. wirklich an deine Daten will so bekommt er das mit rel. wenig Aufwand hin. Bei einer FDE ist das fast unmöglich.

das klingt doch gut. Denke mit einer FDE SSD fahre ich dann ganz gut

Wenn du Win7 Ultimate hast, dann würde ich eher BitLocker verwenden. Das ist sauber implementiert und sicher.

Habe leider nur die Prof., weil ich die über MSDNAA kostenlos bekomme.


Bin jetzt aber bereits über einige Forenbeiträge gestolpert, wo jemand, der das ATA Passwort nicht wusste (entweder vergessen oder durch Unvorsichtigkeit irgendwie falsch gesetzt), nicht mehr auf die HDD gekommen ist. Auch nicht unter Verlust der Daten, was ja eigentlich möglich sein sollte. Bei einer SSD ist das natürlich um einiges ärgerlicher, bei den Preisen...

Z.B. hier Hitachi FDE Passwort vergessen, was nun?!


Gruß,
Nico.

 

[helmut_grokenberger]

Ja, wie gesagt. ATA PW ist relativ sicher und ein Laie kommt auch nicht an die Daten. Ein Profi würde die Platte eben aufschrauben und die Sektoren auslesen und so an deine Daten kommen.

Ich hab mal ein Praktikum in ner großen Computerfirma gemacht. Die haben die Daten nur mit ATA ohne FDE geschützt und die Leute von HelpDesk sagten auch: das ist relativ sicher.

ATA mit FDE ist nahezu "bombensicher" da das ATA PW nur der Zugang ist. Die Daten werden mit einem dir unbekannten (längeren) Schlüssel verschlüsselt! D.h. man käme nur mit Worterbuchabfragen o.ä. Häckermethoden an die Daten.

 

[noco]

An der für mich locker ausreichenden Sicherheit zweifle ich nach den Meldungen von Usern, die Ihre HDD letztlich entsorgen durften, auch nicht mehr

Wenn ich's mir recht überlege ist es so evtl. auch gar nicht so doof. Sonst könnte ja jemand auf die Idee kommen, die Daten zu löschen um einem zu schaden. Wobei TrueCrypt gegen einen solchen Angriff auch nichts tun kann.
Wobei für einen regelmäßig backuppenden User die ggf. nicht mehr brauchbare HDD auf jeden Fall schlimmer ist, wie eine gelöschte Platte


Danke jedenfalls für deine Hilfe!

 

[Eric]

Daten Löschen um einem zu schaden? Du da kann ich auch einfach das TP ausm Fenster schmeißen, das geht schneller.

MfG Eric

 

[noco]

Da ist was dran, manchmal denke ich wohl zu kompliziert

 

[noco]

Habe mal bei OCZ wegen der Verschlüsselung nachgefragt und folgende Info erhalten

Um die Verschlüsselung unserer SF1200 SSDs nutzen zu können bzw. diese mit einem Passwortschutz zu versehen, ist eine Software namens OCZ Toolbox nötig. Leider ist diese noch nicht fertiggestellt. Weitere Informationen dazu finden Sie hier -> Guide Sandforce encryption info

Könnte mir vorstellen, dass das Tool nur das ATA Passwort setzt, damit man es auch bei Boards ohne dieses Feature im Bios nutzen kann. Habe aber nochmal nachgehakt und auch wegen der Sicherheit gefragt. Wird irgendwie immer undurchsichtiger alles..


Gruß,
Nico.


EDIT: Habe eben noch eine Mail von OCZ bekommen. Das nenne ich mal Service, um diese Uhrzeit

das Encryption Feature unserer SF SSDs können Sie nur mit der Toolbox nutzen. Ein Passwort im BIOS können Sie natürlich dennoch verwenden. Sollte das Passwort verloren gehen, wäre die SSD zwar nicht unbrauchbar, wohl aber die Daten. Mit HDDErase könnten Sie die SSD komplett in den Urzustand versetzen.

Mir scheint, ich muss mal abwarten, bis diese Toolbox raus ist, bevor ich mir irgendwas kaufe.

Wisst ihr, wie das bei den anderen Herstellern ist? Bieten die auch Toolboxen für die Verschlüsselung an bzw. ist da ebenfalls etwas geplant?

 

[Los]

Ich weiß, es ist schon etwas her, seit das letzte mal hierzu was geschrieben wurde, aber das Thema interessiert mich aktuell brennend. Ist die besagte Toolbox mittlerweile erschienen? Oder hat jemand bei einer anderen Sandforce AES SED laufen?

 

[SF6]

Laut Aussage von Sandforce selbst, reicht es ein HDD Passwort im Bios zu setzen. Dieses wird dann für die Verschlüsselung genutzt.

Hier die Antwort des SF Mitarbeiters:

If you set the HDD password in BIOS that password is set on our device. That is the authentication for the encryption key to allow access to your data. If you want to check that it works pull your SSD and plug it into a new system and try to get access to your drive without providing the BIOS password. Generally the ways around the password security have been blocked with the addition of HW encryption on SandForce Driven SSDs.

Diese "Toolbox" wird nur benötigt, wenn man das PW aus dem OS heraus setzen möchte.

Ich habe natürlich nicht die Mittel das zu verifizieren. Wäre nett, wenn das mal eine probieren könnte.

Schöne Grüße
David

 

[Los]

Nun, ich werde es wohl dann demnächst ausprobieren. Die Sandforce hole ich mir eh, weil meine Intel X25-M G2 mit 80 GB einfach zu wenig Speicherplatz bietet.
Was mich allerdings wundert ist Folgendes:
a) Man kann jede HDD/SSD durch Setzen des einfachen ATA-PW vor normalem Auslesen auf einem 2. Rechner schützen.
b) Wie kann ich nun herausfinden, ob die Daten wirklich verschlüsselt sind? (Und zwar ohne die SSD zu einem Datenrettungsunternehmen zu schicken! )