Wie sicher ist der HD-Passwortschutz bei TP?

[fizz]

Hallo,
ich muß die Frage einfach mal stellen.
Wie sicher ist im Ernstfall das HD-Passwort.
Einige Foren schrieben dazu, daß es unmöglich sei es zu knacken und selbst der IBM-Support hat diesbezüglich keine Idee.
Hat jemand Erfahrungen über das Thema?

 

[rengoo]

kann nur die allgemeinen Gerüchte bestätigen.

So ein schutz dürfte mit das sicherste sein was man haben kann, kein Programm (zumindest keins das mir geläufig ist), kann da eingreifen und es auslesen.
Der Schutz wirkt auch wenn man die Festplatte ausbaut, denn es ist in der Firmware der Platte verankert.

kann man vllt. über umwege irgendwie ein neues firmware aufspielen und das alte überschreiben?

 

[s0larist]

Das kommt darauf an, was du unter sicher verstehst. Es gibt in den USA Firmen, die können den Inhalt einer mit einem HD-Passwort gesicherten Festplatte noch auslesen und recovern. Angeblich nur, wenn man nachweist, dass man der Besitzer ist. Wenn du vermeiden willst, dass Daten jemals in Händer Dritter fallen, dann muss man die Festplatte zusätzlich vollständig verschlüsseln (z.B. mit Utimaco Safeguard, unerstützt sogar den IBM TPM Chip). Der Unterschied zur Teilverschlüsselung (z.B. mit Windows XP EFS) oder Datensafes (PGP Disc usw.) liegt darin, dass selbst gelöschte Daten oder temporäre Dateien, die von vielen Programmen angelegt werden, nicht lesbar sind

Will man nur vermeiden, dass jemand ein gestohlenes Notebook nutzen kann, dann sollte man ein HD-Passwort und ein Supervisor Passwort setzen. Damit wird es für den Dieb oder Finder unrentabel, das Gerät benutzbar zu machen, da die Kosten für eine neue Festplatte und ein neues Motherboard zu hoch wären. Das User-Passwort im Bios kann man übrigens getrost vergessen, da man es mit der CMOS Battery leicht löschen kann.

 

[andy]

Security-Chip

Die optimale Sicherheit bekommst Du derzeit vermutlich über den bei den meisten ThinkPads eingebauten "Security-Chip"

Hier können z.B. Schlüssel mit denen die Daten der Festplatte verschlüsselt werden im Chip gespeichert werden.
Weiter kann man den Chip zur Speicherung diverser Passwörter verwenden.

Derzeit ist mir kein bezahlbares Verfahren bekannt mit dem man dem Chip die Passwörter entlocken könnte.

Ein Ausbau der Festplatte bringt auch nichts, da die Daten ohne den im Chip gespeicherten Schlüssel nicht gelesen werden können.

Der Security Chip ist im Auslieferungszustand nicht aktiviert. Für die Aktivierung ist eine eigene Software von IBM erforderlich. Grundsätzlich sollte man mit diesen Sicherheitseinstelungen etwas vorsichtig umgehen, mann kann sich da auch schnell mal selber aussperren oder die komplette Installation versauen. Man sollte z.B. im Normalfall nie die gesamte Festplatte verschlüsseln sondern nur die Bereiche wo man seine Daten speichert - die Verschlüsselung von ausführbaren Dateien die zu irgend einem Anwendungsprogramm gehören führt meist dazu, dass das Programm nicht mehr läuft ;-)

Im Download-Bereich gibt es ein paar Redbooks zu diesem Thema:
http://thinkpad-forum.de/portal/index.php?page=3&action=category&cat_id=2

Vorab schon mal viel Spass bei der Lektüre
Andy

 

[Trudi]

Hallo,

also was für möglichkeiten hätte ich genau mit einem T42p? Kann man nicht die Daten über den Chip Codieren und dann ganz normal auf der HDD speichern?

Ich möchte am liebsten die Komplette HDD so verschlüsseln das keiner die Daten ohne das PW lesen kann...

 

[skyphab]

Original von Trudi

Hallo,

also was für möglichkeiten hätte ich genau mit einem T42p? Kann man nicht die Daten über den Chip Codieren und dann ganz normal auf der HDD speichern?

Ich möchte am liebsten die Komplette HDD so verschlüsseln das keiner die Daten ohne das PW lesen kann...

Hi.
Soweit ich gelesen habe, kann der Chip on-the-fly verschlüsseln, sprich Festplattenverschlüsselung sollte da quasi ohne Geschwindigkeitsverlust funktionieren.
Die gesamte Festplatte zu verschlüsseln ist zwar die sicherste Alternative, aber eigentlich nicht nötig. Du brauchst ja Programme, oder z.B. den Windowsordner nicht verschlüsseln. Ein Bereich für verschlüsselte Daten reicht vollkommen

 

[Trudi]

Das Problem ist das die Daten quasi überall liegen. Unsere Software speichert automatisch und NUR in ihrem Ordner. Kundenzentraldaten liegen wieder woanders usw. usw. Das einzig sinnvolle wird wohl eine Komplettverschlüsselung.

Was ist wenn das Motherboard (auf dem der Chip verlötet ist?) ausfällt. Kann ich dann mit meinem Passwort und einem anderen Thinkpad die Daten wieder lesen? Kann ich mit dem Chip auch 2 HDDs gleichzeitig verschlüsseln? (einmal die Notebook HDD und eine in der Bay)

 

[s0larist]

@Trudi:
mit Safeguard Easy 4.0 ist möglich, die gesamte Festplatte zu verschlüsseln. Der IBM Security Chip wird zuätzlich für die Schlüsselgenerierung und die XP Anmeldung verwendet, wenn ich das richtig verstehe. Auch eine 2. Platte in der Ultrabay sollte möglich sein.

Ich verwende selber noch die Version 3.2, bei der der IBM Chip nicht unterstützt wird. Geschwindigkeitsverlust gibt es eigentlich fast gar keinen, nur das einmalige Verschlüsseln der Platte dauert 1-2 Stunden. Man kann eine Notfalldiskette anlegen, so dass man notfalls über eine Bootdiskette oder CD wieder entschlüsseln kann, wenn XP nicht mehr starten sollte.

Es gibt auch eine Freeware für die Festplattenverschlüsselung, mit der ich aber selbst aber keine Erfahrung habe: http://www.ce-infosys.com.sg/CeiNews_FreeCompuSec_Ger.asp

@skyphab:
Es ist sehr wohl nötig, die gesamt Platte zu verschlüsseln, wenn man 100%ig sicher gehen will. Windows hinterlässt überall seine Spuren, selbst aus dem pagefile kann man Daten herauslesen, wenn man möchte. Das ist alles immer nur eine Frage des Aufwandes.

 

[Trudi]

Das Programm kenne ich, jedoch berichten einige User über Probleme nach der Installation, wonach der Text "NTLDR not found" erscheint und ein starten von dieser verschlüsselten Festplatte nicht mehr möglich ist.

Wie dem auch sei, was genau bietet mir jetzt der TPM in den Thinkpads? Was kann der genau - bitte mit verständlicher Erklärung

 

[skyphab]

Original von s0larist

@skyphab:
Es ist sehr wohl nötig, die gesamt Platte zu verschlüsseln, wenn man 100%ig sicher gehen will. Windows hinterlässt überall seine Spuren, selbst aus dem pagefile kann man Daten herauslesen, wenn man möchte. Das ist alles immer nur eine Frage des Aufwandes.

Ok klar, das ist natürlich schon richtig. Aber man kann auch aus dem Prozessorcache Daten auslesen, oder aus dem Hauptspeicher. Und wenn man das Pagefile beim Herunterfahren löschen lässt, ist es auch nach wiedereinschalten leer.
Verschlüsselung ist nur immer mit einem gewissen Risiko verbunden. Eigentlich sollte jeder Chip eine eindeutige Identifikation haben, die das Lesen bei Beschädigung unmöglich macht. Vielleicht ist es aber auch anders.

 

[s0larist]

Was der TPM Chip bietet?

Er garantiert, dass man sich mit seinem Schlüssel nur über diesen Chip authentifizieren kann. Es soll angeblich sicherer sein als eine reine Softwarelösung.

Konkret mit der kostenlosen IBM Client Security Software bedeutet das:

- Die Windowsanmeldung wird ersetzt durch eine Anmeldung über den TPM Chip

- Es können einzelne Files oder Folder verschlüsselt werden, aber man sieht an den Filenamen, dass sie verschlüsselt sind ($enc wir an jedes File drangehängt). Vorteil: selbst wenn man angemeldet ist muss man die Files per Mausclick entschlüsseln, also selbst wenn jemand übers Netzwerk auf den Rechner zugreift, sind sie für den Eindringling erst mal verschlüsselt und somit wertlos. Nachteil: man muss sich um die Verschlüsselung einzelner Files selber kümmern.

- es gibt eine (auch kostenlose) Zusatzsoftware Files&Folders, die im angemeldeten Zustand alles zuvor verschlüsselte on the fly entschlüsselt und abgemeldet (bzw. wenn bevor man den Rechner runterfährt) alles verschlüsselt. Vorteil: man muss sich nicht um die Verschlüsselung einzelner Dateien kümmern. Nachteil: wenn man angemeldet ist kann ein Eindringling (über das Netzwerk oder Internet) auch alles entschlüsselt sehen. Änlich wie Safeguard Easy, aber leider nicht die ganze Platte verschlüsselbar, sondern nur einzelne Folder (nur auf c:\) und keine Systemordner.

 

[Trudi]

Und wie ist das genau Mit dem HDD Passwort?

Bedeutet wenn das MoBo hinüber ist, sind alle mit diesem TPM geschützen Daten es auch?

 

[s0larist]

Original von Trudi

Und wie ist das genau Mit dem HDD Passwort?

Das HD Passwort hat mit dem TPM Chip nix zu tun.

Original von Trudi

Bedeutet wenn das MoBo hinüber ist, sind alle mit diesem TPM geschützen Daten es auch?

Gute Frage! Es reicht aber, seine Schlüssel irgendwo auf Diskette oder CD zu archivieren. Ich habe folgendes in der Doku dazu gefunden:

Sie müssen die Schlüssel wiederherstellen, wenn Sie eine Systemplatine austauschen oder wenn infolge eines Ausfalls des Festplattenlaufwerks die Integrität der Benutzerschlüssel beeinträchtigt ist. Bei der Wiederherstellung von Schlüsseln kopieren Sie die neuesten Schlüsseldateien für Benutzer aus dem Schlüsselarchiv und speichern diese im integrierten IBM Sicherheits-Subsystem (IBM Embedded Security Subsystem, ESS). Beim Wiederherstellen der Schlüssel werden alle derzeit im Security Chip gespeicherten Schlüssel überschrieben.

Wenn Sie die ursprüngliche Systemplatine im Computer durch eine neue System-platine mit dem integrierten IBM Sicherheits-Subsystem ersetzen und die Chiffrierschlüssel auf dem Festplattenlaufwerk weiterhin gültig bleiben, können Sie die Chiffrierschlüssel, die zuvor dem Computer zugeordnet waren, wiederherstellen, indem Sie diese mit dem integrierten IBM Sicherheits-Subsystem auf der neuen Systemplatine erneut verschlüsseln. Nachdem Sie den neuen Chip aktiviert und ein Administratorkennwort festgelegt haben, können Sie einen Schlüssel wiederherstellen.

 

[Trudi]

Original von s0larist

Original von Trudi

Und wie ist das genau Mit dem HDD Passwort?

Das HD Passwort hat mit dem TPM Chip nix zu tun.

Original von Trudi

Bedeutet wenn das MoBo hinüber ist, sind alle mit diesem TPM geschützen Daten es auch?

Gute Frage! Es reicht aber, seine Schlüssel irgendwo auf Diskette oder CD zu archivieren. Ich habe folgendes in der Doku dazu gefunden:

Sie müssen die Schlüssel wiederherstellen, wenn Sie eine Systemplatine austauschen oder wenn infolge eines Ausfalls des Festplattenlaufwerks die Integrität der Benutzerschlüssel beeinträchtigt ist. Bei der Wiederherstellung von Schlüsseln kopieren Sie die neuesten Schlüsseldateien für Benutzer aus dem Schlüsselarchiv und speichern diese im integrierten IBM Sicherheits-Subsystem (IBM Embedded Security Subsystem, ESS). Beim Wiederherstellen der Schlüssel werden alle derzeit im Security Chip gespeicherten Schlüssel überschrieben.

Wenn Sie die ursprüngliche Systemplatine im Computer durch eine neue System-platine mit dem integrierten IBM Sicherheits-Subsystem ersetzen und die Chiffrierschlüssel auf dem Festplattenlaufwerk weiterhin gültig bleiben, können Sie die Chiffrierschlüssel, die zuvor dem Computer zugeordnet waren, wiederherstellen, indem Sie diese mit dem integrierten IBM Sicherheits-Subsystem auf der neuen Systemplatine erneut verschlüsseln. Nachdem Sie den neuen Chip aktiviert und ein Administratorkennwort festgelegt haben, können Sie einen Schlüssel wiederherstellen.

Aha Und wie genau funktioniert das HDD Passwort?

 

[Evilandi666]

Das HDD Passwort dürfte vermutlich das ATA Passwort sein, was sich unter Linux z.B. via HDParm setzen lässt oder bei vielen Laptops via Bios.

Sicherheit ist so lala, da keiner genau weiß wie sicher die Kiste ist, v.a. im Hinblick auf einen Austausch der Platine der Festplatte gegen eine "entsperrte" einer baugleichen HDD. (Und das ist auch von einem Laien durchzuführen!).
Bei einer SSD ist es etwas besser, da müsste man schon die Flashchips auslöten.
Problem ist halt, dass es eher "Security through obscurity" ist - kaum ein HDD/SSD Hersteller gibt bekannt, wie und wo die HDD/SSD das PW speichert und wie sicher es dort gespeichert ist.

Daher würde ich eher auf die TPM Variante (wie oben erklärt) oder Vollverschlüsselung setzen - oder gar auf eine SSD die den Inhalt (gebunden an das ATA Passwort) verschlüsselt wie die Vertex 3 z.B. .. aber auch da weiß halt keiner genau "wie sicher" es ist.

 

[blafoo]

Was hat dir die Leiche getan das du sie nach 7 Jahren wieder ausgräbst Oo

Grüße

 

[Lufo]

Der letzte Poster ist vermutlich schon verstorben. Und wenn nicht hat ers in der Zwischenzeit sicherlich rausgefunden

 

[aktentasche]

Einige Foren schrieben dazu, daß es unmöglich sei es zu knacken

etwas unknackbares gibt es nicht.

 

[Evilandi666]

Was hat dir die Leiche getan das du sie nach 7 Jahren wieder ausgräbst Oo

Grüße

Hööö! Des Ding stand auf der Startseite im Portal .. mhhpf. Sry.:crying:

(Jetzt würde mich mal interessieren wie das zustande kam...)

 

[blafoo]

Evil bist nicht der einzige

Aktentasche zitiert auch 7 jahre altes )