Irgendwie habe ich das Gefühl, das Linux von truecrypt.org nur stiefmütterlich behandelt wird. Ist vielleicht ein rein subjektives Gefühl, aber viele (neue) Funktionen sind nur unter Windows zugänglich.
Was ich persönlich bei der Linux-Version von Truecrypt an meisten vermisse ist pre-boot authentication, um eben die gesamte Platte z.B. eines Notebooks mit Truecrypt verschlüsseln zu können. Aber vielleicht ist das bei der Vielzahl an unterschiedlichen Distris zu schwierig zu realisieren. Oder kennt jemand Gründe, warum das nicht implementiert wird?
Auch wäre eine bessere Desktop Integration der Oberfläche schön, sage ich mal so als treuer KDE Nutzer. Trotz Quelloffenheit gibt es bisher keine Alternativen zu der Truecrypt Oberfläche. Unter KDE fühlt sich Truecrypt fremd an. Aber man kann nicht alles haben. Am wichtigsten ist natürlich eine korrekte Implementation der Algorithmen. Und da habe ich Vertrauen in die Software.
Truecrypt und "Linux" vertragen sich nicht wirklich miteinander. Zum einen versteht praktisch niemand den Sourcecode (das liegt an der fachlichen Materie an sich) und zum anderen macht man sich als Distribution tagelang Arbeit, nur um diese Software lizenzkonform wiederzuverpacken: http://www.happyassassin.net/2008/08/06/open-letter-to-the-developers-of-truecrypt/ Der Text spricht Bände. Distributionen haben auf so etwas normalerweise keinerlei Lust. Vielleicht schlägt das ja mittlerweile auf die "Linuxmotivation" der Truecryptentwickler - wer das auch immer sein mag - zurück.
Was solll der Mumpiz unter Linux will niemand eine Software aus zweifelhaften Quellen, die Truecrypt Entwickler sind Ghosts, kein Schwein weis wer dahintersteckt.
Vollverschlüsselung bekommst du ja auch so unter Linux, z.B. bei einer aktuellen Suse 11.3 direkt beim Setup auswählbar. Um zusammen mit Windows auf ne verhlüsselte Partition zuzugreifen kann man ja dann FreeOTFE zurückgreifen.
Daher: für Linux gibts einwandfreie Verschlüsselungssoftware, das haben wohl auch die TrueCrypt Entwickler erkannt:-)
Beschreibst Du mir mal bitte, wie Du Deine gesamte Platte unter 11.3 inklusive boot, root und home Partitionen verschlüsselst? Ich meine so wie es z.B. Bitlocker(Igitt) oder Truecrypt unter Windows (noch mehr Igitt) macht? Pre-Boot eben. Ich habe 11.3 installiert, kann damit aber nicht die gesamte Platte verschlüsseln. Zumindest weiß ich nicht wie Du das machst. FreeOTFE ist keine Alternative für mich, da ich kein Windows habe.
Hallo, das "Zauberwort" heißt LVM Du legst also eine Volume Gruppe an, darin befindet sich z.B. /home, /usr/local/, /mp3 ect. Diese Gruppe wird verschlüsselt. Beim booten wird nach (einem) Passwort gefragt der die einzelnen Volumes "sichtbar" macht.
Ich habe hier eine kleine Anleitung für Ubuntu - sollte sich auch mit SuSE realisieren lassen. http://board.raidrush.ws/showthread.php?t=510601
Da ist die boot-Partition aber nicht verschlüsselt.
Versteh mich nicht falsch, ich verwende obigen Ansatz selbst.
Im übrigen verlagert man bei pre-boot-authentication das ganze Problem nur eins nach oben. Irgendwo muß man ja etwas unverschlüsseltes rumkrauchen haben, kann sich ja nicht wie Baron von Münchhausen selbst an den Haaren aus dem Sumpf ziehen ...
Wenn man's ganz sicher haben will, dann packt man das zugehörige /boot auf einen USB-Stick / eine CD / eine Diskette und lagert das separat vom PC. Dann kann /boot nicht in Abwesenheit manipuliert werden.
für mich hört sich vom Prinzip pre-boot genauso an wie /boot nicht verschlüsselt
Wenn ich das richtig im Hinterkopf habe, ist das ein kleiner Bootloader, insbesondere für Windows wichtig, weil man sonst die Systempartition unverschlüsselt lassen müßte.
Klingt plausibel. Also müsste man in GRUB eine Möglichkeit einbauen, verschlüsselte Partitionen zu nutzen und dann von diesen zu booten um eine erhöhte Sicherheit zu gewähren?
Wiewohl auch das wieder Angriffe ermöglicht, z.B. das Abschnorcheln des Paßwortes bei der Eingabe, indem man Dir dann einfach eine modifizierte Version dieses GRUB unterjubelt.
Was bringt eigentlich plausible deniability wirklich? Verschlüsseln ist ja nicht verboten, und zur Herausgabe des Passworts kann man in Deutschland auch nicht gezwungen werden (geht das in USA/England? Dazu hört man nur Gerüchte!). Für Richter ist es auch nicht unbedingt plausibel, dass man 4 Terrabyte Festplatten rumliegen hat, die aber alle "so gut wie" leer sind. Wer glaubt sowas schon? Vor allem, da ja bekannt ist, dass TrueCrypt sowas kann...
>Für Richter ist es auch nicht unbedingt plausibel, dass man 4 Terrabyte Festplatten rumliegen hat, die aber alle "so gut wie" leer sind. Wer glaubt sowas schon? Vor allem, da ja bekannt ist, dass TrueCrypt sowas kann...
Warum darf ich nicht 4Tb als Reserve rumliegen haben, die ich gerade nicht oder nicht mehr brauche??? Habe hier auch 2 Tb rumliegen (als Privatperson), die wirklich gerade ungenutzt sind (nachdem ich vorher damit paar Filme geschnitten und editiert hatte). Außerdem kann mir auch gerade die Festplatte gecrasht sein und ich musste alles neu formatieren, alles möglich...
Schon klar, aber was ist daran auszusetzen, wenn ich 4TB verschlüsselte Festplatten hier rumliegen habe? Ist auch nicht verboten!
Nur wenn auf anderem Wege nachgewiesen wurde, dass man sich z.B. Zeug online illegal beschafft hat, dann nützt einem die plausible deniability auch nichts, das wollte ich damit sagen. Was also ist der Vorteil gegenüber einfach nur Verschlüsseln?
Schon klar, aber was ist daran auszusetzen, wenn ich 4TB verschlüsselte Festplatten hier rumliegen habe? Ist auch nicht verboten!
In GB wirst Du in Beugehaft genommen, wenn Du das Paßwort nicht rausrücken willst. Da könnte es schon interessant sein, verschlüsselte Partitionen einfach "verstecken" zu können.
Allerdings, eine Festplatte voller Zufallsdaten ist zumindest schon mal ungewöhnlich und dürfte Fragen nach sich ziehen. Und die Analysten, die sich dann drüber hermachen, sind im Zweifel auch nicht völlig bescheuert.
Gibt es irgendwo eine Quelle für dieses "in GB gibt es Beugehaft für Selbstbelastung durch Passwortherausgabe"? Wenn ja, wie lang, bei welchem Verbrechen, etc. Ich kenne das auch, aber irgendeine gesicherte und genaue Angabe wäre mal ganz nett...
Ok, hab selber ein wenig gesucht, es wurden scheinbar schon welche deswegen eingesperrt [2,3], oder es wurde ihnen angedroht... angeblich soll es nur bei den üblichen "schweren" Verbrechen zum Einsatz kommen, aber das kennt man ja, worauf das hinausläuft... dass man sich dadurch selbst belastet (was ja illegal wäre), sehen die Richter perverser Weise nicht [1]. Da ist die Frage, ob es einem etwas bringt, wenn man sagt, man habe das Passwort vergessen, oder wenn man ein Passwort sagt, das aber zu unwichtigen (und deshalb unglaubwürdigen) Daten führt. Echte Scheiße das...
dass man sich dadurch selbst belastet (was ja illegal wäre), sehen die Richter perverser Weise nicht
Sie sehen es, verneinen aber die Eigenbelastung. Wenn ich das richtig im Hinterkopf habe, mit dem bemerkenswerten Argument, daß das Paßwort selbst einen ja nicht belastet, "lediglich" die damit verschafften Daten. Bemerkenswert im Sinne von: zum Kopf auf die Tischplatte schlagen. Oft und fest. Nicht den eigenen.
Eine Festplatte ist immer voller zufälliger Daten. Die Vorstellung, dass "da wo keine Datei ist" alles "leer" oder "voller Nullen ist", stimmt nicht, außer man hat die Festplatte entsprechend behandelt. Zufällige Info auf der Festplatte erregt also keinen Verdacht.
PreBoot ist ein reiner Marketing Gaga so gut wie keinen praktischen Nutzen, lässt sich ohne TPM leicht aushebeln und sogar mit TPM im Falle von Bitlocker schon ausgehebelt. Wie ich weiter unten schon geschrieben habe, wenn jemand mal physikalischen Zugriff hatte, dann hilft die kein PBA mehr. Dann hat der Angreifer 1001 Möglichkeiten an das Passwort, Schlüssel etc. zu kommen. Da schmeißt du dann am besten gleich alles in den Mülleimer.
Das klappt alles aber nur bei einem laufenden System. Ist der Rechner aus und jemand klaut oder beschlagnahmt ihn guckt derjenige auch wie blöd in die Röhre.
Natürlich sollte man, beim Gang zur Mittagspause oder kurzem Klobesuch nicht den Rechner unbeaufsichtigt lassen und ggf. vorher runterfahren.
Insbesondere gilt, die Kiste nicht aus den Augen zu lassen. Sonst hat man zack-zack einen eingebauten Keylogger in Hardwareform. So groß werden die Dinger ja heutzutage nicht mehr sein, zumindest nicht für interessierte Organisationen. Und komm mir keiner mit "hast ja nichts zu verbergen" - das ist kein Argument. *g*
Festplatten verwenden zunehmend Sektoren von 4 KB Größe, um die Daten effizienter und sicherer zu speichern.
Liebe Schreiberlinge, setzt doch bitte nicht solche schwachsinnigen Pseudo-Vereinfachungen in die Welt, die hinterher womöglich noch jemand glaubt.
4K-Sektoren auf Festplatten haben selbstverständlich weder nennenswertes mit Effizienz (da müßte man erstmal definieren, in welcher Hinsicht, denn wenns um effiziente Platznutzung geht sind die kontraproduktiv) noch gar mit "sicherer" zu tun. Es geht da schlicht darum, daß ein handelsübliches BIOS sonst Schwierigkeiten kriegt, so große Platten überhaupt am Stück ohne Zusatzsoftware zu verwalten.
Entschuldige, aber Deine Aussage ist schlicht Unsinn! Man kann zwar in Ausnahmefällen mehr adressieren, aber nicht mit allen "handelsüblichen" BIOS-Versionen, wie du schreibst. Der Hauptgrund für 4K-Sektoren ist die Effizienz (unter Windows aber auch nicht nur da). FAT zum Beispiel verwaltet keine einzelnen Sektoren, sondern sogenannte Cluster, die aus mehreren Sektoren bestehen. Auch NTFS verwendet vergleichbare Konzepte. Die Clustergröße beträgt üblicherweise 4 KiB (8 Sektoren a 512 Byte) oder mehr, kleinere Clustergrößen führen bei Windows zu Performanceeinbußen beim Pagen, da in 4 kiB-Blöcken gearbeitet wird.
Im Gegensatz zu deiner Vermutung/Aussage erhöht sich auch die Speicherkapazität. Durch die 4K-Sektorgrößen erreicht man die Steigerung der Netto-Speicherkapazität, da durch die höhere Sektorengröße weniger ECC-Informationen vorliegen müssen. In der Regel liegt der Gewinn zwischen 7% und 11%. Die ECC-Effizienz dürfte ebenfalls zunehmen, da ein langer ECC-Code weniger Berechnungen erfordert als zahlreiche kleine Fragmente.
Diese Komponente wird nach dem Laden des BIOS, jedoch vor dem Starten des Betriebssystems angezeigt. In der PBA werden Zugangsdaten abgefragt, die zum Zugriff auf das verschlüsselte Dateisystem notwendig sind.
Zitat:
Neben der Pre-Boot Authentication kann das Betriebssystem nach dem Systemstart automatisch ein Entschlüsselungsprogramm starten. Bei dieser Variante können aber nur Dateien verschlüsselt werden, die nicht zum eigentlichen Systemstart notwendig sind.
Beispiele für solche Lösungen sind cryptsetup und LUKS unter Linux.
Also:
Bei Pre-Boot geht es darum, dass auch der Systemstart an sich verschlüsselt ist. In /boot liegt aber der Kernel und der wäre bei LVM/LUKS unverschlüsselt. Es spielt dabei keine Rolle, /boot auf einen USB Stick auszulagern. Somit ist diese Konstellation keine 100%tige Pre-Boot-Authentifizierung.
Bitlocker und Truecrypt können eben Pre-Boot-Auth, LVM/LUKS leider nicht.
Gibt es unter Linux denn nun Software, die PBA 100%tig umsetzt?
In /boot liegt aber der Kernel und der wäre bei LVM/LUKS unverschlüsselt.
Korrekt, ich habe auch nichts anderes behauptet.
Es spielt dabei keine Rolle, /boot auf einen USB Stick auszulagern.
Im Zusammenhang mit PBA nicht, nein. Ich habe auch nicht behauptet, daß das dann zu PBA führen würde. Es erschwert aber eine Manipulation des Systems; erschien mir als Anmerkung interessant, hat aber wie gesagt keinen Einfluß auf die eigentliche Fragestellung.
Somit ist diese Konstellation keine 100%tige Pre-Boot-Authentifizierung.
Richtig. Das habe zumindest ich auch nicht behauptet.
Dieser Beitrag wurde 1 mal editiert. Zuletzt am 20. Jul 2010 um 18:28.
Aber das verlagert das Problem eh nur eine Stufe nach oben: auf den PBA. Denn irgendwo muß es ja eine Software geben, die das System dann entschlüsselt und hochfährt. Und dort kann ein Angreifer dann ansetzen. Denn diese Software kann nicht verschlüsselt rumliegen, weil sie dann vom BIOS nicht gestartet werden könnte.
Seit Juli 2009 existiert ein Bootkit für alle Windows-Versionen der x86-Architektur, welches die Eingabe des Kennworts für die TrueCrypt Pre-Boot Authentication ausspähen kann[7].
Ok, sowohl eine Loader-Software für PBA oder die /boot Partition bei LVM/LUKS könnte ohne Probleme kompromitiert werden.
Einzige Lösung: Die Loader-Software oder die /boot Partition auf ein externes Medium (am besten mit Schreibschutz) packen, z.B. eine CD-R, SD-Karte oder ein geeigneter USB Stick. Davon bootet man. Verläßt man den Rechner, muss man das Medium irgendwo sicher aufbewahren und vor physischen Zugriffen schützen. Im laufenden Betrieb ist es somit nicht möglich, die Boot-Umgebung zu manipulieren und einen Keylogger zu installieren, es sei denn, das Bios wurde zuvor manipuliert.
Um die Passphrase dann noch auszuspähen, käme nur noch ein Hardware-Keylogger oder eine Kamera in Betracht (andere Geheimdienst Mittel nicht mitgezählt). Befindet sich dagegen eine Loader-Software direkt auf der Boot-Festplatte, könnte Schindluder getrieben werden ohne das man es merkt und die Verschlüsselung wäre nutzlos, weil jemand das die Passphrase geklaut hat.
Fazit: Das ganze Thema 99% oder 100%-PBA ist eigentlich sinnlos. Solange die Systembereiche (bei Linux alles außer /boot) z.B. mittels LVM/LUKS verschlüsselt werden, /, tmp, swap, home, etc., ist man "sicher". Ich brauche in diesem Fall kein Linux-Truecrypt mit PBA (gibt es eh nicht) und die Boardmittel sind ausreichend.
Wenn jemand mal an dem zu überwachenden Rechner war ist es egal ob da ein Witz von PBA ist oder ein Kernel. Um kleine Buben abzuhalten tuts auch mal ein BIOS Passwort bzw. Festplattenpasswort wenn das BIOS das unterstützt.
Wenn jemand soweit kommt, dass er den Kernel manipulieren kann, kann der die Tastatur manipulieren, ne Wanze installieren und sonst was:-)
Ja, das stimmt schon. Ein Tastaturkabel ist fix manipuliert. Einen Tag warten und dann einbrechen und Rechner stehlen. Da nützt dann auch keine Verschlüsselung mehr. Ob PBA oder Kernel ist egal. Schon richtig. Ist aber alles nur trügerische Sicherheit. Wenn Du im Zielkreuz des BKA bist, darfst Du Deine Platte eh nicht mehr entschlüsseln. Dann ein Passwort einzugeben, wo auch immer, wäre viel zu gefährlich. Wer weiß, was die dann vorher wo manipuliert haben. Hmm, hört sich an, als wenn ich was auf dem Kerbholz habe. Ist aber nicht so Ich werde trotzdem meinen Notebook verschlüsseln, auch wenn es nur gegen kleine Buben ist.
Es geht aber um PBA. Und da gibt es keine Bildschirmtastatur womit Du den Key eingeben kannst. Die Software wird ja noch vor dem eigentlichen BS geladen.
Jo, aber da greift noch keinerlei Software, da muss dann wirklich ein Hardwarelogger vor dem Tastenklavier hängen. Dass jemand in deine Wohnung einbricht und dir ein solches Teil installiert - hm, nun gut. Hat man diese Bedenken, dann kann man dann auch seinen Rechner so platzieren, dass man vor jeder Entschlüsselung einen kleinen Blick auf seinen Keyboardstecker wirft. Wenn schon paranoid, dann bitte auch konsequent.
Okay, ich kam über eine Suchmaschine auf die Seite und habe das vor deinen Beitrag, auf den ich geantwortet habe, gar nicht gelesen. Ignorier mein Statement einfach, löschen kann ich's nicht mehr.
Hat man diese Bedenken, dann kann man dann auch seinen Rechner so platzieren, dass man vor jeder Entschlüsselung einen kleinen Blick auf seinen Keyboardstecker wirft.
Baut es Dir einer halt intern ein. Fertig ist die Laube.
Naja, also ich schaue eh bei jedem Rechnerstart in meine Tastatur, ob jemand mir da was eingelötet hat. Ist doch aber normal, denke ich. Oder macht ihr das etwa nicht? oO
Naja okay, ich hab mal neugierig geschaut, ob es sowas gibt und [url=http://www.keelog.com/de/hardware_keyboard_logger.html]das hier[/url] gefunden, das kriege ich jetzt natürlich so einfach nicht wegargumentiert. Aber wenn ich so weit bin, dass ich angst haben muss, dass mir jemand SOWAS in den Rechner baut, dann habe ich auch einen Elektromagneten auf der Platte, den ich schnell einschalten kann, wenn jemand bestimmtes vor der Tür steht...
Gibt es unter Linux denn nun Software, die PBA 100%tig umsetzt?
Was genau soll das denn für einen Vorteil bieten gegenüber nur /boot unverschlüsselt? Bei PBA (ohne TPM) kann man durch Manipulation des Bootloaders das Passwort genauso ausspionieren wie man es bei LUKS durch Manipulation des Kernels könnte, siehe z.B. http://theinvisiblethings.blogspot.com/2009/10/evil-maid-goes-after-truecrypt.html
Und wozu das ganze? Was will der Angreifer mit deinem Kernel-Image anfangen? Er kann bestensfalls die Infos aus menu.lst nutzen, wenn Grub drauf ist aber das wird ihm auch nicht viel weiter helfen - die Partitionstabelle kann er auch so auslesen.
Von peter_der_trompeter am Di, 20. Juli 2010 um 18:58 #
TrueCrypt = Open Source, aber nicht frei? Zumindest, wenn ich [1] richtig verstanden habe Der erste Satz müsste dann von ProLinux entsprechend umgeändert werden.
Irgendwie habe ich das Gefühl, das Linux von truecrypt.org nur stiefmütterlich behandelt wird. Ist vielleicht ein rein subjektives Gefühl, aber viele (neue) Funktionen sind nur unter Windows zugänglich.
Was ich persönlich bei der Linux-Version von Truecrypt an meisten vermisse ist pre-boot authentication, um eben die gesamte Platte z.B. eines Notebooks mit Truecrypt verschlüsseln zu können. Aber vielleicht ist das bei der Vielzahl an unterschiedlichen Distris zu schwierig zu realisieren. Oder kennt jemand Gründe, warum das nicht implementiert wird?
Auch wäre eine bessere Desktop Integration der Oberfläche schön, sage ich mal so als treuer KDE Nutzer. Trotz Quelloffenheit gibt es bisher keine Alternativen zu der Truecrypt Oberfläche. Unter KDE fühlt sich Truecrypt fremd an. Aber man kann nicht alles haben. Am wichtigsten ist natürlich eine korrekte Implementation der Algorithmen. Und da habe ich Vertrauen in die Software.
Truecrypt und "Linux" vertragen sich nicht wirklich miteinander.
Zum einen versteht praktisch niemand den Sourcecode (das liegt an der fachlichen Materie an sich) und zum anderen macht man sich als Distribution tagelang Arbeit, nur um diese Software lizenzkonform wiederzuverpacken:
http://www.happyassassin.net/2008/08/06/open-letter-to-the-developers-of-truecrypt/
Der Text spricht Bände. Distributionen haben auf so etwas normalerweise keinerlei Lust.
Vielleicht schlägt das ja mittlerweile auf die "Linuxmotivation" der Truecryptentwickler - wer das auch immer sein mag - zurück.
Was solll der Mumpiz unter Linux will niemand eine Software aus zweifelhaften Quellen, die Truecrypt Entwickler sind Ghosts, kein Schwein weis wer dahintersteckt.
Vollverschlüsselung bekommst du ja auch so unter Linux, z.B. bei einer aktuellen Suse 11.3 direkt beim Setup auswählbar.
Um zusammen mit Windows auf ne verhlüsselte Partition zuzugreifen kann man ja dann FreeOTFE zurückgreifen.
Daher: für Linux gibts einwandfreie Verschlüsselungssoftware, das haben wohl auch die TrueCrypt Entwickler erkannt:-)
Beschreibst Du mir mal bitte, wie Du Deine gesamte Platte unter 11.3 inklusive boot, root und home Partitionen verschlüsselst? Ich meine so wie es z.B. Bitlocker(Igitt) oder Truecrypt unter Windows (noch mehr Igitt) macht? Pre-Boot eben. Ich habe 11.3 installiert, kann damit aber nicht die gesamte Platte verschlüsseln. Zumindest weiß ich nicht wie Du das machst.
FreeOTFE ist keine Alternative für mich, da ich kein Windows habe.
Schau dir mal dmcrypt/luks an.
Welche Software gibt es denn unter Linux genau, die OpenSource ist und folgende zwei Funktionen zur Verfügung stellt:
plausible deniability
und
pre-boot-authentication
Für Infos wäre ich Dir dankbar. Kann zwar selbst googlen, finde aber nix.
Hallo,
das "Zauberwort" heißt LVM
Du legst also eine Volume Gruppe an, darin befindet sich z.B. /home, /usr/local/, /mp3 ect.
Diese Gruppe wird verschlüsselt. Beim booten wird nach (einem) Passwort gefragt der die einzelnen Volumes "sichtbar" macht.
Ich habe hier eine kleine Anleitung für Ubuntu - sollte sich auch mit SuSE realisieren lassen.
http://board.raidrush.ws/showthread.php?t=510601
Da ist die boot-Partition aber nicht verschlüsselt.
Versteh mich nicht falsch, ich verwende obigen Ansatz selbst.
Im übrigen verlagert man bei pre-boot-authentication das ganze Problem nur eins nach oben. Irgendwo muß man ja etwas unverschlüsseltes rumkrauchen haben, kann sich ja nicht wie Baron von Münchhausen selbst an den Haaren aus dem Sumpf ziehen ...
Wenn man's ganz sicher haben will, dann packt man das zugehörige /boot auf einen USB-Stick / eine CD / eine Diskette und lagert das separat vom PC. Dann kann /boot nicht in Abwesenheit manipuliert werden.
Ich hab ja keine Ahnung vom Verschlüsseln aber für mich hört sich vom Prinzip pre-boot genauso an wie /boot nicht verschlüsselt.
Und wie bzw. was manipuliert man bei /boot?
Gruß
für mich hört sich vom Prinzip pre-boot genauso an wie /boot nicht verschlüsselt
Wenn ich das richtig im Hinterkopf habe, ist das ein kleiner Bootloader, insbesondere für Windows wichtig, weil man sonst die Systempartition unverschlüsselt lassen müßte.
Und wie bzw. was manipuliert man bei /boot?
?
Ich meine, was will/kann man damit erreichen irgendwas auf der unverschlüsselten /boot zu manipulieren.
Gruß
In /boot liegt zum Beispiel i.d.R. das initrd image und der kernel. Könnte also schon recht interessant sein da etwas zu verändern.
Klingt plausibel.
Also müsste man in GRUB eine Möglichkeit einbauen, verschlüsselte Partitionen zu nutzen und dann von diesen zu booten um eine erhöhte Sicherheit zu gewähren?
Gruß
So in etwa.
Wiewohl auch das wieder Angriffe ermöglicht, z.B. das Abschnorcheln des Paßwortes bei der Eingabe, indem man Dir dann einfach eine modifizierte Version dieses GRUB unterjubelt.
Was bringt eigentlich plausible deniability wirklich? Verschlüsseln ist ja nicht verboten, und zur Herausgabe des Passworts kann man in Deutschland auch nicht gezwungen werden (geht das in USA/England? Dazu hört man nur Gerüchte!). Für Richter ist es auch nicht unbedingt plausibel, dass man 4 Terrabyte Festplatten rumliegen hat, die aber alle "so gut wie" leer sind. Wer glaubt sowas schon? Vor allem, da ja bekannt ist, dass TrueCrypt sowas kann...
>Für Richter ist es auch nicht unbedingt plausibel, dass man 4 Terrabyte Festplatten rumliegen hat, die aber alle "so gut wie" leer sind. Wer glaubt sowas schon? Vor allem, da ja bekannt ist, dass TrueCrypt sowas kann...
Warum darf ich nicht 4Tb als Reserve rumliegen haben, die ich gerade nicht oder nicht mehr brauche??? Habe hier auch 2 Tb rumliegen (als Privatperson), die wirklich gerade ungenutzt sind (nachdem ich vorher damit paar Filme geschnitten und editiert hatte). Außerdem kann mir auch gerade die Festplatte gecrasht sein und ich musste alles neu formatieren, alles möglich...
Schon klar, aber was ist daran auszusetzen, wenn ich 4TB verschlüsselte Festplatten hier rumliegen habe? Ist auch nicht verboten!
Nur wenn auf anderem Wege nachgewiesen wurde, dass man sich z.B. Zeug online illegal beschafft hat, dann nützt einem die plausible deniability auch nichts, das wollte ich damit sagen. Was also ist der Vorteil gegenüber einfach nur Verschlüsseln?
Schon klar, aber was ist daran auszusetzen, wenn ich 4TB verschlüsselte Festplatten hier rumliegen habe? Ist auch nicht verboten!
In GB wirst Du in Beugehaft genommen, wenn Du das Paßwort nicht rausrücken willst. Da könnte es schon interessant sein, verschlüsselte Partitionen einfach "verstecken" zu können.
Allerdings, eine Festplatte voller Zufallsdaten ist zumindest schon mal ungewöhnlich und dürfte Fragen nach sich ziehen. Und die Analysten, die sich dann drüber hermachen, sind im Zweifel auch nicht völlig bescheuert.
Gibt es irgendwo eine Quelle für dieses "in GB gibt es Beugehaft für Selbstbelastung durch Passwortherausgabe"? Wenn ja, wie lang, bei welchem Verbrechen, etc. Ich kenne das auch, aber irgendeine gesicherte und genaue Angabe wäre mal ganz nett...
Gibt es irgendwo eine Quelle für dieses "in GB gibt es Beugehaft für Selbstbelastung durch Passwortherausgabe"?
Ja.
http://www.heise.de/newsticker/meldung/Grossbritannien-Passwort-oder-fuenf-Jahre-Gefaengnis-182650.html
Inwieweit sie das tatsächlich durchziehen, entzieht sich allerdings meiner Kenntnis.
Und ob da "plausible deniability" tatsächlich funktioniert, weiß ich ebenfalls nicht.
Ok, hab selber ein wenig gesucht, es wurden scheinbar schon welche deswegen eingesperrt [2,3], oder es wurde ihnen angedroht... angeblich soll es nur bei den üblichen "schweren" Verbrechen zum Einsatz kommen, aber das kennt man ja, worauf das hinausläuft... dass man sich dadurch selbst belastet (was ja illegal wäre), sehen die Richter perverser Weise nicht [1]. Da ist die Frage, ob es einem etwas bringt, wenn man sagt, man habe das Passwort vergessen, oder wenn man ein Passwort sagt, das aber zu unwichtigen (und deshalb unglaubwürdigen) Daten führt. Echte Scheiße das...
[1] http://it.slashdot.org/article.pl?sid=08/10/16/0311217
[2] http://blog.ironkey.com/?p=842
[3] http://www.theregister.co.uk/2007/11/14/ripa_encryption_key_notice/
dass man sich dadurch selbst belastet (was ja illegal wäre), sehen die Richter perverser Weise nicht
Sie sehen es, verneinen aber die Eigenbelastung. Wenn ich das richtig im Hinterkopf habe, mit dem bemerkenswerten Argument, daß das Paßwort selbst einen ja nicht belastet, "lediglich" die damit verschafften Daten. Bemerkenswert im Sinne von: zum Kopf auf die Tischplatte schlagen. Oft und fest. Nicht den eigenen.
Eine Festplatte ist immer voller zufälliger Daten. Die Vorstellung, dass "da wo keine Datei ist" alles "leer" oder "voller Nullen ist", stimmt nicht, außer man hat die Festplatte entsprechend behandelt. Zufällige Info auf der Festplatte erregt also keinen Verdacht.
PreBoot ist ein reiner Marketing Gaga so gut wie keinen praktischen Nutzen, lässt sich ohne TPM leicht aushebeln und sogar mit TPM im Falle von Bitlocker schon ausgehebelt. Wie ich weiter unten schon geschrieben habe, wenn jemand mal physikalischen Zugriff hatte, dann hilft die kein PBA mehr. Dann hat der Angreifer 1001 Möglichkeiten an das Passwort, Schlüssel etc. zu kommen. Da schmeißt du dann am besten gleich alles in den Mülleimer.
Das klappt alles aber nur bei einem laufenden System. Ist der Rechner aus und jemand klaut oder beschlagnahmt ihn guckt derjenige auch wie blöd in die Röhre.
Natürlich sollte man, beim Gang zur Mittagspause oder kurzem Klobesuch nicht den Rechner unbeaufsichtigt lassen und ggf. vorher runterfahren.
Zustimmung.
Insbesondere gilt, die Kiste nicht aus den Augen zu lassen. Sonst hat man zack-zack einen eingebauten Keylogger in Hardwareform. So groß werden die Dinger ja heutzutage nicht mehr sein, zumindest nicht für interessierte Organisationen. Und komm mir keiner mit "hast ja nichts zu verbergen" - das ist kein Argument. *g*
Nana, wir wollen mal nicht gar zu paranoid sein
Festplatten verwenden zunehmend Sektoren von 4 KB Größe, um die Daten effizienter und sicherer zu speichern.
Liebe Schreiberlinge, setzt doch bitte nicht solche schwachsinnigen Pseudo-Vereinfachungen in die Welt, die hinterher womöglich noch jemand glaubt.
4K-Sektoren auf Festplatten haben selbstverständlich weder nennenswertes mit Effizienz (da müßte man erstmal definieren, in welcher Hinsicht, denn wenns um effiziente Platznutzung geht sind die kontraproduktiv) noch gar mit "sicherer" zu tun. Es geht da schlicht darum, daß ein handelsübliches BIOS sonst Schwierigkeiten kriegt, so große Platten überhaupt am Stück ohne Zusatzsoftware zu verwalten.
Entschuldige, aber Deine Aussage ist schlicht Unsinn! Man kann zwar in Ausnahmefällen mehr adressieren, aber nicht mit allen "handelsüblichen" BIOS-Versionen, wie du schreibst. Der Hauptgrund für 4K-Sektoren ist die Effizienz (unter Windows aber auch nicht nur da). FAT zum Beispiel verwaltet keine einzelnen Sektoren, sondern sogenannte Cluster, die aus mehreren Sektoren bestehen. Auch NTFS verwendet vergleichbare Konzepte. Die Clustergröße beträgt üblicherweise 4 KiB (8 Sektoren a 512 Byte) oder mehr, kleinere Clustergrößen führen bei Windows zu Performanceeinbußen beim Pagen, da in 4 kiB-Blöcken gearbeitet wird.
Im Gegensatz zu deiner Vermutung/Aussage erhöht sich auch die Speicherkapazität. Durch die 4K-Sektorgrößen erreicht man die Steigerung der Netto-Speicherkapazität, da durch die höhere Sektorengröße weniger ECC-Informationen vorliegen müssen. In der Regel liegt der Gewinn zwischen 7% und 11%. Die ECC-Effizienz dürfte ebenfalls zunehmen, da ein langer ECC-Code weniger Berechnungen erfordert als zahlreiche kleine Fragmente.
Hoffe dir geholfen zu haben
Also einige Kommentare kann ich nicht so ganz nachvollziehen.
Vielleicht ist es ja nicht ganz klar was Pre-Boot-Authentication bedeutet. Vielleicht liege ich ja auch falsch. Aber:
Quelle:
http://de.wikipedia.org/wiki/Pre-Boot_Authentication
Also:
Bei Pre-Boot geht es darum, dass auch der Systemstart an sich verschlüsselt ist. In /boot liegt aber der Kernel und der wäre bei LVM/LUKS unverschlüsselt. Es spielt dabei keine Rolle, /boot auf einen USB Stick auszulagern. Somit ist diese Konstellation keine 100%tige Pre-Boot-Authentifizierung.
Bitlocker und Truecrypt können eben Pre-Boot-Auth, LVM/LUKS leider nicht.
Gibt es unter Linux denn nun Software, die PBA 100%tig umsetzt?
In /boot liegt aber der Kernel und der wäre bei LVM/LUKS unverschlüsselt.
Korrekt, ich habe auch nichts anderes behauptet.
Es spielt dabei keine Rolle, /boot auf einen USB Stick auszulagern.
Im Zusammenhang mit PBA nicht, nein. Ich habe auch nicht behauptet, daß das dann zu PBA führen würde. Es erschwert aber eine Manipulation des Systems; erschien mir als Anmerkung interessant, hat aber wie gesagt keinen Einfluß auf die eigentliche Fragestellung.
Somit ist diese Konstellation keine 100%tige Pre-Boot-Authentifizierung.
Richtig. Das habe zumindest ich auch nicht behauptet.
Dieser Beitrag wurde 1 mal editiert. Zuletzt am 20. Jul 2010 um 18:28.Alles klar, aber kann man PBA derzeit unter Linux 100% realisieren? Ohne CS-Software versteht sich.
Mir ist zumindest kein Weg bekannt.
Aber das verlagert das Problem eh nur eine Stufe nach oben: auf den PBA. Denn irgendwo muß es ja eine Software geben, die das System dann entschlüsselt und hochfährt. Und dort kann ein Angreifer dann ansetzen. Denn diese Software kann nicht verschlüsselt rumliegen, weil sie dann vom BIOS nicht gestartet werden könnte.
Zitat Wikipedia-Artikel über Truecrypt:
Ok, sowohl eine Loader-Software für PBA oder die /boot Partition bei LVM/LUKS könnte ohne Probleme kompromitiert werden.
Einzige Lösung:
Die Loader-Software oder die /boot Partition auf ein externes Medium (am besten mit Schreibschutz) packen, z.B. eine CD-R, SD-Karte oder ein geeigneter USB Stick. Davon bootet man. Verläßt man den Rechner, muss man das Medium irgendwo sicher aufbewahren und vor physischen Zugriffen schützen. Im laufenden Betrieb ist es somit nicht möglich, die Boot-Umgebung zu manipulieren und einen Keylogger zu installieren, es sei denn, das Bios wurde zuvor manipuliert.
Um die Passphrase dann noch auszuspähen, käme nur noch ein Hardware-Keylogger oder eine Kamera in Betracht (andere Geheimdienst Mittel nicht mitgezählt). Befindet sich dagegen eine Loader-Software direkt auf der Boot-Festplatte, könnte Schindluder getrieben werden ohne das man es merkt und die Verschlüsselung wäre nutzlos, weil jemand das die Passphrase geklaut hat.
Fazit: Das ganze Thema 99% oder 100%-PBA ist eigentlich sinnlos. Solange die Systembereiche (bei Linux alles außer /boot) z.B. mittels LVM/LUKS verschlüsselt werden, /, tmp, swap, home, etc., ist man "sicher". Ich brauche in diesem Fall kein Linux-Truecrypt mit PBA (gibt es eh nicht) und die Boardmittel sind ausreichend.
Einzige Lösung:
Die Loader-Software oder die /boot Partition auf ein externes Medium (am besten mit Schreibschutz) packen
Wie ich es weiter oben bereits angeregt hatte. *g*
Und was soll diese pseudo Erschwerung bringen?
Wenn jemand mal an dem zu überwachenden Rechner war ist es egal ob da ein Witz von PBA ist oder ein Kernel. Um kleine Buben abzuhalten tuts auch mal ein BIOS Passwort bzw. Festplattenpasswort wenn das BIOS das unterstützt.
Wenn jemand soweit kommt, dass er den Kernel manipulieren kann, kann der die Tastatur manipulieren, ne Wanze installieren und sonst was:-)
Ja, das stimmt schon. Ein Tastaturkabel ist fix manipuliert. Einen Tag warten und dann einbrechen und Rechner stehlen. Da nützt dann auch keine Verschlüsselung mehr. Ob PBA oder Kernel ist egal. Schon richtig. Ist aber alles nur trügerische Sicherheit. Wenn Du im Zielkreuz des BKA bist, darfst Du Deine Platte eh nicht mehr entschlüsseln. Dann ein Passwort einzugeben, wo auch immer, wäre viel zu gefährlich. Wer weiß, was die dann vorher wo manipuliert haben. Hmm, hört sich an, als wenn ich was auf dem Kerbholz habe. Ist aber nicht so
Ich werde trotzdem meinen Notebook verschlüsseln, auch wenn es nur gegen kleine Buben ist.
Nutze doch einfach die Bildschirmtastatur in Kombination mit Truecrypt. Sowas hat jedes BS. Da werden dann auch keine Keys mehr geloggt.
Es geht aber um PBA. Und da gibt es keine Bildschirmtastatur womit Du den Key eingeben kannst. Die Software wird ja noch vor dem eigentlichen BS geladen.
Jo, aber da greift noch keinerlei Software, da muss dann wirklich ein Hardwarelogger vor dem Tastenklavier hängen. Dass jemand in deine Wohnung einbricht und dir ein solches Teil installiert - hm, nun gut.
Hat man diese Bedenken, dann kann man dann auch seinen Rechner so platzieren, dass man vor jeder Entschlüsselung einen kleinen Blick auf seinen Keyboardstecker wirft.
Wenn schon paranoid, dann bitte auch konsequent.
Liebe Grüße =)
Okay, ich kam über eine Suchmaschine auf die Seite und habe das vor deinen Beitrag, auf den ich geantwortet habe, gar nicht gelesen.
Ignorier mein Statement einfach, löschen kann ich's nicht mehr.
Hat man diese Bedenken, dann kann man dann auch seinen Rechner so platzieren, dass man vor jeder Entschlüsselung einen kleinen Blick auf seinen Keyboardstecker wirft.
Baut es Dir einer halt intern ein. Fertig ist die Laube.
Naja, also ich schaue eh bei jedem Rechnerstart in meine Tastatur, ob jemand mir da was eingelötet hat. Ist doch aber normal, denke ich. Oder macht ihr das etwa nicht? oO
Naja okay, ich hab mal neugierig geschaut, ob es sowas gibt und [url=http://www.keelog.com/de/hardware_keyboard_logger.html]das hier[/url] gefunden, das kriege ich jetzt natürlich so einfach nicht wegargumentiert. Aber wenn ich so weit bin, dass ich angst haben muss, dass mir jemand SOWAS in den Rechner baut, dann habe ich auch einen Elektromagneten auf der Platte, den ich schnell einschalten kann, wenn jemand bestimmtes vor der Tür steht...
Denke ich... =)
Was genau soll das denn für einen Vorteil bieten gegenüber nur /boot unverschlüsselt? Bei PBA (ohne TPM) kann man durch Manipulation des Bootloaders das Passwort genauso ausspionieren wie man es bei LUKS durch Manipulation des Kernels könnte, siehe z.B. http://theinvisiblethings.blogspot.com/2009/10/evil-maid-goes-after-truecrypt.html
Und wozu das ganze? Was will der Angreifer mit deinem Kernel-Image anfangen? Er kann bestensfalls die Infos aus menu.lst nutzen, wenn Grub drauf ist aber das wird ihm auch nicht viel weiter helfen - die Partitionstabelle kann er auch so auslesen.
TrueCrypt = Open Source, aber nicht frei?
Zumindest, wenn ich [1] richtig verstanden habe
Der erste Satz müsste dann von ProLinux entsprechend umgeändert werden.
[1] http://de.wikipedia.org/wiki/Truecrypt#Lizenz