Bitlocker Recovery-Key löschen?

[balderthor]

Hallo,

gibt es eine Möglichkeit den Bitlocker Recovery-Key zu löschen? Weil dieser ist meiner Meinung nach das unsicherste an Bitlocker.

Denn ob man jetzt das Passwort + Pin irgendwo sicher aufbewahrt oder den Recovery-Key, das wäre ja beides das gleiche.

Nur ist der Recovery-Key durchs Exploits/Tricks ja leichter herauszufinden als das Passwort oder die Pin.

 

[CoMo]

Nein, kann man nicht und das ist auch nicht nötig. Der Key ist sicher genug, so lange du ihn nicht verlierst.

 

[MADman_One]

Meines Wissen nach nicht, er ist integraler Bestandteil der Routine. Mir ist auch nicht bekannt, daß er grundsätzlich unsicherer wäre als Passwort + PIN, solange er nicht verloren geht.
Wenn Du aus welchen Gründen auch immer ein höheres SIcherheitsbedürfnis hast, dann musst Du auf eine andere Technologie umsteigen.

 

[balderthor]

Der Recovery-Key hat nur 48 Zeichen, mein Passwort ist länger und sicherer sowie kann ich mir besser merken. Der Recovery-Key ist letztendlich ein Vollzugriff.

https://learn.microsoft.com/de-de/windows-server/administration/windows-commands/manage-bde

Ich lese da aber raus das man den Recovery-Key ausschalten kann, oder habe ich falsch gelesen?

 

[IlluminatusUnus]

Kann man löschen, alles was oben gesagt wurde ist weitgehend falsch.
Deine Idee ist valide, die Entropie des Widerherstellungsschlüssel ist evtl. kleiner als die eines langes PW.

Guck mal in die Dokumentation vom Befehl manage-bde

manage-bde c: -protectors -get
manage-bde c: -protectors -delete -id {  }

Nach dem get siehst schon welche id der Schlüssel hat. Die musst zwischen den {} einfügen ... ist aber selbsterklärend. Statt c: natürlich des betreffende Laufwerk nehmen.

Die Benutzung eines TPM+PIN ist meiner Meinung aber sicherer und komfortabler als jedes Passwort.

 

[balderthor]

Kann man löschen, alles was oben gesagt wurde ist weitgehend falsch.
Deine Idee ist valide, die Entropie des Widerherstellungsschlüssel ist evtl. kleiner als die eines langes PW.

Guck mal in die Dokumentation vom Befehl manage-bde

manage-bde c: -protectors -get
manage-bde c: -protectors -delete -id {  }

Nach dem get siehst schon welche id der Schlüssel hat. Die musst zwischen den {} einfügen ... ist aber selbsterklärend. Statt c: natürlich des betreffende Laufwerk nehmen.

Die Benutzung eines TPM+PIN ist meiner Meinung aber sicherer und komfortabler als jedes Passwort.

Danke für die Hilfe.

Inwiefern ist TPM+PIN sicherer als jedes Passwort? Meinst du damit ohne Recovery-Key oder mit Recovery-Key in der TPM + PIN?

 

[Innensechskant]

Ohne den Recovery-Key kommst du im Zweifelsfall nicht mehr an deine Daten, sofern es sich um die Systemplatte mit TPM handelt.

Wenn du das Laufwerk in einem anderen Rechner verwenden willst, musst du zunächst den Recovery-Key eingeben und danach im Windows den PIN neu setzen.

 

[PC295]

Den Recovery-Key brauchst du u.U. nachdem du die UEFI-Firmware aktualisierst oder die Festplatte an einem anderen Rechner entsperren willst. Daher solltest du ihn nicht vernichten.

 

[thrawnx]

Kann man löschen, alles was oben gesagt wurde ist weitgehend falsch.
Deine Idee ist valide, die Entropie des Widerherstellungsschlüssel ist evtl. kleiner als die eines langes PW.

Geht so, Passwörter ab einer Länge von 20-25 Zeichen sind so sicher, dass es mit der aktuellen Rechenkraft des Planeten länger dauert als die Sonne noch leuchtet um sie zu bruteforcen. Falls man also nicht von einem staatlichen Akteur behelligt wird (damit sind nicht die normalen Polizeiorgane gemeint), der mit ASICS zu genau diesem Zweck das Passwort angreift, ist man damit schon sehr sicher. Kann und wird sich wahrscheinlich mit Quantum Computing ändern, aber das dauert noch ein paar Jährchen.

Btw, solche Akteure haben noch ganz andere Angriffsvektoren, gegen die ein sicheres Passwort nichts nützt, du nicht merkst und ohne Hardwaretausch auch nicht weg kriegst, präparierte Firmware für SSD/HDD uvm.


P.S. Es gibt niemals 100%ige Sicherheit. Es geht immer nur darum den Aufwand so hoch zu schrauben, dass es sich nicht mehr lohnt.

 

[Conqi]

Kann und wird sich wahrscheinlich mit Quantum Computing ändern, aber das dauert noch ein paar Jährchen.

Bitlocker nutzt zur Verschlüsselung AES welches sich als symmetrisches Verfahren nach aktuellem Stand nicht in der gleichen Weise mit Quantencomputern brechen lässt wie die meisten asymmetrische Verfahren. Man "verliert" aber ggf. die halbe Schlüssellänge und landet somit bei der Rechenzeit von AES128, wenn man vorher AES256 im Einsatz hatte (wie bei Bitlocker). Das reicht aber immer noch aus.

Ich halte vom Entfernen des Recovery Keys auch nicht viel, weil der wie bereits gesagt teilweise gebraucht wird. Ein 48stelliger Code wird auch niemals das schwächste Glied der Kette sein, sofern man ihn sicher aufbewahrt. Das sind mMn unnötige Sorgen.

 

[MADman_One]

@IlluminatusUnus Danke für die Info, da habe ich wieder etwas gelernt. Ich würde ihn zwar niemals löschen wollen aber es ist gut zu wissen das es prinzipiell möglich ist.
Ich habe schon mehr als einmal vergessen Bitlocker anzuhalten bevor ich ein UEFI Update gemacht habe und da war der Recovery Key den ich in meinem Passwort Safe abgelegt habe jedesmal Gold wert um das System direkt wieder booten zu können.

 

[Evil E-Lex]

Kann man löschen, alles was oben gesagt wurde ist weitgehend falsch.

OK. Wie verhält sich BItLocker, wenn man nach dieser Aktion die Bootreihenfolge ändert, oder den Datenträger in einen anderen PC einbaut? Standardmäßig wird dann zwingend der Recovery-Key verlangt. Ist das dann immer noch so, nur kann BitLocker dann nicht mehr entsperrt werden, weil der Recovery Key ja kein gültiger Protector mehr ist? Das wäre fatal.

 

[balderthor]

Den Recovery-Key brauchst du u.U. nachdem du die UEFI-Firmware aktualisierst oder die Festplatte an einem anderen Rechner entsperren willst. Daher solltest du ihn nicht vernichten.

Meinst du nicht Microsoft ist so schlau das nicht abzufragen wenn keiner festgelegt ist?

Also das ist halt die Frage, wenn er gelöscht wird, wird man nach dem Recovery-Key denn überhaupt noch gefragt weil es gibt ja keinen.

Ergänzung (31. August 2023)

@IlluminatusUnus Danke für die Info, da habe ich wieder etwas gelernt. Ich würde ihn zwar niemals löschen wollen aber es ist gut zu wissen das es prinzipiell möglich ist.
Ich habe schon mehr als einmal vergessen Bitlocker anzuhalten bevor ich ein UEFI Update gemacht habe und da war der Recovery Key den ich in meinem Passwort Safe abgelegt habe jedesmal Gold wert um das System direkt wieder booten zu können.

Aber den brauchtest du ja nur weil Bitlocker dachte da macht sich jemand bei dir zu schaffen und weil der festgelegt wurde. Wenn er gelöscht wurde sollte er ja niemals abgefragt werden? Ansonsten schließt man sich ja aus dem System komplett aus. Also vielleicht weiß IlluminatusUnus da mehr und könnte uns erleuchten.

 

[MADman_One]

Aber den brauchtest du ja nur weil Bitlocker dachte da macht sich jemand bei dir zu schaffen und weil der festgelegt wurde. Wenn er gelöscht wurde sollte er ja niemals abgefragt werden? Ansonsten schließt man sich ja aus dem System komplett aus.

In dem Fall wäre es aber ein Sicherheitsverlust, weil man dann ja nicht mehr erfahren würde wenn sich wirklich jemand zu schaffen gemacht hat, nur weil der Recovery Key fehlt.
Und der SInn des Recovery Keys ist ja gerade, daß man sich in solchen und anderen Fällen nicht aussperrt. Auch wenn man den Recovery Key wohl löschen kann wie wir gelernt haben, hält MS das immer noch für keine gute Idee (sonst hätten sie es in die GUI eingebaut und nicht in ein cmdlet) und daher kann man sich auch nicht darauf verlassen, daß man noch eine neue Sicherheitsleine von MS bekommt, nachdem man die alte gerade bewußt weggeworfen hat
In 99% aller Fälle gibt es schließlich nichts an dem Konzept des Recovery Keys auszusetzen, ich bin immer noch der Meinung, wer ein so extremes Sicherheitsbedürfnis hat, daß ihm der Recovery Key Sorge bereitet, der sollte wirklich eine andere Verschlüsselungslösung einsetzen (vielleicht mal Veracrypt anschauen), Bitlocker hat einfach auch eine "Komfortüberlegung" mit eingebaut und diese reduziert oft die Sicherheit zumindest geringfügig, zugunsten einer alltagstauglicheren und weniger technikaffinen Implementierung.

 

[balderthor]

In dem Fall wäre es aber ein Sicherheitsverlust, weil man dann ja nicht mehr erfahren würde wenn sich wirklich jemand zu schaffen gemacht hat, nur weil der Recovery Key fehlt.
Und der SInn des Recovery Keys ist ja gerade, daß man sich in solchen und anderen Fällen nicht aussperrt. Auch wenn man den Recovery Key wohl löschen kann wie wir gelernt haben, hält MS das immer noch für keine gute Idee (sonst hätten sie es in die GUI eingebaut und nicht in ein cmdlet) und daher kann man sich auch nicht darauf verlassen, daß man noch eine neue Sicherheitsleine von MS bekommt, nachdem man die alte gerade bewußt weggeworfen hat
In 99% aller Fälle gibt es schließlich nichts an dem Konzept des Recovery Keys auszusetzen, ich bin immer noch der Meinung, wer ein so extremes Sicherheitsbedürfnis hat, daß ihm der Recovery Key Sorge bereitet, der sollte wirklich eine andere Verschlüsselungslösung einsetzen (vielleicht mal Veracrypt anschauen), Bitlocker hat einfach auch eine "Komfortüberlegung" mit eingebaut und diese reduziert oft die Sicherheit zumindest geringfügig, zugunsten einer alltagstauglicheren und weniger technikaffinen Implementierung.

Veracrypt ist mir für SSDs aber zu langsam, viel zu langsam. Da ist Bitlocker viel schneller und komfortabler.

Mein Problem ist das ich die Entropie des Recovery-Keys nicht nachvollziehen kann und Microsoft den gerne auch auf Accounts speichert. Außerdem sind mir 48 Zeichen zu kurz. Mein Passwort ist länger und auch besser zu merken, außerdem finde ich es merkwürdig das Windows den Recovery-Key außerhalb speichert.

Was bringt mir ein 100 Zeichen Passwort wenn ich mit einem Generalschlüssel (Recovery-Key) sowieso alles aufschließen kann.

Ich bin am überlegen: Recovery-Key löschen, kein TPM nutzen (Gibt genügend Exploits mittlerweile, wer weiß ob für 2.0 noch mehr kommen) und halt nur mit einem Passwort zu Booten.

 

[Azdak]

Ich denke, die 48 Zeichen sind kein echtes Problem, denn der AES-Schlüssel für die Daten auf der Platte ist (wenn du es umgestellt hast) nur 265 Bit lang (oder halt nur 128 Bit). Anstelle deinen Recovery-Key anzugreifen ist das direkte Angreiden der Verschlüsselung der effektivere Weg. Sprich, einen Recovery-Key hat gewisse Risiken, aber die 48 Zeichen sollten es imo nicht sein.

 

[PC295]

Meinst du nicht Microsoft ist so schlau das nicht abzufragen wenn keiner festgelegt ist?

Eine Wiederherstellungsmöglichkeit muss aktiviert sein. Da gibt es keinen Weg vorbei.
Je nach Konfiguration der Gruppenrichtlinie kannst du wählen zwischen den automatisch generierten 48-stelligen Wiederherstellungsschlüssel, einer Schlüsseldatei (256-Bit) die nur auf USB gespeichert werden kann oder die Speicherung im Active Directory.

 

[Marco01_809]

Meinst du nicht Microsoft ist so schlau das nicht abzufragen wenn keiner festgelegt ist?

Also das ist halt die Frage, wenn er gelöscht wird, wird man nach dem Recovery-Key denn überhaupt noch gefragt weil es gibt ja keinen.

Ja Moment, die Abfrage ist ja nicht um zu prüfen ob du den Recovery Key aufbewahrst. Der wird abgefragt wenn Windows ihn wirklich braucht weil es über den TPM nicht mehr an den normalen Key kommt. Bei einem Hardware-Tausch, UEFI-Update und ähnlichem kann es sein dass sich Konfigurationswerte ändern wodurch der TPM den Key permanent verliert. Wenn du in den Gruppenrichtlinien nicht explizit eingestellt hast das der TPM NICHT verwendet werden darf, dann werden sowohl dein Passwort als auch das TPM gebraucht. Nur der Recovery Key braucht nie den TPM.

 

[balderthor]

https://blog.elcomsoft.com/2020/01/introduction-to-bitlocker-protecting-your-system-disk/

Der Beitrag erklärt es relativ gut. TPM + Pin verlangsamt eine Bruteforce-Attacke, allerdings ist es mir zu unsicher da es in Vergangenheit Exploits gab bei TPM und da der Pin nur maximal 20 Zeichen lang sein kann wäre das mir auch zu unsicher.

Benutzt man nur ein Passwort kann man Bruteforce unendlich ausüben bis der Quantencomputer qualmt, bei einem vernünftig langen Passwort aber aktuell das sicherste.

Bei einem Passwort kann nur das Passwort oder die Verschlüsselung selber versagen, was sehr sehr unwahrscheinlich ist.

Bei TPM kann die Hardware versagen.

Ja Moment, die Abfrage ist ja nicht um zu prüfen ob du den Recovery Key aufbewahrst. Der wird nur abgefragt wenn Windows über den TPM nicht mehr an den normalen Key kommt. Bei einem Hardware-Tausch, UEFI-Update und ähnlichem kann es sein dass sich Konfigurationswerte ändern wodurch der TPM den Key permanent verliert. Wenn du in den Gruppenrichtlinien nicht explizit eingestellt hast das der TPM NICHT verwendet werden darf, dann werden sowohl dein Passwort als auch das TPM gebraucht. Nur der Recovery Key braucht nie den TPM.

Verstehe, dann habe ich es falsch verstanden.

Wenn man aber nur Password only verwendet und TPM sowie Recovery-Key deaktiviert werden, dann wäre ein Austausch der Festplatte in ein neues System doch möglich, oder? Weil das Password wird ja auf der Festplatte gespeichert?

 

[Marco01_809]

Wenn man aber nur Password only verwendet und TPM sowie Recovery-Key deaktiviert werden, dann wäre ein Austausch der Festplatte in ein neues System doch möglich, oder?

Ja, das sollte gehen. Wie immer aber gucken dass man ein ausreichend aktuelles Backup hat, da Datenrettung durch die Verschlüsselung nochmal erheblich schwerer ist.

Weil das Password wird ja auf der Festplatte gespeichert?

Das Passwort wird natürlich gar nicht gespeichert. Sonst bräuchte man das Passwort ja nicht um die Daten zu entschlüsseln. Aber der Master Key wird mit deinem Passwort verschlüsselt und der wird dann auf der Festplatte gespeichert.