Daten verschlüsseln mit Truecrypt?

[gido18]

Hallo Leute,
zu dem oben genannten Thema erhoffe ich mir von euch ein wenig Hilfe.
Dieses mal allerdings weniger im Technischen als vielmehr bei der "Entscheidung".

Ich möchte meine Daten aus den üblichen Gründen verschlüssel.
Ein "HowTo" habe ich mir bereits zu Gemüte geführt.... es schien allerdings schon
ein wenig älter zu sein.

Bei dem Datenträger welchen ich verschlüsseln möchte handelt es sich um eine
Laptop-Festplatte 2,5 Zoll in einem Laptop. Mit einer der Gründe warum ich
sie verschlüsseln möchte. Das Gerät beherbergt zwei HDD´s.

Ich plane folgendermaßen vorzugehen:
Auswechseln der 2. HDD (die "Nicht-Betriebsystem" HDD), installieren der Software
samt deutschem Spachpaket, partitionieren der der neuen HDD in zwei Bereiche,
verschlüsseln der beiden Partitionen.
Die Verschlüsselung soll nicht per Key-Datei sondern ausschließlich per Passwort
geschehen.

Also es ist ohnehin geplant die 2.HDD zu erneuern bzw. zu vergrößern!!!

Und dann Stück für Stück die Datein in den Verschlüsselten Bereich verschieben.

Nun möchte sicherlich niemand seine Daten gerne verlieren und so mache ich mir
eben verschiedene Gedanken und "Sorgen".

1.)
Nur mal angenommen ich muss oder will das Betriebssystem neu installieren,
wird das irgendein Problem mit der verschlüsselten 2. HDD?
Einfach wieder Programm drauf, Passwort rein und fertig oder wie?

2.)
Ich möchte - anders als in dem von mir gelesenem HowTo - keine Datei auf
dem Datenträger anlegen, sondern den gesamten Datenträger verschlüsseln.
Muss ich jetzt nach jedem Neustart da noch erst die Laufwerke einbinden?
Ich stell mir das eigentlich viel bequemer vor, man klickt zum Beispiel auf "E:"
(wobei "E:" dann eine verschlüsselte Partition darstellt) und schon erscheint die
Passwortabfrage.

3.)
Die HDD´s von heute sind ja ein wenig größer (bezogen auf die GB) und so
auch die "Neue" hier. Gibt es da GB-Begrenzungen für die Software Truecrypt
oder bzw. gibt es größen die man aus welchen Gründen auch immer, nicht
überschreiten sollte? Wäre z.B. über 350 GB in einer Partition ein Problem?

4.)
Ich habe zwechs Absicherung gelesen man solle den Header sichern. Ist ja
scheinbar auch kein Problem dies zu machen. Was genau ist..... bzw. muss
ich diesen Header öfter wie zum Beispiel die Daten selbst sichern oder reicht
es wenn ich je verschlüsselter Patition 1x den Header noch woanders liegen habe?
Und wie sorgfälltig muss ich den Header aufbewaren? Kann man mit dem
Header schon z.B. das Passwort "knacken" oder ist der Header in dem Moment
wo der Laptop z.B. in falsche Hände gelangt ohnehin auslesbar?

Ich glaube für einen Profi sind es diesmal relativ leichte Fragen. Für einen Dau
wie mich aber doch recht interessant.

Vielen Dank für eure Hilfen

 

[jan4321]

1. Ja, nach neuistalation einfach wieder Pw oder schlüsseldeitei und fertig
2. ne auto mounten geht leider net (jedenfalls soweit ich weiß)
3. nö hab 2 1 TB platten damit verschlüsselt
4. ka sry

 

[Vulpecula]

2.) Automatisches Mounten geht nur indirekt via Batch-Datei. Diese lässt Du beim Systemstart ausführen. Damit wird dann direkt mit dem hochfahren Dein Laufwerk gemountet und Du erhälst eine Passwortabfrage. Das ganze geht auch vollautomatisch, aber dafür musst Du in der Batch Datei das Passwort angeben. Das stellt natürlich einen Risikofaktor dar, sofern Du nicht auch noch Deine Systempartition verschlüsselt hast und Du Dir sicher sein kannst, dass niemand anderes den Rechner benutzt, solange er an (und ungeschützt) ist.

Edit:

Hab grad das hier gefunden:

Can I configure TrueCrypt to start, prompt me for password(s), and mount my volume(s) automatically whenever Windows starts?

Yes. To do so, follow these steps:

1. Mount the volume(s) and then select 'Volumes' -> 'Save Currently Mounted Volumes as Favorite'.
2. Select 'Settings' -> 'Preferences'. In the 'Preferences' window in the section 'Actions to perform upon log on to Windows', enable the option 'Mount favorite volumes'.
3. In the 'Preferences' window, click 'OK'.

Alternatively, if the volume(s) is/are partition/device-hosted and if you do not need to mount it/them to particular drive letter(s) every time, you may skip step 1 and in the 'Preferences' window in the section 'Actions to perform upon log on to Windows' enable the option 'Mount all devices-hosted TrueCrypt volumes' (instead of 'Mount favorite volumes').

Wusste ich noch gar nicht. Muss ich gleich mal ausporbieren

 

[Sniper]

Kurz und knapp:

Schau dir alternativ mal noch Drive Crypt Plus Pack von Securstar an.
Klasse Programm, einfachstes Handling, FDE, PBA per Passwort Automount, auf Wunsch System & Daten verschlüsseln etc. etc. Und sie haben einen klasse Support. Setzen wir auch in der Firma ein. Kostet allerdings 125 € wobei ich das nicht als teuer empfinde. Rechne es mal auf die Jahre hoch ...

 

[Simpson474]

3) Für die Volume-Größe sind im Header 8 Byte reserviert - das erlaubt auf jeden Fall Volumes die weit über den TB-Bereich hinausgehen. Da endet zunächst einmal der MBR, der kann nämlich nur Paritionen mit max. 2TB.

4) Der Header wird beim Erzeugen des Volumes angelegt und ist statisch - eine einzige Sicherung reicht daher. Um das Passwort zu knacken, reicht der Header aus - allerdings kommt man an den Header sowieso immer ran, dabei handelt es sich einfach um die ersten Bytes des verschlüsselten Volumes.

 

[jimix]

Ich würde an deiner Stelle eine Systemverschlüsselung machen (hab ich auch). Da fragt er dich dann nach dem BIOS Screen nach dem Passwort. In den Einstellungen kann man dann speichern, dass er das Kennwort dann cached und wenn du dich in Windows einloggst, mountet er automatisch alle Festplatten, Partitionen, etc die du eingestellt hast, vorausgesetzt sie haben das selbe Passwort. Wenn du dann zum Beispiel das Kennwort aus dem Cache löschen willst brauchst du dir nur eine Tastenkombination zu speicher und voilá - kein Kennwort mehr im Cache. Übrigens, wenn du in den Standby gehst, bleiben alle Volumes gemountet, im Ruhezustand nicht. Das heißt du musst sie manuell (zB wieder mit Shortcut) dismounten.

Ich mach das bei mir so: eine HDD mit 250GB für Windows und Programme mittels Systemverschlüsselung encrypted (eine Partition - ich versteh nie warum die Leute zwei Partititionen brauchen) und eine zweite HDD mit 640GB mit meinen Daten bei der die gesamte Festplatte verschlüsselt ist (eine Partition). Beim Start geb ich das Kennwort ein, dann bootet der PC und sobald er oben ist, mountet er schon automatisch die zweite HDD.

1) Überhaupt kein Problem. Du kannst die zweite auch zum Beispiel mit einem anderen PC mounten (auch wenns ein Mac oder Linux Computer ist).

2) Sobald du ins Windows kommst, kannst du ihm entweder einfach sagen er soll alle Device-hosted Volumes laden, also HDDs beispielsweise, oder Favourite-Volumes anlegen. Da speichert er sich dann welche auf welchem Laufwerksbuchstaben war. (Nur so am Rande, falls du in der Datenträgerverwaltung was umstellen willst, musst du ALLE encrypted Files oder HDDs, bis auf die Systempartition natürlich, dismounten, sonst lädt er die Datenträgerverwaltung nicht.)

3) Keine Beschränkung

4) Über den Header kannst du nur die Struktur wiederherstellen, damit TrueCrypt wieder weiß, was die Festplatte überhaupt sein soll. Du kannst keine verschlüsselten Festplatten mittels Header entschlüsseln. Wenn die Verschlüsselung einmal abgeschlossen ist, ist Sense. Wenn du das Passwort vergessen hast, kann dir keiner mehr helfen. Wirklich KEINER. (Nicht ohne Grund ist die 256bit AES (also die schwächste bei TrueCrypt) Verschüsselung für TopSecret Daten der NSA etc vorgesehen (kann man alles auf Wikipedia, der TrueCrypt Homepage etc nachlesen). Über den Header kannst du nicht die HDD entschlüsseln, da dein Key niemals 1:1 dort liegt, der ist ja selbst schon verschlüsselt.

Bei der Systemverschlüsselung ist das ein wenig anders. Da musst du nämlich eine RescueDisk brennen (hier unter Rescue Disk nachzulesen). Überhaupt werden eigentlich alle deine Fragen und sämtliche die du noch haben wirst dort auch beantwortet (wenn man lesen kann )


Hoffe ich konnte helfen.

 

[Flo89]

Auch wenn es teilweise schon gesagt wurde:

1.)
Nur mal angenommen ich muss oder will das Betriebssystem neu installieren,
wird das irgendein Problem mit der verschlüsselten 2. HDD?
Einfach wieder Programm drauf, Passwort rein und fertig oder wie?

Mit der zweiten Festplatte sollte es kein Problem geben. Was du aber unbedingt machen solltest, wenn du das Betriebssystem neuinstalliert, ist, dass du die zweite Festplatte in dieser Zeit ausbaust. Einfach um sicherzugehen, dass du das System nicht aus Versehen auf die falsche HDD installierst oder dass das Setup irgendwelche Dateien auf die falsche Platte schreiben will. Sicher ist sicher.
Anschließend wieder TrueCrypt installieren und schon kannst du die HDD wieder ganz normal mounten.

2.)
Ich möchte - anders als in dem von mir gelesenem HowTo - keine Datei auf
dem Datenträger anlegen, sondern den gesamten Datenträger verschlüsseln.
Muss ich jetzt nach jedem Neustart da noch erst die Laufwerke einbinden?
Ich stell mir das eigentlich viel bequemer vor, man klickt zum Beispiel auf "E:"
(wobei "E:" dann eine verschlüsselte Partition darstellt) und schon erscheint die
Passwortabfrage.

Ja, die Laufwerke musst du nach jedem Windows-Start extra einbinden. Allerdings nicht zwangsweise manuell, das geht auch automatisch.
Entweder in den Einstellungen ein Häkchen setzen bei "Mount all device-hosted TrueCrypt volumes" (habe ich selbst keine Erfahrung mit) oder Häkchen rein bei "Mount favorite volumes", dann alle gewünschten Container/Laufwerke mounten und dann im TrueCrypt-Hauptfenster auf Volumes, Save Currently Mounted Volumes as Favorite (so habe ich es gelöst).
Das Mounten der Laufwerke erfolgt dann nach dem Windows-Logon, also nachdem du beim Startbildschirm dein Benutzerkonto ausgewählt hast.

Damit du beim Mounten kein Passwort eingeben musst, müssen die Passwörter des verschlüsselten Systemlaufwerks und der anderen Laufwerke gleich sein. Dann noch ein Häkchen setzen bei System, Settings..., "Cache pre-boot authentication password in driver memory (for mounting of non-system volumes).

3.)
Die HDD´s von heute sind ja ein wenig größer (bezogen auf die GB) und so
auch die "Neue" hier. Gibt es da GB-Begrenzungen für die Software Truecrypt
oder bzw. gibt es größen die man aus welchen Gründen auch immer, nicht
überschreiten sollte? Wäre z.B. über 350 GB in einer Partition ein Problem?

Es gibt keine relevante Beschränkung. Ich selbst habe zwei 1 TB-Platten mit TrueCrypt verschlüsselt.
Es gibt eine sehr ausführliche Dokumentation für TrueCrypt, eventuell steht dort etwas über eine Grenze. Aber wie gesagt, 1 TB sind aus eigener Erfahrung ohne Einschränkung möglich.

4.)
Ich habe zwechs Absicherung gelesen man solle den Header sichern. Ist ja
scheinbar auch kein Problem dies zu machen. Was genau ist..... bzw. muss
ich diesen Header öfter wie zum Beispiel die Daten selbst sichern oder reicht
es wenn ich je verschlüsselter Patition 1x den Header noch woanders liegen habe?
Und wie sorgfälltig muss ich den Header aufbewaren? Kann man mit dem
Header schon z.B. das Passwort "knacken" oder ist der Header in dem Moment
wo der Laptop z.B. in falsche Hände gelangt ohnehin auslesbar?

Es reicht ein Backup pro verschlüsseltem Container/Laufwerk. Zusätzlich dazu legt TrueCrypt irgendeiner Version (in den 6er Versionen auf jeden Fall) automatisch ein Backup innerhalb des verschlüsselten Laufwerks an.

Also wenn jemand den Header in de Hände bekommen sollte, kann er auf keinen Fall direkt das Passwort auslesen. Aber eine Brute-Force-Attacke sollte möglich sein (also alle möglichen Passwörter durchprobieren). Das ist aber auch möglich, wenn jemand kurz an deinen Laptop rankommt und sich selbst den Header holt.
Deswegen sollte das Passwort sowieso so sicher sein, dass es praktisch unknackbar ist (auf jeden Fall über zehn Stellen, kleine und große Buchstaben, Ziffern, Sonderzeichen).



Noch eine Kleinigkeit:
Ich würde auf keinen Fall die Festplatten verschlüsseln, sondern in der Datenträgerverwaltung pro Festplatte eine Partition anlegen und in TrueCrypt dann die Partition verschlüsseln. Ist im Prinzip das Gleiche, ist aber sicherer. Falls Windows keine Partition auf der Festplatte sieht, kann es theoretisch was zerschießen (müsste irgendwo in der TrueCrypt-Dokumentation gestanden haben oder im Programm selbst).



Edit:

(Nur so am Rande, falls du in der Datenträgerverwaltung was umstellen willst, musst du ALLE encrypted Files oder HDDs, bis auf die Systempartition natürlich, dismounten, sonst lädt er die Datenträgerverwaltung nicht.)

Kann ich nicht bestätigen. Ich kann die Datenträgerverwaltung auch bei gemounteten Volumes öffnen.

 

[jimix]

@flo89: Ich benutze XP und da funktionierts sonst nicht, keine Ahnung was du für ein OS hast...

 

[Flo89]

Hab ich vergessen oben zu erwähnen, ist momentan XP Professional x64, also kein normales XP.