SSD 256GB für Truecrypt

[Towler]

Hi,

ich habe mir Mühe gegeben dieser sehr technischen Diskussion zu folgen, habe aber nicht alles verstanden, wie ich gestehen muss.

Auch ich hätte gerne eine 256GB SSD und würde sie gerne verschlüsseln. Für meine bisherige konventionelle Platte nutze ich dafür TrueCrypt.

Ich habe einen i5-460M in meinem Notebook (kein AES-NI).

Habe ich es richtig verstanden, dass ich ohne AES-NI mit TrueCrypt nicht mehr glücklich werde?

@Holt: Du hast irgendwo in der Diskussion mal erwähnt, dass du kein TC benutzt? Was benutzt denn du?

Meine Anforderung an Verschlüsselung ist hauptsächlich, vor Diebstahl geschützt zu sein. Ich hätte ja Hardware-Verschlüsselung gesagt aber die kam ja in der Diskussion nicht so gut weg. Habe ich es richtig verstanden, dass das Konzept so ausgelegt ist, dass der Hersteller den Schlüssel umgehen kann?

Vielen Dank!

 

[Raubmordkopie]

Ich habe deinen Beitrag erst jetzt durch Zufall entdeckt, tut mir leid dass ich erst so spät antworte.

1. Nein, ohne Hardware-AES bist du keinesfalls aufgeschmissen, schau dir meine Benchmarks an, diese wurden mit einem AMD 1090T durchgeführt, welcher ebenfalls kein Hardware-AES unterstützt. Manche Werte brechen zwar stark ein, die SSD ist aber immer noch viel flotter als eine HDD.

Du scheinst nicht genau gelesen zu haben denn genau das habe ich schon mehrfach geschrieben.

2. Bei der hardwareseitigen Verschlüsselung ist das so eine Sache, zum Einen muss man dem Hersteller vertrauen dass er keine Backdoor eingebaut hat, zum Anderen zeigt ein zB falsch beworbener Controller (wurde mit 256Bit beworben, kann aber nur 128Bit) wie viel Verlass auf die Programmierer ist. Da ist ein Open Source Programm wie Truecrypt welches weit verbreitet ist und schon mehrfach "geprüft" wurde einfach sicherer, in Bezug auf Backdoor sowie auf Programmierung.

Also, wenn deine CPU stark genug ist, TC benutzen und die Samsung SSD830 256GB holen.

 

[etheReal]

@towler, ich verweise dich wegen der Bedenken zur Leistung ohne AES-NI auch nochmal auf den Beitrag, den ich vorher schon dazu geschrieben habe

Mit der Samsung 830 bist du nochmal besser dran, da sie durch die Verschlüsselung/Komprimierung der Daten nicht so leidet, wie die Vertex II in dem erwähnten System.

Wenn du bisher mit TC und Festplatte glücklich bist, dann würde ich behaupten wirst du auch mit TC und SSD im selben System glücklich!

 

[Towler]

Hallo Raubmordkopie und etheReal,

vielen Dank dafür, dass ihr nochmals für mich zusammengefasst habt. Insbesondere, weil Raubmordkopies Seitenhieb scheinbar nicht ganz haltlos ist

 

[-Thorsten-]

HI,

aktuell setze ich noch Disccryptor auf einer Crucial M4 ein.
Das System hat einen "alten" AMD Athlon X2, die Performance war damit besser als mit Truecrypt...


Thorsten

 

[Towler]

Ich nehme an man installiert dann Windows, dann Truecrypt, verschlüsselt die SSD und kann dann Programme etc installieren, oder kann man mit TC auch eine Systemverschlüsselung einer anderen Platte unter meinem jetzigen System durchführen?

Hast du dein System eigentlich neu aufgesetzt oder eine Lösung gefunden, wie du dein bestehendes System auf die bereits verschlüsselte Platte klonen kannst?

 

[Bob.Dig]

HI,

aktuell setze ich noch Disccryptor auf einer Crucial M4 ein.
Das System hat einen "alten" AMD Athlon X2, die Performance war damit besser als mit Truecrypt...


Thorsten

Die Performance ist mit DiskCryptor immer besser als mit Truecrypt. TC ist nicht performant auf SSDs.

 

[-Thorsten-]

Wird DiskCryptor eigentlich noch weiterentwickelt?


Thorsten

 

[hyonu]

Hallo,

Habe zur Zeit System HDD mit TC komplett verschlüsselt.
Würde auch gerne zu SSD wechseln. Was ich behalten habe zur optimalen Einrichtungsreihenfolge:

1. SDD partitionieren (90% für OS, 10% frei lassen).
2. OS auf SSD installieren (90% Partition).
3. Mit TC die 90% Partition verschlüsseln.
4. Fertig ?

edit: übrigens CPU ist ein INtel E8500 DualCore 2 x 3.6 overclocked, reicht das?

 

[Holt]

hyonu, das Vorgehen passt, der E8500 hat aber halt keine AES Befehlserweiterung (AES-NI), wird also nicht die optimalste Performance liefern.

 

[etheReal]

Laut meinem jetzigen Wissensstand braucht man wohl bei TC gar keinen unpartitionierten Platz mehr zu lassen, da TRIM ganz richtig funktioniert, auch mit Verschlüsselung.

http://www.truecrypt.org/docs/?s=trim-operation

Wenn man also die höchstmögliche Sicherheit gewährleisten will, wäre es sogar angebracht, TRIM in Windows zu deaktivieren. Wobei es bisher keinen bekannten Angriff auf TC gibt, der freie Blöcke irgendwie ausnutzt - aber theoretisch wäre hier ein besserer Ausgangspunkt für einen Angriff.
Kann einem aber glaube ich egal sein, wenn nicht mindestens sämtliche Geheimdienste der Welt hinter den Daten her sind

 

[Towler]

Mich hat das Erscheinen der SSD 840 noch einmal vom Kauf abgehalten. Die soll von Hause aus Verschlüsselung mitbringen, die die Performance nicht beeinflusst und natürlich noch einmal schneller sein als die 830. Interessant ist dabei auch die Ankündigung, dass die Verschlüsselung komplett transparent ablaufen soll (Quelle) und die Platte ohnehin auf den Business Bereich abzielt. Da werden die Kunden denke ich schon darauf achten, dass das Ding sinnvoll verschlüsselt. Ich werde mal abwarten, was man in den ersten Tagen nach Erscheinen so liest (und bis dahin die 100 Euro, die das Ding teurer ist, zusammenkratzen).

 

[Holt]

Wie sicher die Hardwareverschlüsselung ist, kann man aber immer nur schwer abschätzen. Vielleicht sollte man aber mal daran denken, wie lange es gedauert hat bis auffiel, dass der SF-2281 nur mit 128Bit statt wie versprochen 256Bit verschlüsselt. Da geht es wohl oft nach dem Motto: Das Erzählte reicht, nicht das Erreichte zählt.

 

[etheReal]

Das Problem bei Hardwareverschlüsselung finde ich, ist doch immer, dass sie grundsätzlich auf der Sicherheit des ATA Passworts basiert. Wenn hier also ein Mainboard-Hersteller schlampt, und das irgendwie unsicher implementiert, dann nützt die beste HW-Verschlüsselung der SSD einfach nichts mehr, weil man das ATA-Passwort umgehen oder knacken kann.
Und wer weiß schon beim Kauf genau, wie gut der Mainboardhersteller das ATA Passwort in die Firmware eingebaut hat? Im schlimmsten Fall gibt es eine einfache Tastenkombination, die beim Booten das Passwort umgeht...

 

[Towler]

Bei welchen Mainboard kann man denn (zum Beispiel) das ATA Passwort mit Tastenkombination umgehen? Gibt es da eine Blacklist oder wie?

 

[etheReal]

Ich wüsste jetzt keine, vielleicht gibt es auch gar keine.
Aber hast du irgendwo eine Liste mit Mainboards, bei denen das mit dem ATA Passwort garantiert sicher ist?

Deshalb würde ich nicht darauf setzen, denn "unter Umständen sicher" bringt's nicht wirklich, finde ich!

 

[Towler]

Klar, aber ein Restrisiko bleibt denke ich immer.

Ich werde es wohl jetzt so machen, dass ich ein ATA Kennwort setze und meine persönlichen Daten (also Eigene Dokumente) in einen TrueCrypt Container packe.

 

[Mani79]

Hallo CB Community,

da dies der aktuellste und informativste Thread zu dem Thema ist den ich fand, und genau zu meinem Thema passt, grabe ich ihn nochmal aus. Auch wenn er zwei Monate alt ist.

Ich werde eine 256 GB Crucial M4 mSATA (Systempartition) in einem Notebook mit IVY Bridge und i7 CPU, also AES-Befehlssatz, verschlüsseln.

Mein Fazit aus dem Thread und den Links:
1. Es kann ohne Platz zu lassen komplett partitioniert und verschlüsselt werden. Siehe auch den Inhalt bei TC selbst: http://www.truecrypt.org/docs/?s=trim-operation
Alle Artikel die etwas anderes behaupten sind etwas älter und führe ich darauf zurück, dass TC zu der Zeit TRIM noch nicht so weit unterstützt hat oder eine nicht-Systempartition verschlüsselt wurde. Man beachte dazu nämlich, dass dies nur für eine verschlüsselte Systempartition gilt! Verschlüsselt man eine nicht-Systempartition, gilt der Ratschlag mit 10-20% Platz lassen immernoch.
(Edit: Bestätigung für diese Aussage habe ich eben im TC Forum gelesen)

2. Mit der i7 CPU brauche ich mir um die CPU Auslastung keine großen Sorgen machen und auch die Performance der Platte sollte laut den Tests hier im Thread und weil es sich um eine AES-fähige CPU handelt, nicht besonders sinken. (Zumindest von der gefühlten Performance nicht)

Seht ihr beide Punkte auch so?



Ich frage mich noch:
Q1: Disccryptor wird zum Teil als "performanter" empfohlen. Meint ihr nicht dies könnte ein tempörer Zustand gewesen sein und TrueCrypt holt auch wieder auf und stellt sich auch bei SSDs gleich?
Q2: Gibt es irgendwo eine gute und einfache Anleitung, wie man TC auf eine SSD mit Wear-Leveling von Anfang an sauber installiert?
(Edit - antwort: Laut diesem Thread hier aus dem eigentlich sehr sicherheits-orientierten TC Forum, ist dies nicht wirklich ein Problem, wenn man die ganze Platte verschlüsselt und erst danach sicherheitskritische Daten auf die Platte bringt:
http://forums.truecrypt.org/viewtopic.php?t=25518
Also brauche ich denke ich keine Anleitung)
Q3: Ist eine Verschlüsselung von nur bestimmten Ordnern mit Windows 7 und EFS eine echt Alternative? Hierzu finde ich kaum Vergleichstest zur Performance. Kennt ihr etwas?

 

[tochan01]

ich schließe mich den fragen einmal an ^^.

 

[etheReal]

Q1: Disccryptor wird zum Teil als "performanter" empfohlen. Meint ihr nicht dies könnte ein tempörer Zustand gewesen sein und TrueCrypt holt auch wieder auf und stellt sich auch bei SSDs gleich?

Ich wollte Disccryptor mal ausprobieren, und bin schon an der Konfiguration verzweifelt. Ich hatte aus irgend einem Grund schon Probleme mit der Erstellung des Boot-Passworts für das System, und nachdem ich eine Stunde lang nicht wirklich weiter kam, habe ich es gelassen, weil es mir zu doof war.
So langsam ist TC nun auch wieder nicht auf einer SSD und hat sich glaube ich in den letzten Jahren auch verbessert und an DC angenähert. Bei der Bedienung von TC fühle ich mich irgendwie sicherer, und ich habe auch mehr Vertrauen in das Programm, da es viel professioneller wirkt. DC sieht ein bisschen aus, wie ein Programm, das sich jemand mal selbst zusammengeschustert hat. Es ist bestimmt auch sicher, aber die Bedienung fand ich furchtbar im Vergleich.

Q2: Gibt es irgendwo eine gute und einfache Anleitung, wie man TC auf eine SSD mit Wear-Leveling von Anfang an sauber installiert?
(Edit - antwort: Laut diesem Thread hier aus dem eigentlich sehr sicherheits-orientierten TC Forum, ist dies nicht wirklich ein Problem, wenn man die ganze Platte verschlüsselt und erst danach sicherheitskritische Daten auf die Platte bringt:
http://forums.truecrypt.org/viewtopic.php?t=25518
Also brauche ich denke ich keine Anleitung)

Das ist auch so. Die Gefahr von Wear Levelling ist ja, dass Blöcke, die eigentlich gelöscht sein sollten, noch existieren, und von einem Angreifen aus den Zellen ausgelesen werden können. Deshalb darf man keine wichtigen Daten auf der SSD haben bevor man verschlüsselt (sehr wichtig!) und man sollte das Passwort nicht ändern, da sonst ein Angreifer noch den alten Header mit dem alten Passwort finden könnte, und daraus mit dem neuen Header zusammen einen Angriff basteln könnte. Wie gefährlich das genau ist, kann ich nicht sagen - es ist jedenfalls weniger gefährlich, als wenn man vor der Verschlüsselung schon wichtige Daten auf der Platte hatte, denn diese könnten später völlig unverschlüsselt ausgelesen werden.

Wenn man das beides beherzigt (also vor der Verschlüsselung keine wichtigen Daten, und nach der Verschlüsselung das Passwort nicht ändern), ist eine SSD mit TC trotzdem sehr sicher.

Will man das PW einmal ändern, muss man halt wohl oder übel ein Secure Erase der Platte durchführen, und das System mit TC und dem neuen Passwort neu aufsetzen.