Verschlüsselung auf Windows Server sinnvoll?

[Falc410]

Ich bin gerade am überlegen ob Verschlüsselung für einen Windows Server Sinn macht oder nicht. Ich habe einen Server 2012 R2 Essentials zu Hause, da ist Bitlocker mit dabei und könnte aktiviert werden. Ich habe das allerdings noch nie genutzt. Muss ich vor dem booten schon ein Passwort eingeben?
Das wäre nämlich doof, der Server hat ja weder Monitor noch Tastatur angeschlossen. Also gehe ich mal davon aus, dass er auch so booten kann. Aber wenn der Server hochfährt und die Dienste bereitstellt (z.B. Backup Platz für Clients) dann muss er ja automatisch die Daten entschlüssseln um diese im Netzwerk bereitstellen zu können.

Was für einen Sinn macht es dann die Festplatten überhaupt zu verschlüsseln? Bei einem Laptop kann mir jemand die Festplatte klauen, er kennt mein Passwort nicht, baut die Festplatte aber bei sich und will sie mounten, das geht dann nicht mehr. Aber das mir jemand eine Festplatte vom Server klaut ist unwahrscheinlich. Und falls er den kompletten Server klaut muss er ihn ja nur anschalten, dann ist es ja automatisch entschlüsselt.

Gibt es da einen Use-Case den ich gerade übersehe?

 

[nicknackman1]

Was für einen Sinn macht es dann die Festplatten überhaupt zu verschlüsseln?

Hardware Diebstahl zum Beispiel?!

...das Bitlocker PW wird beim verschlüsseln automatisch generiert und hat mit deinem Anmeldepasswort überhaupt nix zu tun!

Das es selbst mit den so beliebten Live CD fast nicht möglich ist auf die Daten der verschlüsselten Platte/Platten zu zugreifen. Gleiches gilt für's formatieren der verschlüsselten Platten.

Gruß

nicknackman1

 

[Necareor]

Nein, du hast schon Recht. Ohne Passworteingabe vor dem Booten ist es relativ sinnlos, außer jemand klaut dir die Platten aus dem Server.

Ich weiß nicht genau, ob Bitlocker das kann, aber es gibt auch Methoden wie z.B. USB-Schlüssel, also eine Schlüsseldatei auf einem USB-Stick. Und wenn der nicht drin steckt, kann der Server nicht booten, da er eben nicht entschlüsseln kann.

 

[Falc410]

Wenn er den kompletten Server aus der Wohnung trägt dann braucht er ihn ja nur einzuschalten und es ist entschlüsselt (anders würde es ja bei einem Server keinen Sinn machen). Eine einzelne Festplatte wird der Dieb kaum ausbauen und mitnehmen.

Das man eine verschlüsselte Festplatte nicht formatieren kann, kann ich gerade nicht glauben. Unter Windows vielleicht nicht, aber unter Linux kann ich doch sicher die GPT überschreiben.

Ergänzung (23. Juli 2014)

Ich weiß nicht genau, ob Bitlocker das kann, aber es gibt auch Methoden wie z.B. USB-Schlüssel, also eine Schlüsseldatei auf einem USB-Stick. Und wenn der nicht drin steckt, kann der Server nicht booten, da er eben nicht entschlüsseln kann.

Das hatte ich mir auch schon überlegt - wäre sinnvoll für mich. Aber ich weiss auch nicht ob Bitlocker das kann.

 

[Masamune2]

Das Kennwort wird im TPM Chip hinterlegt, nur so kann der Server ohne die Eingabe des Passworts überhaupt booten. Klaut dir jemand den kompletten Server kann er ihn zwar anschalten, sich danach aber nicht anmelden. Baut er die PLatten aus um sie von einem anderen System aus zu lesen sind sie verschlüsselt.

 

[Uwe F.]

Ein TPM Modul ist eingebaut?
Ansonsten USB Stick mit Schlüsseldatei.

 

[Falc410]

Ich denke nicht. Bin gerade bei Google unterwegs da ich nicht einmal sicher bin ob das Mainboard einen Steckplatz dafür hat. Ist ein MSI H67MA-E45. Aber anscheinend gibt es kein TPM dafür. Wusste nicht dass das Voraussetzung ist. Schlüssel erzeugen und speichern kann ich ja auch ohne TPM.

edit: laut MSI spezifikation hat es einen TPM Connector. Immerhin. Allerdings gibt laut Google zumindest für Windows 8 ganz einfache Workarounds um ein fehlendes TPM zu umgehen. Einfach Gruppenrichtlinie bearbeiten.

Ergänzung (23. Juli 2014)

Also ich habe hier einige Infos gefunden: http://technet.microsoft.com/en-us/library/hh831507.aspx

Fazit: TPM nicht nötig. Dadurch erkennt Bitlocker ob sich die Hardware geändert hat, wobei ich das auch Zweifelhaft finde in diesem Fall.

Auf jeden Fall besagen die Dokumente dass man dann zwingend von dem USB Stick booten muss, auf dem sich der Master Key befindet. Aber das bedeutet auch dass dieser immer im Server stecken muss. D.h. der Einbrecher nimmt einfach den Server inkl. USB Stick mit. Mir ging es hier ja vor Allem darum, Gründe für oder gegen Verschlüsselung bei einem (File) Server zu finden. Bis jetzt hab ich noch keinen +Punkt finden können.

 

[st0rax]

Also um ehrlich zu sein kenne ich niemanden (auch keine unternehmen die Serverdaten verschlüsseln).
mMn gibt es da auch keinen Grund für denn Serverräume sind eigentlich NIE ohne weiteres zugänglich:
1. Verschlossen, meist nur eine Tür als Zugang, ohne Fenster bzw nicht im Erdgeschoss.
2. Alarmgesichert (auch Stiller Alarm).
3. Serverschränke sind abgeschlossen.

Ein Dieb müsste da schon enormen Aufwand betreiben um an die Geräte zu kommen.

Notebooks für den Fall des Verlusts verschlüsselt.
Teilweise werden auch Desktop Rechner verschlüsselt, wobei es da (vermutung) weniger um Diebstahl etc geht, sondern darum die Festplatten ohne viel aufwand entsorgen zu können.

 

[Miuwa]

Also im Unternehmen könnte ich mir schon ein paar Gründe vorstellen, weshalb man seine Serverdaten verschlüsseln möchte:
1. Es gibt gesetzliche oder vertragliche Auflage
2. Bei kleinen Unternehmen, die zwar 19" Server einsetzen, der Serverraum aber nur unzureichend gesichert ist (normaler, abgeschlossener Raum).
3. Es gibt Mitarbeiter, die zwar defekte Festplatten austauschen dürfen / sollen, aber keinen Zugriff auf die Daten haben.
Ich hab aber keine Ahnung, wie realistisch diese Szenarien sind, bzw. ob der jeweilig Betreiber in einer solchen Situation auf Verschlüsselung setzen würde.

Im Privatbereich machts denke ich nur dann Sinn, wenn man Angst hat, dass ein Einbrecher die Urlaubsfotos, Kontoauszüge, Emails, Bewerbungen etc. durchwühlt.

Komfortabel umsetzten lässt sich das aber nur, wenn der Server 24/7 läuft (suspend to ram sollte auch OK sein). Dann kannst du den USB Stick einmal beim Booten einstöpseln und dannach irgendwo verstecken / sicher aufbewahren.