Verschlüsselung einer nvme ssd mit USB Stick als Schlüssel?

[ICT-Profi]

hallo zusammen.

Ich möchte meine nvme drive mit einem schlüssel verschlüsseln, der automatisch den laptop entschlüsselt wenn ich den usb stick einstecke. ich möchte aber kein bitlocker brauchen, da es mehrere optionen gibt diesen zu umgehen. der schlüssel sollte auf einen 300Mb usb stick platz haben und sollte nicht mehr als 10 minuten um zu decrypten brauchen. wisst ihr wie so was geht?

Danke für alle Antworten !

 

[madmax2010]

Nimm veracrypt.

und sollte nicht mehr als 10 minuten um zu decrypten brauchen. wisst ihr wie so was geht?

?!
Relativ egal bei welcher modernen Chiffre man auch schaut, soweit deine CPU das mit macht geht entschlüsseln mehr oder weniger in echtzeit, logischerweise wird aber nur das entschlüsselt was gebraucht wird. Da dauert nichts10 Minuten

Auf einem USB Stick hat key material i Klartext nichts verloren.
Dann doch wenigstens nen Yubikey / vergleichbares

Ein 300MB Passwort ist nicht unbedingt sicherer als eines mit ~30-40 Stellen.

 

[TorenAltair]

ich möchte aber kein bitlocker brauchen, da es mehrere optionen gibt diesen zu umgehen.

Aus Interesse: welche wären das?

 

[coasterblog]

Bitlocker reicht für den Privatmann. Darf es etwas mehr sein nutzt man das bewährte VC.
Aber:

Ich möchte meine nvme drive mit einem schlüssel verschlüsseln, der automatisch den laptop entschlüsselt wenn ich den usb stick einstecke

da bin ich überfragt ob das so geht.

 

[Tornhoof]

Afaik kannst du Out of the box Boot Drives nicht mit yubikeys oder ähnlichem als Zertifikatsträger verschlüsseln, die notwendige Treiberinfrastruktur wird zu spät geladen.
Für laufwerke dir erst on-demand gemountet werden geht yubikey.
Für Boot brauchst du entsprechende pre Boot Environments. Zb
https://cryptware-it-security.de/pr...sungen-festplattenverschluesselung/bitlocker/

Das Problem mit solchen Applikationen ist , dass die sehr wenig Security Reviews haben, wenn überhaupt. Wenn du schon MS nicht vertraust, brauchst du denen erst Recht nicht vertrauen

 

[Garmor]

300Mb usb stick

Also einem uralten, der nach kürzester Zeit kaputtgeht?

 

[CoMo]

Ich versuche deinen Post mal zu entwirren.

Du möchtest deine Bootpartition verschlüsseln.
Du möchtest aber beim Boot nicht händisch ein Passwort eintippen.
Es ist für dich in Ordnung, wenn das "Schlüsselmaterial" ungeschützt auf einem USB-Stick gespeichert ist.

Dann fällt mir genau eine Lösung ein: Ein Yubikey ö.ä., der beim Drauftippen ein Static Password eintippt.

Bedeutet: Du schaltest den Laptop ein, das System fragt nach dem Passwort für die Pre-Boot-Authentication, du steckst den Stick ein und betätigst den Knopf. Password wird eingegeben, System bootet.

ich möchte aber kein bitlocker brauchen, da es mehrere optionen gibt diesen zu umgehen

Das ist Unsinn.

 

[Tzk]

Veracrypt kann gemäß deren Seite keine Laufwerke mit Keyfile verschlüsseln, welche als Bootlaufwerk dienen sollen. Nur normale Datenlaufwerte...

Note: Keyfiles are currently not supported for system encryption.

https://veracrypt.eu/en/Keyfiles in VeraCrypt.html

Das ist Unsinn.

So pauschal: Nein, kein Unsinn. Es gibt Konfigurationen wo Bitlocker ziemlich easy knackbar ist... Viel Spaß beim Lesen:

https://pulsesecurity.co.nz/articles/TPM-sniffing

Man muss sich natürlich an der Stelle fragen wie realistisch so ein Angriff ist.

 

[SSD960]

Ich habe eine externe M.2 mit Bitlocker verschlüsselt. Funktioniert prima. Ist aber nicht das Bootlaufwerk. Aber der Arbeit sind aber alle Notebooks mit Bitlocker (TPM im BIOS) verschlüsselt. Funktioniert auch.

 

[M@rsupil@mi]

Es gibt Konfigurationen wo Bitlocker ziemlich easy knackbar ist...

So easy wohl nicht, wie du zu Ende hin noch schreibst. Am Ende des Tages kann man immer irgendwie einen Weg rein finden. Auch das PW bei der Eingabe könnte man abfangen oder einfach den USB-Stick nehmen, der dem TE hier als Unlock-Key vorschwebt.

Zur Not bei all den Vor-Ort-Angriffen (wie etwa TMP) investiert man etwa 4€ in einen großen Schraubenschlüssel und fragt damit den Besitzer des Geräts nach dem Passwort / der Entsperrung. Erfordert nicht einmal IT-Kenntnisse des Angreifers...

Gerade der Otto-Normalverbraucher, der in einem Forum wegen Datenverschlüsselung fragt / fragen muss dürfte da mit BL doch eine gute Mischung aus einfach und sicher bekommen. Passwort beim Bootvorgang einstellen, wenn man dem TPM nicht vertrauen will und es funktioniert. Auch ohne den Stress / Aufwand, den hat wenn eine neue Windows-Version installiert werden muss.

 

[tollertyp]

https://pulsesecurity.co.nz/articles/TPM-sniffing

Wenn ich als Privatmensch Angst vor solchen Angriffen habe, sollte ich mir genau überlegen, welche Hard- und Software ich nutze.

 

[PC295]

So pauschal: Nein, kein Unsinn. Es gibt Konfigurationen wo Bitlocker ziemlich easy knackbar ist... Viel Spaß beim Lesen:

Das betrifft aber nur TPM-only.
Hier gab es auch kürzlich eine Schwachstelle in der WinRE, mit der die Bitlocker-Verschlüsselung umgangen werden konnte.

Daher immer Bitlocker mit PIN/Kennwort einrichten.

Darauf wird auch in den verlinkten Artikel hingewiesen:

Durch die Aktivierung von BitLocker mit einem TPM+PIN-Schutz sollte diese Schwachstelle gemindert werden, allerdings müssen Benutzer beim Booten eine PIN eingeben. Smartcards oder USB-Sticks, die als zusätzliche Pre-Boot-Authentifizierung zusätzlich zum TPM verwendet werden, sollten dieses Problem ebenfalls mildern.

 

[CoMo]

So pauschal: Nein, kein Unsinn. Es gibt Konfigurationen wo Bitlocker ziemlich easy knackbar ist

Wie schon erwähnt, muss dafür Bitlocker ohne PIN / Passwort aktiviert sein. Das TPM ist dann der Schlüssel.

Wenn der Angreifer die verschlüsselten Daten inkl. Schlüssel klaut, kann er die Daten entschlüsseln. Das sollte nun wirklich keine Überraschung sein. Das hat mit Knacken nichts zu tun. Das ist Schlüssel ins Schloss stecken und umdrehen.

Also ganz pauschal: Nein, Bitlocker ist nicht "easy knackbar". Wie bei allen anderen Lösungen auch muss lediglich der geheime Schlüssel geheim gehalten werden.

 

[ICT-Profi]

So easy wohl nicht, wie du zu Ende hin noch schreibst. Am Ende des Tages kann man immer irgendwie einen Weg rein finden. Auch das PW bei der Eingabe könnte man abfangen oder einfach den USB-Stick nehmen, der dem TE hier als Unlock-Key vorschwebt.

Zur Not bei all den Vor-Ort-Angriffen (wie etwa TMP) investiert man etwa 4€ in einen großen Schraubenschlüssel und fragt damit den Besitzer des Geräts nach dem Passwort / der Entsperrung. Erfordert nicht einmal IT-Kenntnisse des Angreifers...

Gerade der Otto-Normalverbraucher, der in einem Forum wegen Datenverschlüsselung fragt / fragen muss dürfte da mit BL doch eine gute Mischung aus einfach und sicher bekommen. Passwort beim Bootvorgang einstellen, wenn man dem TPM nicht vertrauen will und es funktioniert. Auch ohne den Stress / Aufwand, den hat wenn eine neue Windows-Version installiert werden muss.

Ich bin so eben kein Otto-Normalverbraucher und habe Daten die Spezielle Datensicherheit brauche. Gerade in einem Umfeld mit IT-Profis. Und ja ich weiss das Bitlocker nicht ganz einfach zu Knacken ist. Und macht euch keine Probleme wegen dem Stick, denn den habe ich immer bei mir.

 

[CoMo]

Wenn du dich in einem Umfeld mit "IT-Profis" bewegst, frage ich mich, warum du diese Fragen überhaupt in einem öffentlichen Forum stellen musst.

Lösung wurde dir bereits genannt. Security Key mit Button und Static Password. Wie sinnvoll das ist, musst du selbst beurteilen.

 

[Sound-Fuzzy]

Und macht euch keine Probleme wegen dem Stick, denn den habe ich immer bei mir.

Und hoffentlich einen geklonten in Reserve, denn auch ein Stick geht mal kaputt...

 

[ICT-Profi]

ich dachte daran das der usb stick automatisch ein passwort eingibt beim einstecken. es darf aber kein script sein das auf windows läuft, da ich das wahrscheinlich mit veracrypt machen würde und das dann ja vor windows booten würde. wisst ihr wie sowas gehen könnte?

 

[CoMo]

Ich habe dir doch erklärt, wie das geht. Hast du die Beiträge hier überhaupt gelesen?

 

[ICT-Profi]

du hast viel das wort "Yubikey" erwähnt aber ich habe keine ahnung wie ich das erstelle, wo ich das kaufe und einrichte usw. könntest du mir vielleicht einen artikel verlinken oder so?

 

[CoMo]

Du kaufst einen Yubikey mit Button und richtest mit dem Yubikey Manager dein Passwort als Static Password ein. Fertig.