Windows 8 "eDrive" - self encrypting devices mit Bitlocker - Erfahrungen?

C

cuco

Moderator
Teammitglied
Themenstarter
Registriert
1 Dez. 2011
Beiträge
7.855
Durch Zufall bin ich auf ein neues Feature von Windows 8 (Pro) gestoßen, was die Bitlocker Laufwerksverschlüsselung stark beschleunigen dürfte. Benchmarks von SSDs zeigen ja, dass die Performance der SSD bei Komplettverschlüsselung z.B. mit Truecrypt um 50-90% einbricht, selbst wenn potente Hardware verbaut ist (Core i7 Quadcore mit Native AES). Auch mit Bitlocker sah das ganze nicht viel besser aus. Viele Leute wollen oder können aber nicht auf die Laufwerksverschlüsselung verzichten.

Windows 8 kann nun Bitlocker, bei dem die Verschlüsselung nicht von der CPU, sondern vom Laufwerk selbst übernommen wird.
Man benötigt dafür:
- Windows 8 Pro
- ein Laufwerk, das "self encrypting device" bzw. "eDrive" unterstützt
- ein TPM-Modul
- wenn es sich um die Systemverschlüsselung handelt, wird außerdem native UEFI in mind. Version 2.3.1 benötigt.

Wenn alle Features erfüllt sind, schaltet Windows die Bitlocker Verschlüsselung wohl automatisch an. Die Verschlüsselung übernimmt der Laufwerkscontroller, was dann keine Performanceverluste mehr zur Folge hat.

Der Rest funktioniert genau wie beim normalen Bitlocker: Der Key für die Verschlüsselung wird im TPM Modul hinterlegt und nur freigegeben, wenn die Hardware "authentisch" ist. Optional kann man noch eine PIN vergeben, so dass der Key nur freigegeben wird, wenn zusätzlich die PIN eingegeben wird. Hat man die PIN vergessen, die Hardware verändert oder das TPM-Modul gelöscht, muss man den Key mit einem Wiederherstellungskennwort oder Wiederherstellungsschlüssel wieder herstellen.

Der Vorteil gegenüber normalem Bitlocker, TrueCrypt oder ähnlichen Lösungen sollte klar sein - kaum oder gar keine Performanceverluste mehr.

Aber ich frage mich, wie das im Vergleich (Sicherheit, Geschwindigkeit, Kompatibilität) zur integrierten Full Disk Encryption mancher SSDs abschneidet, die man per ATA-Kennwort aktiviert - laut meinen Infos ist es nur einfach einen Tick sicherer, aber was konkret das heißt, bleibt offen...

Ebenso ist im Netz die Fülle an Infos noch sehr dürftig. Es gibt kaum Quellen, die mal wirklich genaueres darüber schreiben - geschweige denn Erfahrungsberichte.

Hat schon mal jemand probiert, dieses Feature zu nutzen? War spezielle Hardware nötig? Wie sehen die Erfahrungen aus?



Quellen für meine Infos:
http://channel9.msdn.com/Events/Windows-Ecosystem-Summit/2011Taipei/SYS-007T (Video, dass es erklärt)
http://www.verboon.info/index.php/2011/11/windows-8-support-for-edrives/ (dürftige Infos)
http://www.trustedcomputinggroup.org/community/category/data_protection/4 (noch ein paar Infos)
http://social.technet.microsoft.com...e/thread/459db46e-2ac7-4279-b556-88e985e9f554 (Infos zu den Hardwareanforderungen)
 
Zuletzt bearbeitet:
cuco schrieb:
Der Vorteil gegenüber normalem Bitlocker, TrueCrypt oder ähnlichen Lösungen sollte klar sein - kaum oder gar keine Performanceverluste mehr.

Aber ich frage mich, wie das im Vergleich (Sicherheit, Geschwindigkeit, Kompatibilität) zur integrierten Full Disk Encryption mancher SSDs abschneidet, die man per ATA-Kennwort aktiviert - laut meinen Infos ist es nur einfach einen Tick sicherer, aber was konkret das heißt, bleibt offen...

Ebenso ist im Netz die Fülle an Infos noch sehr dürftig. Es gibt kaum Quellen, die mal wirklich genaueres darüber schreiben - geschweige denn Erfahrungsberichte.

Hat schon mal jemand probiert, dieses Feature zu nutzen? War spezielle Hardware nötig? Wie sehen die Erfahrungen aus?
Zum Vergrößern anklicken....

Was das konkret heißt zeigt dieses Video:

http://media.ccc.de/browse/congress...sierter_festplattenverschluesselung_h264.html (ca. 30 min. Unterhaltung!)
 
Danke für den Link. Da geht es aber nur um hardwarebasierte Verschlüsselung mit sich selbst verschlüsselten Festplatten. Der Artikel interessiert mich sehr, habe erst genau die Frage, wie sicher das eigentlich ist, im "Fragen, die zu kurz für einen eigenen Thread sind" gestellt. Daher ist das Video sehr interessant für mich.
Man muss aber dazu sagen: Das ganze beweist, dass die meisten Systeme mit den selbstverschlüsselnden SSDs genau so sicher/unsicher wie reine Softwareverschlüsselung ist (z.B. Truecrypt). Evtl. ist Bitlocker da einen Tick sicherer, weil der Key in der TPM liegt - aber der wird dann auch nur freigegeben und ist im laufenden Betrieb im RAM, so dass die angesprochenen Attacken (von denen man sich die im Video gezeigten Attacken auf die Hardwareverschlüsselung ja nur "abgeschaut" hat) auch genau so funktionieren.
Das Video beweist, dass hardwarebasierte Verschlüsselung nicht sicherer ist als reine Softwareverschlüsselung. Aber eben auch nicht wirklich viel unsicherer. Dafür aber schon mal deutlich performanter.

Aber es hat leider nur begrenzt Anwendung auf diese neue Technik von Windows 8 ("eDrive"). Denn da wird zwar die Verschlüsselung in der Platte vorgenommen ("self encrypting device"), aber die Verwaltung und der Key eben vom TPM übernommen und nicht von der SSD oder gar im BIOS gecacht. Eben eine Kombination aus Software- und Hardwareverschlüsselung sowie mehreren Sicherheitsebenen statt nur einer einzigen. Von 31:15 bis 32:25 geht er ganz kurz drauf ein. Interessant, man kann also die Attacken auch hier noch genau so anwenden, aber man muss schon mehrere Attacken gleichzeitig machen, wovon einige auch schon nicht mehr ganz einfach sind ("cold boot" mit ausbauen des RAMs und auslesen in anderen Rechnern), was dafür sprechen würde, dass die Attacken auf dieses eDrive-System wieder eine Stufe schwerer sind.

Aber nochmals danke für das Video, das war wirklich sehr informativ!
 
Gegen einen gezielten Angriff helfen wohl beide nicht, da ist die Komponente Mensch einfach der Risikofaktor.
Aber um schönen legalen Programme/Filme/Musik vor fremden Blicken zu schützen reichts. :cool:
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
  • ok1.de
  • ok2.de
  • thinkstore24.de
  • Preiswerte-IT - Gebrauchte Lenovo Notebooks kaufen

Werbung

Zurück
Oben