T4xx (T400-450 ohne "T440s/T450s") Festplattenverschlüsselung

[earens]

Hallo,

eine kurze Frage: ich möchte die Festplatte meines T420 verschlüsseln. Das T420 hat so weit ich weiß einen TPM Chip. Welche Möglichkeiten gibt es, die Festplatte zu verschlüsseln? Geht das mit den normalen "Windows- bzw. Bios Bordmitteln"?

Bisher hatte ich meine Notebookfestplatten mit True Crypt verschlüsselt.

Gibt es vor und Nachteile zwischen TryCrypt Verschlüsselung und Verschlüsselung mit TPM?

Wo kann man sich dazu belesen?

Zweiter Hintergrund meiner Frage: ich betreibe in dem T420 eine SSD als Systemfestplatte und eine normale HD im UltraBay Schacht als Datenplatte. TrueCrypt installiert ja einen Bootloader und fragt das Passwort beim Booten ab. Ich möchte die Datenfestplatte verschlüsseln. Daher wird es kaum funktionieren, von der SSD zu booten und auf eine verschlüsselte TrueCrypt Platte zuzugreifen.

Bin für jede Idee und Hilfe dankbar.

Gruß Earens

 

[dorfi]

Du kannst die Ultrabay Platte komplett verschlüsseln mit TC, TC fragt dann nach dem Start das Passwort ab und mountet die Ultrabay Platte - alles kein Problem!

 

[dmos]

Wirf mal einen Blick in das truecrypt forum und suche dort nach SSD - also ich würde tc auf einer SSD nciht verwenden wollen.
Für die HD im Ultrabay kannst Du ja ein kurzes Script erstellen, das beim Booten die Ultrabay ohne Eingabe (mit keyfile) silent mountet.

 

[laptopheaven]

Das T420 hat so weit ich weiß einen TPM Chip. Welche Möglichkeiten gibt es, die Festplatte zu verschlüsseln?

Nimm zur Verschlüsselung Deiner Festplatte auf keinen Fall den TPM Chip. Wenn aus irgendeinem Grund mal Dein MoBo getauscht werden muss, kommst Du nicht mehr an die Daten ran, da der Chip und der Schlüssel für die Festplatte eine Einheit bilden.

 

[dorfi]

Wirf mal einen Blick in das truecrypt forum und suche dort nach SSD - also ich würde tc auf einer SSD nciht verwenden wollen.
Für die HD im Ultrabay kannst Du ja ein kurzes Script erstellen, das beim Booten die Ultrabay ohne Eingabe (mit keyfile) silent mountet.

Ein Script ist dafür überhaupt nicht nötig, das geht mit TC mit ein paar Mausklicks.

 

[dmos]

Ein Script ist dafür überhaupt nicht nötig, das geht mit TC mit ein paar Mausklicks.

Wie denn?

Zur Erinnerung, das Mounten soll ohne Rückmeldung im Hintergrund ohne Benutzereingabe erfolgen.

 

[earens]

Du kannst die Ultrabay Platte komplett verschlüsseln mit TC, TC fragt dann nach dem Start das Passwort ab und mountet die Ultrabay Platte - alles kein Problem!

Hallo,

danke für die Info. Kannst du mir kurz beschreiben wie das funktioniert? Bisher habe ich TC installiert und dann die Option verschlüsseln der Systemfestplatte gewählt. Daraufhin hat TC einen Bootloader installiert und das Passwort beim Booten abgefragt und dann Windows gestartet.

Wie funktioniert deine Lösung? Da ich ja jetzt von SSD boote, sollte meine bisherige Lösung nicht mehr funktionieren. Wird bei deiner Lösung das Passwort beim Start von Windows abgefragt und damit der Zugriff ermöglicht? Wichtig wäre mir auch, dass die Datenplatte nicht als "Container" Datei arbeitet sondern eben genau so wie bei meiner bisherigen Bootmanager Lösung.

Könnte man das dann ggf. mit der Windows Anmeldung kombinieren?

Hat jemand einen Tipp, wo man zu meiner Problematik evtl. eine Anleitung nachlesen kann?

Gruß und Danke, Earens

 

[earens]

Nimm zur Verschlüsselung Deiner Festplatte auf keinen Fall den TPM Chip. Wenn aus irgendeinem Grund mal Dein MoBo getauscht werden muss, kommst Du nicht mehr an die Daten ran, da der Chip und der Schlüssel für die Festplatte eine Einheit bilden.

Ok, gutes Argument. Bei TC gibt es ja immer noch eine Rettungs-CD zum Wiederherstellen, falls die Festplatte außerhalb des Notebooks wieder hergestellt werden muss. Gibt es so etwas auch für die TPM Variante? Wenn nein, ist die TPM Variante "gestorben".

Wie sieht es denn technisch und bzgl. der Geschwindigkeit aus? TC wäre pure Software und benötigt daher Rechenleistung. Rechnet der TPM selbst - und ist damit schneller und resourcenschonender - oder sind im TPM "nur" die Keys gespeichert?

Gruß Earens

 

[dorfi]

Wie denn?

Zur Erinnerung, das Mounten soll ohne Rückmeldung im Hintergrund ohne Benutzereingabe erfolgen.

Das geht nicht. Das Mounten funktioniert zwar automatisch, aber ein Passwort wird abgefragt. Da kommt man nicht drumherum.
Mir ist jedenfalls kein anderer Weg bekannt.

Hallo,

danke für die Info. Kannst du mir kurz beschreiben wie das funktioniert? Bisher habe ich TC installiert und dann die Option verschlüsseln der Systemfestplatte gewählt. Daraufhin hat TC einen Bootloader installiert und das Passwort beim Booten abgefragt und dann Windows gestartet.

Wie funktioniert deine Lösung? Da ich ja jetzt von SSD boote, sollte meine bisherige Lösung nicht mehr funktionieren. Wird bei deiner Lösung das Passwort beim Start von Windows abgefragt und damit der Zugriff ermöglicht? Wichtig wäre mir auch, dass die Datenplatte nicht als "Container" Datei arbeitet sondern eben genau so wie bei meiner bisherigen Bootmanager Lösung.

Könnte man das dann ggf. mit der Windows Anmeldung kombinieren?

Hat jemand einen Tipp, wo man zu meiner Problematik evtl. eine Anleitung nachlesen kann?

Gruß und Danke, Earens

Du machst aus deiner Ultrabay Platte ein ganze Truecrypt Volume, mountest diese auf deinen Wunschbuchstaben. Windows vergibt für die eine PLatte 2 Buchstaben. Eine für das Volume, das Windows aber als unformatiert erkennt. Ist ja kein erkennbares FS drauf, ist ja verschlüsselt.
Der andere Buchstabe ist die gemountete Festplatte. Über die Datenträgerverwaltung kannst du den Buchstaben des Volumes entfernen, den brauchst du ja nicht. Der TC Platte weist du den gewünschten Buchstaben zu, markierst diese als "Favorite Volume" und macht dann noch den Haken bei "Mount Favourite Volumes on Startup". Dann wird die Platte beim starten von Windows nach Passworteingabe automatisch eingehängt. So habe ich das damals immer gemacht. Diese Passwort musst du halt immer eingeben.

 

[yatpu]

das tpm selber verschlüsselt nicht. dazu ist es viel zu leistungsschwach und auch langsam angebunden. für die festplattenverschlüsselung gibt es 2 möglichkeiten das tpm zu nutzen:
- opal, welches eine passende platte/ssd benötigt und in hardware verschlüsselt (im laufwerk selber)
- bitlocker von ms, zu finden in vista und win7 ultimate und enterprise. das ist eine reine softwareverschlüsselung, die bei vorhandensein das tpm als schlüsselspeicher benutzt (alternativ z.b. usbstick.
wenn dein t420 mindestens einen core i 5 25** hat, kann tc auf die befehlssatzerweiterung aes-ni zurückgreifen, wodurch aes-verschlüssung stark beschleunigt wird ohne die cpu übermäßig zu belasten.

 

[dorfi]

Ok, gutes Argument. Bei TC gibt es ja immer noch eine Rettungs-CD zum Wiederherstellen, falls die Festplatte außerhalb des Notebooks wieder hergestellt werden muss. Gibt es so etwas auch für die TPM Variante? Wenn nein, ist die TPM Variante "gestorben".

Wie sieht es denn technisch und bzgl. der Geschwindigkeit aus? TC wäre pure Software und benötigt daher Rechenleistung. Rechnet der TPM selbst - und ist damit schneller und resourcenschonender - oder sind im TPM "nur" die Keys gespeichert?

Gruß Earens

Die Rettungs CD brauchst du für das wiederherstellen des Bootloaders. Wenn du die Platte in einem anderen Rechner mounten willst, einfach anschliessen, TC starten und "Mount Volume without PreBoot Authentification" auswählen.

TC verschlüsselt ab Core 2 Duo ausreichend schnell

 

[dmos]

Das geht nicht. Das Mounten funktioniert zwar automatisch, aber ein Passwort wird abgefragt. Da kommt man nicht drumherum.
Mir ist jedenfalls kein anderer Weg bekannt.

freilich, mit keyfile.

 

[yatpu]

die datei sollte aus sicherheitsgründen aber verschlüsselt oder auf einem externen datenträger gespeichert sein, da sonst die verschlüsselung der hdd ad absurdum geführt wird.

 

[dorfi]

freilich, mit keyfile.

Das kann durchaus sein, hab ich aber nie probiert. Heisst Keyfile auf der verschlüsselten HDD speichern und dann beim Start automatisch auslesen? Würde ich zwar aufkeinen Fall so machen, aber gut, die Möglichkeit besteht

 

[dmos]

Ist sie ja, wenn er sie auf der ebenfalls verschlüsselten Systemplatte hat.