R60 Festplatte verschlüsseln/sichern

[die_matrix]

Hallo!

Ich habe folgendes Problem:

Wir haben bei uns in der Firma 4 R60 angeschafft. Da sich auf den Festplatten sensible Daten befinden, soll die gesamte Festplatte verschlüsselt werden.

Jetzt meine Frage:
Ist das mit Lenovo-Boardmitteln möglich???


Gruß aus Trier

Josef

 

[Goonie]

Ja sischer dat Frag mal die SuFu mit dem Stichwort "verschlüsseln".

Open Source: Truecrypt

G.

 

[Don Tango]

Die gesamte Festplatte zu verschlüsseln bringt Dir außer Performanceeinbußen nicht viel.
Denn es dauert nun einmal länger wenndie Daten beim schreiben und lesen ver- und entschlüsselt werden.

Es sollte reichen ein Hardwarekennwort für die Festplatte zu vergeben, und hochsensible Daten in einem verschlüsselten Container dessen Größe Du selbst festlegst zu verschlüsseln.

Die bereits genannte Software TrueCrypt ist dafür eine der bekanntesten.

Da Ihr "noch" R60 Geräte habt, könnte vielleicht die Client Security Suite in Version 7 vorinstalliert sein.
Dann geht das auch ohne zusätzliche Software. Denn dort ist sowas schon dabei. (Utimaco Private Disk)

Solltet Ihr schon die Client Security Suite in Version 8 haben, dann geht das nicht mehr. Das Feature wurde entfernt.

 

[Moskito]

Original von Don TangoEs sollte reichen ein Hardwarekennwort für die Festplatte zu vergeben, und hochsensible Daten in einem verschlüsselten Container dessen Größe Du selbst festlegst zu verschlüsseln.

Nein, tut es nicht!
Das Harddiskkennwort kann bei manchen Festplatten umgangen werden, und für alle Festplatten gilt, dass die Daten von einer Datarecovery Firma "einfach" ausgelesen werden können...

Für Firmen empfehle ich im Allgemeinen, zwecks einfacherer Handhabung, die Performance-Einbussen in Kauf zu nehmen und die gesamte HD zu verschlüsseln! Damit die Verschlüsselung auch etwas bringt sollte eine sichere Passphrase gewählt werden, und diese darf auf keinen Fall gleich sein wie ein Harddisk/Supervisor Bios/PowerOn Passwort. (Diese Passwörter können alle ausgelesen werden. Somit bringt die Verschlüsselung nichts.)
Diese Lösung ist besonders zu empfehlen, bei Systemen mit Daten, welche bereits beim Systemstart zugreifbarsein müssen, da sonst Services nicht gestartet bzw. von Hand gestartet werden müssen. (Z.B. Wenn es sich um ein Developer Notebook handelt, auf dem verschiedene lokale DB-Server laufen, wo das Starten von Hand der einzelnen DBs etwas mühsam wäre.)
Zudem ist es sicherer in Hinsicht auf die Nachlässigkeit verschiedener Benutzer. (Nach dem Motto, dass die Daten dann auch wirklich auf dem verschlüsselten Laufwerk landen und nicht sonst irgendwo.)

Sollte es sich bei den schützenswerten Daten wirklich nur um ein paar Dateien (Worddokumente, Excel-Sheets, PDFs, etc.) handeln, dann kann auf eine Lösung wie Truecrypt zurückgegriffen werden. Wird dieser Weg gewählt, dann darf die gewählte Passphrase (sollte sie nur aus einem Passwort bestehen) auf keinen Fall gleich sein wie Harddisk/Supervisor Bios/PowerOn/Windows Anmeldepasswort/Sonstige irgendwo auf der Hardware auffindbare PWs. All diese Passwörter können ausgelesen bzw. rekonstruiert werden, und der Zeitaufwand ist minimalst im Vergleich zum Zeitaufwand der für das Knacken der Verschlüsserlung notwendig wäre...

 

[die_matrix]

TrueCrypt scheidet aus, da wir die gesamte Festplatte verschlüsseln wollen.

Also reicht es, wenn ich im BIOS Im Menü "Password" folgende dinge einschalte und das Passwort setze:

- Using Passphrase
- Supervisor Password
- Power-On Password
- Hard-Disk1 Password (als User und Master)
- Require password after hibernate


Ist das so richtig???? Ist dann nach dem einschalten dieser Optionen die Festplatte komplett verschlüsselt?

 

[Don Tango]

Nein.
Dabei werden nur Passwörter gesetzt, die eine unbefugte Inbetriebnahme des Gerätes und auch einzelner Bauteile (Festplatte) verhindern sollen.

Die Festplatte wird hierbei nicht komplett verschlüsselt.

 

[die_matrix]

Aber wie bekomme ich sie dann verschlüsselt???

 

[Don Tango]

Schreibe doch mal eine PN an Moskito. Wenn er Firmen sowas empfiehlt, dann arbeitet er ja irgendwo in dem Bereich, und kann Dir sicher sagen, welche Software dafür geeignet ist.

Wenn Eure Daten allerdings so wertvoll sind, daß es sich für einen Dieb lohnen würde sie von einer "Datarecovery Firma" von der Festplatte holen zu lassen, dann würde ich mich vielleicht direkt an eine Firma wenden, welche die Einrichtung (Verschlüsselung) Eurer Geräte vornimmt.

Denn so ein Einsenden an ein Datenrettungsunternehmen kostet einiges an Geld (weitaus mehr als eine neue Festplatte).
Ein Gelegenheitsdieb wird dies also nicht tun.
Wenn Du also Angst vor jemandem hast, der gezielt auf Eure Geräte scharf sein könnte, weil die Daten darauf so wertvoll sind, dann solltet Ihr nicht am falschen Ende sparen sondern jemanden ranlassen, der sich damit auskennt.

 

[Goonie]

Beim Festplattenkennwort wird einfach die Elektronik der Platte ausgetauscht. Kostet halt 1.000 Euro aufwärts. Und wen interessiert schon ein Rechner-Passwort, wenn man die Daten haben will? Da fliegt der Rechner eher in die Mülltonne, Besitz belastet nur

Die Bundesbank hat so PCMCIA-Karten in jedem Laptop, mit dem die Platten in Echtzeit verschlüsselt werden. Ich müsste mal nachfragen, was die aktuell verwenden.

G.

 

[Goonie]

Hardwarebasierte Verschlüsselung:

CryptCard (schein älter zu sein)
oder von IBM Smart Card Encryption Security Key Kit - PCMCIA Type II: http://www-307.ibm.com/pc/support/site.wss/document.do?lndocid=VLAR-3ZNKZZ

Wenn du einen Preis dafür hast, sag mal Bescheid.

G.

 

[meshua]

Original von goonie
Beim Festplattenkennwort wird einfach die Elektronik der Platte ausgetauscht.

IMHO ist es nicht einfach mit dem Austausch der Elektronik getan. Die c't hatte einmal einen Artikel hierzu geschrieben, und testweise eine "gesicherte" HDD zu einer Datenrettungsfirma geschickt, welche die Daten trotz Passwort von der Festplatte lesen konnte. Wie dies erfolgte, wurde nicht erwaehnt.

Gruesse, Torsten.

 

[Reisender_MUC]

Guten Abend,

als Verschlüsselungssoftware kann ich aktuell zwei Produkte empfehlen:

1.) SafeGuardEasy von Utimaco Diese Software verschlüsselt die gesamte Festplatte mit einem starken AES256 Algo. Die Software ist in vielen großen Firmen im Einsatz. Es sind zwar bei der Installation einige Dinge zu beachten, ist aber sehr stabil im Einsatz. ACHTUNG: Kein Vista Support. Preis ca. 160 Euro

2.) FreeCompusec von CE-Infosys. Wie oben, aber kostenlos und mit Vista Support.

Ich rate zu Variante 1.) Achtung, am besten gleich einen Supportvertrag abschliessen.

Bei beiden Varianten dürfen nach Verschlüsselung keine Änderungen mehr an der Partitionsstruktur vorgenommen werden. Beide Produkte fragen direkt nach dem Einschalten nach einem Benutzernamen und Passwort.

Von der Containerverschlüsselung rate ich ab, da immer die Gefahr besteht, dass irgendwo tmp-Dateien angelegt werden oder der User unvorsichtigerweise Dateien am falschen Ort speichert.

 

[vge]

Ultimaco Safe Guard Easy verschüsselt die Platte kpl.oder Partitionsweise 256AES. PreBootAuthentification verhindert, das die Platte überhaupt an einem anderen System läuft. Ist sehr schnell und verschlüsselt in Echtzeit. Ist wohl momentan die sicherste Methode Daten zu schützen.

 

[s0larist]

Kann auch Safeguard Easy empfehlen. Integriert sich wunderbar in IBM CSS und untersützt den TPM Chip. Bei richtiger Installation braucht man sich nur einmal authentifizieren und Safeguard Easy bootet dann bis Windows durch. Hat nur sehr geringe Performance einbußen und wird in vielen Unternehmen, Bundeswehr usw. eingesetzt.

 

[jam_of_excess]

Im professionellen Bereich kann ich SafeBoot empfehlen. Verschlüsselt mit AES256 soweit ich weiss. Ich verschlüssel damit seit Jahren unsere Thinkpad Flotte. Unterstützt in der neuen Version auch Vista. Natürlich kein günstiges Vergnügen, eher für Unternehmen gedacht. Soweit ich weiss sind die neuen HP Notebooks als Standard mit einer abgespeckten Version von SafeBoot ausgestattet. Ob es für private Zwecke irgendwas käuflich gibt kann ich nicht genau sagen. Bei uns läuft dass ganze als Client-Server System, wodurch alle NB´s zentral verwaltet werden.

 

[Prozac]

Hi S0larist,

du hast geschrieben, dass die Authentifizierung bei Einsatz von Safeguard Easy in einem Thinkpad bei aktivierten CSS nur einmal notwendig ist.
Verstehe ich es richtig, dass es genügt, wenn ich das Biospasswort/HDD-Passwort eingebe und anschließend kein weiteres Passwort zum entschlüsseln der Festplatte eingeben muss?

Danke,

Prozac

 

[Moskito]

Original von ProzacVerstehe ich es richtig, dass es genügt, wenn ich das Biospasswort/HDD-Passwort eingebe und anschließend kein weiteres Passwort zum entschlüsseln der Festplatte eingeben muss?

Nein, du musst nur einmal das SGE-Passwort eingeben und SGE kann dich dann automatisch bei Windows anmelden.

SVP/PowerON/HDD-PW sind sepparat. Wenn jedoch überall dasselbe gewählt wurde, dann musst du dieses nur einmal eingeben.

Aber, das SGE-Kennwort darf keinesfalls gleich sein wie das SVP/PowerOn/HDD-PW!
Diese Passwörter können alle ausgelesen werden. Manche mit etwas Lötarbeit (SVP, PowerOn), manche durch öffnen der HDD und direktes lesen der Daten von den Magnetscheiben bzw. durch überlisten der Firmware (HDD-PW, ja, dieses ist auf den Magnetscheiben gespeichert, allerdings nicht in einem Bereich der über das ATA-Interface lesbar ist).

Somit wäre die gesamte Verschlüsselung sinnlos...

mfg Moskito