Safeboot vs. Intel-SSD-eigene Verschlüsselung - ist das noch nötig?

[randfee]

Hi,

Nachdem mir klar wurde, dass bei uns bisher jeder Laptop mit "Safeboot", einer Software für Fulldisk encryption versehen wurde, das bestellte Firmen-Thinkpad (wenn es denn mal ankommt) aber mit einer SSD samt AES antanzt, habe ich mich mal ein bisschen damit befasst.

Die Erkenntnis:

• Safeboot sollte (zumindest in der alten 2007er Version wie bei uns) doch wohl besser auf keiner SSD installiert werden, weil es alles zumüllt, was für eine SSD doch völlig kontraproduktiv ist
• Full Encryption Software ist doch für eine selbstverschlüsselnde SSD samt ATA-Passwort völlig unnötig, oder übersehe ich was?
• Die Performance der Hardware Lösung sollte doch auf jeden Fall besser sein, das alte Safeboot kann ja nichtmal die Hardware AES-Einheiten der neuen CPUs nutzen

Hab ich da mal grob recht? Dann wären das ja gute Argumente zur Beantwortung der wichtigen Frage:

Wie bewege ich die IT-Abteilung dazu den Laptop einfach per ATA Passwort (welches an die SSD Firmware geht) das ganze System zu schützen, statt diese für Festplatten entwickelte Software zu installieren, die die SSD grillt indem sie alles vollschreibt?!

.. mir fiel das Ganze erst gestern ein, die rücken keinen Laptop raus ohne das Zeugs, was den Bootvorgang noch mehr unnötig verlängert und die Performance drückt... argh!

 

[[W2k]Shadow]

das problen wird sein, dass es eine firmenpolitik ist.

wenn du das ändernwillst musst du wohl mit dem geschäftsführer und dem it-chef reden, und denen erklären was da das problem ist...

ob diese art der verschlüsselung reicht ist halt schwer zu sagen.
das müsste im ernstfall euro IT testen (lassen?)

ich weiß ja nicht wie sensibel eure daten sind.

zu diesem thema hat sich neulich aber auch el-sahef und ich glaub impcaligula? in nem thread auseinandergesetzt.
da war es zwar die vertex2 udn 3,abe rtechnishc ist das prinzip gleich

 

[Evilandi666]

Full Encryption Software ist doch für eine selbstverschlüsselnde SSD samt ATA-Passwort völlig unnötig

Keine technischen Specs dazu, Kein Gutachten, kein Nachweis für die Sicherheit, kein Nachweis für korrekte Implementierung etcpp.

Sprich: kann sicher sein, muss aber nicht.

(Man denke nur an die ach so tollen ersten Cryptoplatten mit Pinfeld die "AES" nutzten (aber dann nur für den Key) und den Rest nur gexort haben.)

 

[linrunner]

Je größer die Firma und je strenger die Security, um so geringer sind deine Chancen, eine Ausnahme zu bekommen. Gründe haben meine Vorposter genannt.

Beachte auch dieses Risiko bzgl. ATA-PW: http://thinkpad-forum.de/threads/115718-Warum-bricken-im-Moment-alle-ihre-SSDs

 

[randfee]

Shadow]ich weiß ja nicht wie sensibel eure daten sind.

"sensibel"... viele Patentsachen, viele die noch nicht patentiert sind... Bereich: Solarzellenforschung. Die Chinesen klauen uns eh alles unterm Hintern weg. Sobald wir die Idee hatten, laufen die zur Höchstform auf

Keine technischen Specs dazu, Kein Gutachten, kein Nachweis für die Sicherheit, kein Nachweis für korrekte Implementierung etcpp.
Sprich: kann sicher sein, muss aber nicht.

und wer weißt bei der alten 2007er Software nach, die dann von McAffee gekauft wurden, welches wiederum von Intel gekauft wurde? Wer sagt, dass die sicher ist? sorry, aber das Argument verstehe ich nicht!

Je größer die Firma und je strenger die Security, um so geringer sind deine Chancen, eine Ausnahme zu bekommen. Gründe haben meine Vorposter genannt.
Beachte auch dieses Risiko bzgl. ATA-PW: http://thinkpad-forum.de/threads/115718-Warum-bricken-im-Moment-alle-ihre-SSDs

ehm... passwort falsch eingeben (Capslock), usw zählt aber nicht wirklich ^^.
Der "Problematik", wenn man es denn so nennen sollte, bin ich mir durchaus bewusst, das zeigt aber auf der anderen Seite auch wie rigoros die Implementierung ist, weniger Angriffsfläche bietet eine Software-Lösung mit Sicherheit nicht.
Arbeitgeber=Forschungsinstitut und ist 1200 Beschäftigte groß. Ich red nächste Woche mal mit dem Admin, ich sehe einfach nicht ein, warum eine in Computerjahren uralte Software die Performance unnötig drücken sollte.

 

[Evilandi666]

"sensibel"... viele Patentsachen, viele die noch nicht patentiert sind... Bereich: Solarzellenforschung. Die Chinesen klauen uns eh alles unterm Hintern weg. Sobald wir die Idee hatten, laufen die zur Höchstform auf

und wer weißt bei der alten 2007er Software nach, die dann von McAffee gekauft wurden, welches wiederum von Intel gekauft wurde? Wer sagt, dass die sicher ist? sorry, aber das Argument verstehe ich nicht!

Sofern das eine Software für Buisnesskunden ist, gehe ich davon aus dass es entspr. Nachweise/Zertifizierungen gibt. Falls nicht, kann man das Argument natürlich streichen

 

[linrunner]

ehm... passwort falsch eingeben (Capslock), usw zählt aber nicht wirklich ^^

Du hast den Thread und (die Verlinkungen im 1. Post) nicht gründlich genug studiert, sonst wäre dir aufgefallen, daß es nicht um Layer-8-Probleme sondern um Fälle fehlerhafter Implementierungen des ATA-PW geht.

Du betrachtest das Thema sehr subjektiv aus dem Blickwinkel der Performance. Wichtiger sind aber normalerweise Sicherheit, Zuverlässigkeit, Wartbarkeit und Supportbarkeit des Gesamtsystems.