Windows VeraCrypt-FDE & SSDs: Geschwindigkeit verbessern

[iks230]

Umgebung: Windows 10 Pro 64-Bit, T440p, i7-4712MQ, Crucial MX500 2TB, komplette Festplattenverschlüsselung / Full Disk Encryption mit VeraCrypt 1.25.9

Manchmal lohnt es sich Release Notes zu lesen: Seit Version 1.25.7 kann durch bestimmte Registry-Keys bei VeraCrypt die Performance verbessert werden.

Ohne die Anpassung:



Mit der Anpassung:



100 MB/s mehr beim Lesen finde ich schon beachtlich. Leider habe ich keinen Vergleich zu einem unverschlüsselten Laufwerk.

Zu den Registry-Änderungen:

Advanced users: Add registry settings to control driver internal encryption queue to allow tuning performance for SSD disks and having better stability under heavy load.

• Under registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\veracrypt:
  • VeraCryptEncryptionFragmentSize (REG_DWORD): size of encryption data fragment in KiB. Default is 256. Maximum is 2048.
  • VeraCryptEncryptionIoRequestCount (REG_DWORD): maximum number of parallel I/O requests. Default is 16. Maximum is 8192.
  • VeraCryptEncryptionItemCount (REG_DWORD): maximum number of encryption queue items processed in parallel. Default as well as maximum is half of VeraCryptEncryptionIoRequestCount.
• The triplet (FragmentSize=512, IoRequestCount=128, ItemCount=64) is an example of parameters that enhance sequential read speed on some SSD NVMe systems.

VeraCrypt - Free Open source disk encryption with strong security for the Paranoid

VeraCrypt is free open-source disk encryption software for Windows, Mac OS X and Linux. In case an attacker forces you to reveal the password, VeraCrypt provides plausible deniability. In contrast to file encryption, data encryption performed by VeraCrypt is real-time (on-the-fly), automatic...

www.veracrypt.fr

 

[independence]

Was mir zum eigentlichen Problem noch einfällt: @independence Vielleicht auch nur ein Caching-Problem oder gar nur ein Anzeige-Problem? Wie schnell kopiert er denn, bevor er auf 30MB/s einbricht? Eventuell kopiert er vorher mit angeblichen x GB/s, bis der Cache vollläuft. Dann schreibt er den Cache weg und daher bricht die Datenrate ein. Daher: verschlüsselte SDD mal abdocken/aushängen, wieder anschließen/einhängen, dann die Datei kopieren und beim Starten auf die Uhr mit Sekundenzeiger schauen. Warten bis der Kopiervorgang abgeschlossen ist und wieder auf die Uhr schauen. Dateigröße durch Anzahl der Sekunden teilen und schauen: Passt der Wert? Oder ist er wirklich so viel niedriger wie die Anzeige suggeriert? Klingt vielleicht etwas doof/banal, aber ich habe genau solche Symptome schon gehabt.

Schaue ich mir an, wird aber bis nächste Woche dauern. Danke für den Hinweis

 

[Axel]

In VeraCrypt kann man doch einen Benchmark durchführen. Dann sieht man sehr schnell, ob entsprechende Hardware vorhanden ist und unterstützt wird.
Das ließe sich dann auch unter den verschiedenen OSs testen/vergleichen.

 

[independence]

In VeraCrypt kann man doch einen Benchmark durchführen. Dann sieht man sehr schnell, ob entsprechende Hardware vorhanden ist und unterstützt wird.
Das ließe sich dann auch unter den verschiedenen OSs testen/vergleichen.

Hab ich vorher gemacht. Geschwindigkeit über 1GB/s

 

[Axel]

Am 01.10.2023 ist VeraCrypt 1.26.7 veröffentlicht worden.

Vielleicht hilft es dir/euch ja? Obwohl es laut Changelog nicht danach aussieht...

 

[xxxx]

Am 01.10.2023 ist VeraCrypt 1.26.7 veröffentlicht worden.

Ist noch Beta, und wird deswegen nicht auf der offiziellen Veracrypt-Seite zum Download angeboten.
Die beste der guten Neuigkeiten habe ich gestern abend hier angeschnitten.

 

[Axel]

@xxxx : Sieht mir eher nach Release aus: https://www.veracrypt.fr/en/Downloads.html

 

[xxxx]

Sieht mir eher nach Release aus

Ja, stimmt, Du hast recht: Asche auf mein Haupt! (Gestern abend war´s noch nur bei sourceforge ...)

 

[Jan-Chris]

Umgebung: Windows 10 Pro 64-Bit, T440p, i7-4712MQ, Crucial MX500 2TB, komplette Festplattenverschlüsselung / Full Disk Encryption mit VeraCrypt 1.25.9

Manchmal lohnt es sich Release Notes zu lesen: Seit Version 1.25.7 kann durch bestimmte Registry-Keys bei VeraCrypt die Performance verbessert werden.

Ohne die Anpassung:

Anhang anzeigen 167547

Mit der Anpassung:

Anhang anzeigen 167548

100 MB/s mehr beim Lesen finde ich schon beachtlich. Leider habe ich keinen Vergleich zu einem unverschlüsselten Laufwerk.

Zu den Registry-Änderungen:

VeraCrypt - Free Open source disk encryption with strong security for the Paranoid

VeraCrypt is free open-source disk encryption software for Windows, Mac OS X and Linux. In case an attacker forces you to reveal the password, VeraCrypt provides plausible deniability. In contrast to file encryption, data encryption performed by VeraCrypt is real-time (on-the-fly), automatic...

www.veracrypt.fr

Moinsen.

Habe gerade erst diesen interessanten Beitrag entdeckt, weil ich mich auf die Suche nach Möglichkeiten gemacht habe, wie ich den Systemstart meines vollverschlüsselten, sehr langsamen Netbooks beschleunigen könnte. Vielleicht ja sogar mit diesem Tipp? Ich würde es sehr gerne mal ausprobieren. Ich nutze nämlich für maximale Mobilität auch ein Netbook mit nur Intel Celeron N4000-Prozessor sowie fest verlöteten RAM von nur 2 GB DDR4-2133 - und darauf dauert der Systemstart 7 Min. & 29 Sek. bei einer Vollverschlüsselung mit 3 kombinierten Verschlüsselungs-Algorithmen und einer niedrig 4-stelligen PIN. Das aber nur zur Information, denn was für mich gar nicht zur Debatte steht, ist, für unterwegs und vollste Mobilität irgendein klobiges Notebook zu benutzen - ein Netbook hat genau die richtige, wundervoll kleine Größe, um es überall mit hinnehmen zu können und ich bin ja schon froh, dass es wenigstens ein Double-Core Celeron-Prozessor statt nur Atom-Prozessor ist ... mehr kann man wohl in einem Netbook nicht verlangen. Und der Arbeitsspeicher lässt sich wegen Verlötung leider auch nicht vergrößern - wobei ich mich eh frage, ob für die Systemstart-Geschwindigkeit mehr die CPU oder der RAM verantwortlich ist - und von der sehr guten Verschlüsselung über dem Standard möchte ich auch keinen Millimeter abrücken. Da das gesamte Environment also nicht verändert werden soll, suchte ich nach einer anderen Lösung, um den Systemstart beschleunigen zu können und stoße bei der hier genannten, vielleicht auch für mein Ziel geeigneten Information auf das Problem, dass es die genannten Registry-Einträge in Windows 10 allesamt gar nicht gibt. Siehe Schreenshot. Meine Frage daher: Sollen diese Registry-Einträge etwa völlig neu angelegt werden durch Rechtsklick in das Fenster des Registrierungs-Editor und Auswahl von "Neu" --> "DWORD-Wert (32-Bit)" und dann als Name z.B. "VeraCryptEncryptionFragmentSize" eingeben und auf den Namen dann rechtsklicken und "Ändern" auswählen und unter Dezimal den Beispiel-Wert "512" eintragen (alles ohne Anführungszeichen)? Wenn nicht, BITTE erklären, wie ich an die Registry-Werte dran komme, falls die bereits vorhanden sein und nur noch geändert werden sollen. Habe ein gutes technisches Verständnis, aber von Registries habe ich kaum Ahnung. Vielen Dank.

 

[cuco]

darauf dauert der Systemstart 7 Min. & 29 Sek. bei einer Vollverschlüsselung mit 3 kombinierten Verschlüsselungs-Algorithmen und einer niedrig 4-stelligen PIN.

Warum bitte 3 kombinierte Algorithmen und nur eine vierstellige PIN? Ein vernünftiger Algorithmus reicht, es müssen nicht drei sein. Vor allem nicht, wenn du eh nur eine vierstellige PIN nutzt. Besser die PIN durch was längeres ersetzen. Mindestens 12 zufällige Zeichen (inkl. Buchstaben und Sonderzeichen). Besser >14.

durch Rechtsklick in das Fenster des Registrierungs-Editor und Auswahl von "Neu" --> "DWORD-Wert (32-Bit)" und dann als Name z.B. "VeraCryptEncryptionFragmentSize" eingeben und auf den Namen dann rechtsklicken und "Ändern" auswählen und unter Dezimal den Beispiel-Wert "512" eintragen (alles ohne Anführungszeichen)?

Ja genau.

 

[Jan-Chris]

Ah ja, das muss tatsächlich so gemacht werden, völlig neue Registry-Einträge anzulegen. Danke - hätte mich das sonst nicht getraut.

Um das Passwort mach' dir mal keine Sorgen - das ist wesentlich länger als nur 14 Zeichen und natürlich inkl. Groß- & Klein-Buchstaben, Ziffern & Sonderzeichen (wusste gar nicht, dass 'ne PIN auch ohne Passwort ginge - das wäre ja wirklich verrückt). Und mit nur einem Algorithmus hätte ich so mein Sicherheits-Problem: Was, wenn der in ein, zwei Jahren (oder schon morgen) geknackt wird? Dann will ich wenigstens die Sicherheit haben, dass in der selben Verschlüsselung noch weitere, ungeknackte Algorithmen alles stabil sicher halten. Gut, 3 Algorithmen ist ein wenig paranoid, zugegeben, 2 würden ausreichen, da wohl kaum zwei gleichzeitig plötzlich geknackt werden. Aber ich sage immer: Besser tausend mal zu viel als das eine entscheidende mal zu wenig.

 

[cuco]

Kommt halt auch immer darauf an, gegen wen oder was man sich schützen will. Und auf die Leistungsfähigkeit des Geräts - ein Netbook mit Celeron N4000 ist natürlich verdammt schwachbrüstig, um nicht nur eine, sondern gleich drei Verschlüsselungen durchzuführen.
Ich würde den Benchmark von Veracrypt durchlaufen lassen und dann einen der schnellsten Algorithmen nehmen. Bei der CPU ziemlich sicher AES. Das ist sicher und bei der CPU auch schnell.
Die Wahrscheinlichkeit, dass moderne Algorithmen plötzlich geknackt werden, ist verdammt gering, insbesondere bei AES durch seine weite Verbreitung, aber klar, 0,0000001% ist nicht 0,0 Und am Ende muss es für dich passen. Vermutlich würde dein Netbook aber in unter einer Minute, vielleicht sogar in unter 30s booten, wenn du mit "nur" AES statt dreifacher Verschlüsselung arbeiten würdest.
Das dürfte auch um Welten mehr bringen als der Registry-Eintrag.

Aber wenn du ein langes Passwort einsetzt, verstehe ich nicht, wofür du die vierstellige PIN noch nutzt?

 

[Jan-Chris]

Keine Ahnung wofür ... am Ende für mehr (gefühlte, meinetwegen paranoide ... aber VeraCrypt WILL ja auch "for the paranoid" sein) Sicherheit: Langes Passwort plus PIM + mehrere kaskadierte Algorithmen klingt einfach so viel sicherer.
Es entstannt jetzt aber kein Missverständnis dadurch, dass ich PIN schrieb? Habe gerade bemerkt, dass die das, was ich meine, ja PIM nennen.
Einzig an Schlüsseldateien - für NOCH mehr (paranoide) Sicherheit - habe ich mich nicht getraut, denn sowas könnte ich mir tatsächlich schlechter merken als ein langes Passwort, das nach einer ganz eigenen Logik aufgebaut ist + 4-stellige PIM. Passwort & PIM sind natürlich nur in meinem Kopf. Sonst würde die beste Verschlüsselung auch keinen Sinn machen.

Nur AES ist allerdings schon rund 9 mal schneller, laut gerade getestetem Benchmark, als der nächst langsamere Einzel-Algorithmus. Mag trotzdem nicht allein AES benutzen - c'est la vie. Zur Not wird eben weiterhin zum Netbook-Start erstmal ein Kaffee konsumiert - und ist der ausgetrunken, ist der Systemstart auch vollzogen.

 

[Schwartz]

Mehrere Algos hintereinander sind sinnfrei. Verschlüsselung ist sowieso nur was gegen physikalischen Diebstahl oder Schutz im ausgeschalteten Zustand. Das eigentliche Gefahrenmodell bei 99% der Menschen ist Zugriff im angeschalteten / entschlüsselten Zustand, durch Sicherheitslücken, Skripte, Webseiten, Schadsoftware usw. Und da bringt dir die Verschlüsselung gerade gar nichts.

Würde simples AES verwenden. Ohne Quantencomputer kommt da auch keiner durch.

Die PIM wurde ursprünglich entwickelt um Passwörter, die zu kurz sind, durch ein sekundäres Passwort nochmal sicherer zu machen. Ab einer bestimmten Passwortlänge (ich glaube es waren um die 20 Zeichen) hast du genug Bits und kannst dir die PIM auch komplett sparen. Die gewählte Nummer ist übrigens proportional dazu wie lange ein bestimmter Schritt der Entschlüsselung dauert.

 

[Jan-Chris]

Jenes Netbook hat daher aus gutem Grund das Internet bisher nur einmal im Leben gesehen: Ganz am Anfang als die Windoof-Lizenz freigeschaltet werden musste. Auf meinen Internet-Rechner packe ich ganz bestimmt nichts sensibles an Daten drauf. Klar muss man sowas auch immer weiter denken und an alles denken, wenn man sich für so eine heftige Verschlüsselung entscheidet, damit eben diese nicht irgendwie sinnlos ist/wird. Wenn ich Daten aus dem Netbook online für meinen Internet-Rechner brauche, schreibe ich mir diese live ab und direkt in den Internet-Rechner rein bzw. kopiere sie auf eine Speicherkarte (und dann nur das, was ich gerade brauche), die danach vollformatiert wird zwecks Nicht-Wiederherstellbarkeit davon. Alles ohne jede Verbindung zwischen diesen beiden Rechnern. So sind etwaige sensible Daten schon ziemlich sicher im Netbook. Aber klar, während es an ist, kann theoretisch immer noch so einiges passieren. Wie cuco schon schrieb: 0,0000001% ist nicht 0,0.

So, nun aber hier auch noch mein Resultat aus dieser Registry-Änderung, denn nur zu fragen und dann ergebnislos wieder abzuhauen, wäre ja auch doof. Wer weiß, wem mein Resultat am Ende noch etwas nützt, meinen Versuch auch bzw. gar nicht erst zu versuchen.
Habe schnell noch mein Voll-Backup erneuert (inkrementell/differentiell ist mir zu aufwändig, Voll-Backups muss man nur komplett löschen und komplett neu kopieren, ohne Extra-Software nutzen & ohne Regeln schreiben zu müssen etc.) und dann nach der Registry-Änderung das Netbook neu gestartet. Ergebnis: Startvorgang dauert jetzt 7 Min. & 27 Sek. - also Kategorie Schwamm drüber. Allerdings steckt auch keine SSD im Netbook, sondern nur eine eMMC, was aber auch ein Flash-Speicher (ähnlich einer Speicherkarte oder sogar genau so etwas) sein sollte und somit viel näher an einer SSD als an einer HDD ist. Einen Versuch war es somit wert.