Verschlüsselung. Trusted Platform Module (TPM), Bitlocker Window 7 oder doch lieber Truecrypt

[xsid]

Verschlüsselung. Trusted Platform Module (TPM), Bitlocker Window 7 oder doch lieber Truecrypt

Hi Forum.

wie richte ich für einen Thinkpad eine Verschlüsselung unter zurhilfename des Trusted Platform Module (TPM)-Chips
mit Bitlocker Window 7 ein?

Welche Erfahrung habt Ihr mit TPM und Bitlocker gemacht?

Ist Truecrypt die bessere Alternative?

MfG

xsid

 

[qwali]

Beide Verschlüsselungen sind mittlerweile bei mehrfachem physikalischen Zugriff auf den Laptop zu umgehen. Als "Diebstahlschutz" reichen beide also aus.

Bitlocker ist bequemer, truecrypt ist OpenSource - ist meines Erachtens nur eine Philosophefrage.

Zur Installation kann ich dir nix sagen - aber ich denke da wirst du mindestens auf der MS-Homepage eine Anleitung finden.

 

[xsid]

TPM Chip

Hi gwali,

eine angrenzende Frage habe ich gestellt,

[T6*] Trusted Platform Module (TPM), Bitlocker Window 7 unf Vista

wie komme ich an meine mit Windows 7 Bitlocker verschlüsselte Festplatte, wenn der TPM Chip ist oder das Mainboard defekt ist?

Zitat gwali: Beide Verschlüsselungen sind mittlerweile bei mehrfachem physikalischen Zugriff auf den Laptop


Wie komme ich an meine Daten wenn der TPM Chip defekt ist oder Mainboard getauscht wurde?

Unterstützt Truecrypt auch den TPM Chip?
Benötige ich bei der Truecrypt Lösung noch die versteckte primäre 100 MB Partition von Windows 7?

MfG

xsid

 

[SF6]

Zu allererst benötigst du Windows 7 Ultimate oder Enterprise um Bitlocker nutzen zu können.

 

[qwali]

Truecyrpt unterstützt den TPM-Chip bisher nicht. Sollte er kaputt sein oder halt das Mainboard kommst du nicht mehr an die Daten. Bei Truecrypt kommst du noch ran, da die Platte in einem anderen Laptop bootet bzw. entschlüsselt werden kann.

Mehrfacher physikalischer Zugriff bedeutet, dass dir ein Bootloader untergeschoben wird, welcher sich offiziell korrekt verhält, aber gleichzeitig das von dir eingegebene Passwort unverschlüsselt ablegt. Quasi ein in den Bootloader integrierter Keylogger. Die Verschlüsselung selber ist noch sicher. Allerdings auch nur im ausgeschalteten Zustand. Wird der Laptop an oder im Standby entwendet lässt sich das Passwort aus dem Ram auslesen.

 

[Humanchu]

... korrekt, das PW lässt sich dann im Ram auslesen. Wobei das 99% der Diebe nicht machen werden / können.

Im Ruhezustand oder nach dem normalen Runterfahren jedoch ist die Verschlüsselung sicher.
Soweit ich weiß, gibt es aber keine sicherere Lösung.

 

[xsid]

Risiko

Hi qwali,

das Risiko eine defekten Mainboard ist nicht unerheblich. Stichwort: Nvidia Chipsatz

Zitat:

Sollte er kaputt sein oder halt das Mainboard kommst du nicht mehr an die Daten.


Wirklich keine Lösung, außer ständige unverschlüsselte Datensicherung?

Kann der TPM Chip kopierrt, geflasht oder ausgebaut werden?

Das verwundert mich ein wenig.

MfG

xsid

 

[qwali]

Optimalerweise ist das nicht möglich. Allerdings gibt es wohl Wege das zu beheben (vgl. Supervisorpasswort).

Wieso - Truecrypt ist doch eine Lösung, welche nur auf einem Passwort basiert. Auch Bitlocker ist nicht auf TPM angewiesen und kann rein per Passwort verschlüsselt werden. TPM ist nur eine zusätzliche Sicherheitsmaßnahme - die kann man mit allen Vor- und Nachteilen nutzen - muss man aber nicht. Für Leute, denen die Daten so wichtig sind dürfte der Verlust des Laptops irrelvant sein - solange die Daten sicher sind.

 

[xsid]

Technik

Hi qwali,

mich interessiert gar nicht die Verschlüsselung an sich, sondern die Technik
Mein Daten werden niemanden ernsthaft interessieren.

Du schreibst:

Mehrfacher physikalischer Zugriff bedeutet, dass dir ein Bootloader untergeschoben wird, welcher sich offiziell korrekt verhält, aber gleichzeitig das von dir eingegebene Passwort unverschlüsselt ablegt. Quasi ein in den Bootloader integrierter Keylogger. Die Verschlüsselung selber ist noch sicher. Allerdings auch nur im ausgeschalteten Zustand. Wird der Laptop an oder im Standby entwendet lässt sich das Passwort aus dem Ram auslesen.

Die unsichtbare Windows 7 100 MB Partition enthält den Windows Botmanager, meines Wissens nach wird die 100 MB Partition nicht verschlüsselt.
Dann sollte doch jeder, der Zugriff auf den PC hat eine Keylogger implementieren können, oder irre ich da? Fachwissen vorausgesetzt.

MfG

xsid

 

[qwali]

Ganz so einfach ist es nicht, da der Bootloader vom TPM-Chip auf seine Authentizität geprüft wird. Allerdings ist es wohl möglich einen Bootloader einzuschleusen, der diese Abfrage umgeht. Wie genau kann ich dir nicht sagen - nicht mein Spezialgebiet. Ich weiß nur, dass es möglich ist.

http://testlab.sit.fraunhofer.de/content/output/project_results/bitlocker_skimming/

 

[xsid]

Festplatte in die Hosentasche

Hi Alle,

also jeder Geheimnisträger, die Festplatte in die Hosentasche.



Naja, es geht wohl auch um das Unwohlsein, wenn das Notebook geklaut wird und die Daten jedem verfügbar sind / wären.

MfG

xsid

 

[whisk4s]

Vor wem willst du deine Daten eigentlich sichern? Vor der NSA oder vor 08/15-Laptopdieben? Im letzteren Falle könntest du auch mit einem einfachen SATA-Kennwort auskommen.