Wie sicher ist FDE?

N

nayjerenko

Member
Themenstarter
Registriert
11 März 2008
Beiträge
43
Ich habe seit gestern mein x61 Tablet mit FDE. Ich habe im bios ein...... ich glaube es hieß PC Startup password und ein HD password eingerichtet.
Ich werde beim hochfahren aber nur einmal nach dem Passwort gefragt. Liegt es daran, dass ich beide male das gleiche Passwort genommen habe?
Auf meinem alten PC habe ich wichtige Daten immer in DriveCrypt Containern gespeichert.
Damit sollte es unmöglich sein an die Daten zu gelangen - selbst wenn man die Festplatte ausbaut.
Wie sicher ist mein jetziges System? Gäbe es Möglichkeiten an die Daten zu gelangen (das Password recovery habe ich im Bios ausgeschaltet)?
 
Tja, in deinem Fall bringt die FDE genau nichts.

Das Bios-Passwort kann, mit wenig Aufwand und Hardware, innert Sekunden/Minuten ausgelesen werden. Die Verschlüsselung zu knacken würde hingegen mehrere Jahre dauern (mindestens, kommt auf die verfügbare Rechnerstärke an)...

Weiterhin ist fraglich, inwiefern mit FDE die Daten z.B. bei einem Headcrash selbst bei bekanntem Passwort noch ausgelesen werden können, da manche Hersteller den eigentlichen AES-Schlüssel in Hardware "vergiessen" und dieser nicht ausgelesen werden kann. Es empfiehlt sich also brav Backups zu machen!

Also, setz für die Festplatte ein Kennwort, dass du _nirgends_ sonst verwendest! Ansonsten kannst du den Chips auf der Festplatte die Rechenarbeit für die Verschlüsselung ersparen!

mfg Moskito
 
Möglichkeiten gibt es leider immer. Wenn ich die Experten hier richtig verstanden habe, müsste dazu aber doch schon zumindest dein BIOS ausgelesen, wenn nicht sogar mit nem anderen Image geflasht werden. Das setzt wieder vorraus dein Book etwas zu zerlegen und ein wenig zu Löten/Basteln.

Wo ein Wille...

So weit ich weiß kann das Power On PW durch entfernen der BIOS-Batterie umgangen werden. Das Supervisor PW nicht. Vergewisser dich dort, das richtige gesetzt zu haben. Einige Firmen verdienen auch ihr Geld damit schusseligen Usern die Daten von ihren verschlüsselten Platten zu holen.

EDIT: Aber doch auch bei unterschiedlichem BIOS und HDD Kennwort ist doch das HDD Kennwort im BIOS hinterlegt? Und das kann ich doch auslesen? Also inwiefern ist das nun besser? War da nicht mal was, das der Security Chip das Auslesen verhindert und nur durch nen neu Flashen zumindest der Rechner wieder startfähig gemacht werden kann?

Welche Platten besitzen denn nun ne Hardwareverschlüssleung? Gab doch genug, die zwar mit HDD-PW den Zugriff blockieren, aber noch lange nix verschlüsseln.

Ich weiß, viel gefährliches Halbwissen...

MfG Eric
 
Hui....das klingt alles kompliziert.
Backups mache ich regelmäßig. Das sollte also nicht das Problem sein.
Also bitte noch ein mal für so langsame Leute wie mich.
Welches Passwort sollte ich besser setzen und welches nicht?
Ich habe das Power on Passwort gesetzt, weil ich mir nicht sicher war ob jemand, wenn er ins Bios menü kommt unfug anstellen kann. Aber da man das Bios ja auch auslesen kann, spare ich mir einfach das Power on Passwort und setze nur ein FDE Passwort was ich sonst nirgens verwende.
Richtig!? Habe ich damit ähnlich Sicherheit wie mit Drivecrypt?
 
@Eric
Nein, das HDD Passwort ist nicht im Bios hinterlegt. Möglicherweise ist es jedoch mehr oder weniger im Klartext in der Firmware der Festplatten hinterlegt, deren Baustein vergossen sein sollte. (Ich meinte in einem c't gelesen zu haben, dass mindestens ein Hersteller, einfach den Schlüssel in die Hardware vergiesst und dieser nicht ausgelesen werden kann, sprich das ganze kompatibel zu TCPA/TPM wäre...)

Ich persönlich würde solch einer Harddisk keine wichtige Daten anvertrauen sondern eher etwa auf Truecrypt setzen. Da ist das Verfahren bekannt und der Schlüssel kann ausgetauscht werden. Der Header-Schlüssel wird mit dem Passwort verschlüsselt und der Master-Schlüssel mit dem Header-Schlüssel. Das einzige unverschlüsselte ist eine Prüfsumme des Headers, was aber sicherheitstechnisch irrelevant ist.


@nayjerenko
Du kannst alle Passwörter setzen die du willst, aber das Festplattenpasswort darf keinesfalls das gleiche sein wie irgendein anderes gesetztes Passwort, da sonst die ganze Verschlüsselung keinen Sinn macht.

Sicherheitstechnisch würde ich eher Truecrypt empfehlen, da dort das Verfahren bekannt ist. Allerdings ist die Performance nicht so besonders gut, da dann nicht spezielle Chips auf der Festplatte die Verschlüsselung übernehmen sondern der Prozessor...

mfg Moskito
 
Hallo die Herren,

zur eingangsfrage die FDE Festplattenverschlüsselung ist eine relativ sichere Methode den gesamten Festplatteninhalt zu sichern. Wichtig ist es hier nur das HDD User PW zu setzen. PW's doppeltet zu verwenden ist immer schlecht. Bei einem Hardware defekt hat man mit einer solchen Platte jedoch unter Umständen schlechte Karten ob ein PW gesetzt oder nicht da die Daten immer verschlüsselt sind. Bei einer FDE Platte kann die Verschlüsselung an sich nicht abgeschaltet werden, ohne PW nutzt es nichts, aber sonst könnte man nachträglich keine PW mehr setzten.

Pro: Vollständiger Platten Schutz, gute Verschlüsselung 128-bit AES, sicheres und schnelles löschen der Festplatte möglich indem der Key der Platte gelöscht wird, sehr schnelle on the fly Verschlüsselung keine Leistungeinbusen an CPU oder Platte, unabhängig Sicherheit vom restlichem System (BIOS kennt PW nicht), Festplatte kann in anderes System eingebaut werden mit bekannten PW

Con: PW vergessen Daten futsch, auslesen des Key's nicht möglich (wozu auch?)

Erkennen kann man die Platten an ihrer Model Nummer z.B. "Hitachi HTS722020K9SA00 FDE"
 
Ich bin verwirrt. Gibt dat die 7k200 nun mit UND ohne FDE? In meiner Bezeichnung taucht nur "HTS722020K9SA00" auf.

MfG Eric
 
Ja die Hitachi 7k200 Serie gibt es in beiden Versionen.

Jedoch lesen viele Programme die Modelnummer unvollständig aus, bei Windows muss man im Gerätemanager schon auf Details und dann Hardware-ID's klicken. Taucht hier nichts auf ist sie ohne FDE.
 
@paladin
Bei mir bis jetzt bekannten FDE Implementationen gibt es folgende Probleme:
- Schlüssel ist irgendwo in einem Chip im Klartext gespeichert.
- Passwort ist irgendwo im Klartext (oder Hash) gespeichert.
- Wenn die Firmware auch nur einen Bug hat, der sich ausnützen lässt um Zugriff auf diese Speicherbereiche zu bekommen, dann ist die ganze Verschlüsselung im Eimer.
- Der Schlüssel kann von Berechtigten nicht ausgelesen werden. --> Der Schlüssel kann nicht gesichert werden.

Die einzige Vorteil ist die hardwarebasierte Verschlüsselung (keine Belastung des Prozessors). Dass der wirkliche AES-Schlüssel geändert werden kann ist mir neu. Bei Seagate ist dies sicher möglich, habe ich gerade gesehen, aber was ist damit bei Hitachi und Samsung?

mfg Moskito
 
Zunächst einmal beziehe ich mich hier ausschließlich auf Hitachi was andere Hersteller machen weis ich nicht, und interessiert mich auch nicht. Das die Daten im Klartext vorliegen finde ich eine gewagte These. Mir ist auch derzeit nicht bekannt das die Daten einer verschlüsselten FDE Platte tatsächlich ausgelesen wurden. Würde mich jedoch interessieren falls es möglich ist, bitte Link, Scan etc.

Klar ein Bug, was soll man da sagen, gibst immer deswegen ist das hier favorisierte Truecrypt auch nicht in der Version 1.0 final.

Das mit dem Key auslesen Verstehe ich einfach nicht, wozu auslesen Master PW und User PW fertig. Eine Möglichkeit den Key auszulesen wäre in meinen Augen tatsächlich ein Risiko, und wohl auch eine potenzieller Angriffspunkt. Ein Schlüssel der niemandem außer dem System selbst bekannt ist, was will man mehr. Ist die Hardware zerstört nutzt der Backup-Key auch nichts, muss man schon selber Backups machen wie bereits erwähnt wurde.

Zum Löschen des Key's siehe Link.

100% Sicherheit gibt es halt einfach nicht, und wird es wohl nie geben.
 
Da muss man das Teil nun wirklich aufschrauben um nachzusehen. Na herrlich.

Hab nu mal schnell nachgesehen. Meine (PN 0A50940) hat schonmal kein FDE. Wär schön gewesen... aber naja.

nochmal thx für den Link


MfG Eric
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
  • ok1.de
  • ok2.de
  • thinkstore24.de
  • Preiswerte-IT - Gebrauchte Lenovo Notebooks kaufen

Werbung

Zurück
Oben