Festplattenverschlüsselung

aus Wikipedia, der freien Enzyklopädie
Wechseln zu: Navigation, Suche

Festplattenverschlüsselung bezeichnet das Verschlüsseln einer gesamten Festplatte oder einzelner Partitionen, um den unbefugten Zugriff auf sensible Daten zu verhindern.

Methoden[Bearbeiten]

Eine Festplattenverschlüsselung kann für die gesamte Festplatte oder einzelne Partitionen durchgeführt werden. Jedoch müssen die zum Booten benötigten Daten unverschlüsselt auf der Festplatte vorhanden sein oder durch einen speziellen Bootmanager entschlüsselt werden. Zur Nutzung der Daten wird eine Autorisierung des Nutzers durchgeführt (Pre-Boot Authentication), die zumeist mittels eines Passworts stattfindet. Alternativ oder ergänzend ist auch die Hardware-unterstützte Authentisierung mittels Security-Token oder Chipkarten möglich.

Die Verschlüsselung kann auch durch die Hardware durchgeführt oder unterstützt werden (etwa durch TPM oder Festplatten mit Spezial-Firmware). Metaphorisch gesprochen ist die Verschlüsselung wie die Tür eines Hauses. Die Tür kann beispielsweise aus Holz oder Stahl sein. Übertragen auf die mobilen Festplatten würde das bedeuten, dass zum Beispiel eine einfache XOR-Verknüpfung oder eine Verschlüsselung nach dem Advanced Encryption Standard (AES) mit unterschiedlichen Schlüssellängen und Blockmodi verwendet werden kann. Die Wahl einer passenden Verschlüsselung entscheidet über die Grundlage zum Erreichen eines höchsten Maßes an Datensicherheit. Für höchste Anforderungen an die Datensicherheit empfiehlt das Bundesamt für Sicherheit in der Informationstechnik Verschlüsselung im XTS-AES Modus.[1]

Angriffsmöglichkeiten[Bearbeiten]

Angreifer, die eine verschlüsselte Festplatte ausspähen wollen, versuchen meist, auf verschiedenste Art und Weise das Passwort zu erlangen.

Dazu können folgende Methoden eingesetzt werden:

Eine weitere Schwachstelle der Festplattenverschlüsselung ist, dass sie keinen Schutz bietet, wenn der Rechner gebootet und mit einem Netzwerk verbunden ist. Dann kann im Prinzip über das Netzwerk oder lokal am Rechner auf den Festplatteninhalt zugegriffen werden, wobei letzteres durch den Einsatz eines aktiv werdenden Bildschirmschoners, der ein Passwort bei seiner Beendigung verlangt, erschwert werden kann. Eine Festplattenverschlüsselung schützt somit nur bei Verlust oder Diebstahl, nicht jedoch im laufenden Betrieb. Der Einsatz einer Festplattenverschlüsselung ist daher in solchen Fällen (z. B. zum Schutz eines Fileservers) nur bedingt sinnvoll. Auch ist eine Festplattenverschlüsselung nicht geeignet, arbeitsgruppenweiten Zugriff auf verschlüsselte Daten zu gewährleisten. Hier empfehlen sich Alternativen wie Datei- und Ordnerverschlüsselungen.

Software[Bearbeiten]

Programme zur Festplattenverschlüsselung gibt es für fast jedes Betriebssystem. Bei einigen sind diese bereits integriert. So besitzt Windows seit Windows 2000 das verschlüsselte Dateisystem EFS für NTFS-Laufwerke, welches für die Verschlüsselung von Verzeichnissen und Dateien eingesetzt werden kann. Es ist in Microsoft Windows 2000 (alle Server- und Professional-Versionen), XP (nur Professional), Server 2003 und 2003 R2, Windows Vista (Business, Ultimate) und Windows 7 integriert. Seit Vista existiert zusätzlich das Programm BitLocker von Microsoft, welches ausschließlich in bestimmten Editionen von Windows Vista und Windows 7 sowie Windows Server 2008 integriert ist. Während EFS auf Ebene einzelner Benutzer verschlüsselt und nicht dafür geeignet ist, das Betriebssystem selbst zu verschlüsseln, ist BitLocker unabhängig vom jeweiligen Benutzer auch in der Lage, das Betriebssystem selbst zu verschlüsseln, hierbei wird entweder ein Schlüssel in einem TPM-Chip oder ein externer Schlüssel in Form eines USB-Speichers verwendet.

Unter Linux sind Loop-AES und dm-crypt weit verbreitet, Mac OS X bringt FileVault mit.

Auch für andere Betriebssysteme (wie beispielsweise OS/2) existieren Programme zur Festplattenverschlüsselung.

Auch gibt es mehrere, teilweise auch interoperable Lösungen für ein transparentes Verschlüsseln von virtuellen Laufwerken auf Basis von Containerdateien für eine Verschlüsselung von Nichtsystempartitionen oder für eine dateiweise transparente Verschlüsselung innerhalb eines Betriebssystems.

Neben diesen Verschlüsselungsprogrammen existieren auch einige, die eine betriebssystemübergreifende Nutzung ermöglichen und freie Software sind. So ermöglichen es CrossCrypt und FreeOTFE, verschlüsselte Linuxpartitionen unter Windows zu nutzen. TrueCrypt nutzt eine eigene Methode, die unter Linux, Windows und Mac OS X unterstützt wird. DiskCryptor ist eine weitere freie Software, die sich auf das Windows-Betriebssystem beschränkt.

Verschiedene Zusatzsoftware bietet über die Einbindung von Gerätetreibern die Möglichkeit Daten zu verschlüsseln. Für den Anwender ist der Einsatz der Verschlüsselung transparent, wenn ein Single Sign-on verwendet wird.

Weitere proprietäre Programme sind

  • PGP Whole Disk Encryption von PGP Corporation bietet neben der Verschlüsselung beliebiger Partitionen unter Windows auch eine Verschlüsselung von Festplatten unter Mac OS X an, dort seit der Version 9.9 auch einschließlich der Systemfestplatte.[5] Zwischen beiden Betriebssystemen können verschlüsselte Wechseldatenträger ausgetauscht werden.
  • SafeGuard Easy und SafeGuard Enterprise sind proprietäre Softwareprodukte zur partitionsweisen Verschlüsselung von Festplatten, Disketten und Wechseldatenträgern.
  • SafeBoot Device Encryption von SafeBoot bietet ebenfalls eine proprietäre Festplattenverschlüsselung unter Windows, richtet sich aber gegenüber SafeGuard Easy noch deutlich stärker an zentral administrierte Netzwerke.
  • BestCrypt Volume Encryption von Jetico bietet eine zu SafeGuard Easy vergleichbare Funktionsweise allerdings bei geringerem Funktionsumfang.
  • Pointsec for PC bzw. Pointsec for Linux von Checkpoint ermöglicht eine Komplettverschlüsselung der Festplatte für Windows und Linux.
  • DriveCrypt Plus Pack von SecurStar kann ebenfalls unter Windows Festplatten partitionsweise verschlüsseln.
  • Encrypt Disc for BitLocker von IDpendant bietet die PreBoot-Authentisierung für Microsoft BitLocker, Volle Smartcard und Token Unterstützung
  • Free CompuSec von CE-Infosys verschlüsselt stets die gesamte Festplatte, ist kostenlos verfügbar und unterstützt neben Windows auch einige wenige Versionen von Suse (Linux) und Redhat (Linux) als Betriebssystem.
  • FinallySecure[6] von der Secude AG. Secude hat als erster Anbieter eine hybride Festplattenverschlüsselung der vierten Generation angeboten, die sowohl Hardware- wie Software-basiert arbeitet. Dabei wird starke Authentifizierung (z. B. mit Smartcards) und Pre-Boot-Authentifizierung unterstützt.
  • DriveLock[7] von CenterTools. DriveLock bietet ein zentrales Management und ist in das Microsoft Active Directory integriert und deshalb rasch zu implementieren. Auch eine starke Authentifizierung (RSA Token, SmartCard) und Pre-Boot Authentifizierung mit Single Sign-on ist dabei.
  • SecureDoc von WinMagic. SecureDoc™ - Full-Disk Encryption ist kompatibel mit Microsoft Windows 7, Vista, XP und 2000 sowie MacOS als auch Linux.[8] Darüber hinaus bietet SecureDoc mit PBConnex eine Netzwerkanbindung bereits in der Pre-Boot-Phase.

Nachteile[Bearbeiten]

Eine verschlüsselte Festplatte oder Partition erfordert bei jedem Lesevorgang eine Entschlüsselung. Bei kleinen, oft genutzten Dateien, welche im Arbeitsspeicher vorgehalten werden, ist das kein Problem, bei größeren Dateien können allerdings Performanceeinbußen von bis zu 50 % die Folge sein.[9]

Bei neueren Prozessoren mit AES-NI-Erweiterung tritt dieses Problem nicht mehr auf, sodass selbst SSD-Festplatten dadurch voll ausgelastet werden können.

Hardware[Bearbeiten]

Die Verschlüsselung nach den verschiedenen Verschlüsselungsverfahren (XOR, AES & Co) können auch durch Verschlüsselungsmodule vorgenommen werden. Diese kommen in externen Speichermedien (USB-Sticks, USB-Festplatten) zum Einsatz. Die Hardware muss hier entsprechend mit einem Verschlüsselungsmodul ausgestattet sein. Mit einem aktuellen Hochleistungsmodul lassen sich die Daten (z. B. 256-Bit-AES) nahezu in Echtzeit verschlüsseln. Performanceeinbußen sind bei Top-Modellen kaum zu spüren. Die hardwarebasierte Verschlüsselung erhöht zugleich die Sicherheit.

Weblinks[Bearbeiten]

Quellen[Bearbeiten]

  1. BSI – Technische Richtlinie, Kryptographische Verfahren: Empfehlungen und Schlüssellängen, BSI TR-02102, Version 2013.02, 9. Januar 2013, Seite 19
  2. Passwortklau durch gekühlten Speicher heise online, 22. Februar 2008.
  3. Eine lange Liste falscher Annahmen bei Technology Review
  4. Bootkit hebelt Festplattenverschlüsselung aus, heise online, 30. Juli 2009.
  5. PGP Whole Disk Encryption für Mac OS X mit Pre-Boot-Authentifizierung. Pressemitteilung des Herstellers PGP Corporation vom 9. Juni 2008.
  6. FinallySecure
  7. CenterTools DriveLock
  8. SecureDoc Full Disk Encryption
  9. Christiane Rütten: Lahmgesichert? - Performance-Einbußen durch Festplattenverschlüsselung. In: c't 25/08, S. 214–216.