Kryptering av all data

[Paddy1]

Hei,

 

Jeg reiser endel, og har med meg den bærbare datamaskinen over alt. Mye av reisingen er i forbindelse med jobb. Tanken som skremmer meg stadig vekk, er at noen på en eller annen måte skal få tak i data fra min maskin, og deretter informasjon om mine kunder.

 

Finnes det noen form for krypteringsprogram som kan hjelpe meg her? At jeg f.eks må skrive inn passord når jeg startet maskinen (på samme måte som windows login) men at alt er låst og kryptert, inntil at dette passordet er skrevet?

 

Bruker Windows 8.

Jeg ønsker å kunne kryptere alt, ikke bare en enkel mappe f.eks.

 

Dette trenger ikke være gratis alternativ.

[Zimon]

Første som faller meg inn er http://www.truecrypt.org/

 

Gratis program som er annerkjent og punkt 3 nedenfor, så står det at den kan kryptere windows partisjon med pre boot autentisering.

 

 

Main features:
Creates a virtual encrypted disk within a file and mounts it as a real disk.

Encrypts an entire partition or storage device such as USB flash drive or hard drive.

Encrypts a partition or drive where Windows is installed (pre-boot authentication).

Encryption is automatic, real-time (on-the-fly) and transparent.

Parallelization and pipelining allow data to be read and written as fast as if the drive was not encrypted.

Encryption can be hardware-accelerated on modern processors.

Provides plausible deniability, in case an adversary forces you to reveal the password:

Hidden volume (steganography) and hidden operating system.

More information about the features of TrueCrypt may be found in the documentation.

[myhken]

Har brukt TrueCrypt på mine bærbare i flere år nå, sikkert kanskje 10 år. Greieste er bare å kryptere hele disken, da må du skrive inn ett passord rett etter oppstart, og uten det får ingen ut noe som helst.

Og det er gratis.

[fenele]

Det beste er å kryptere en bærbar disk eller USB stick hvis du ikke har filer på flere TB. Da kan du ta med deg den overalt. Hvis du legger igjen maskina noen plasser, eks på hotellrom og noen har fysisk tilgang(eks hotellansatte) kan de gjøre mye selv om du har kryptert disk. F.eks mirror den krypterte disken og innstallere en malicious bootloader som keylogger passordet ditt, skrur opp maskina m.m. Så klart bør du også kryptere maskina di men jeg ville brukt en bærbar disk/stick for å lagre data. Du kan bruke litt neglelakk på alle skruene på maskina så er det lett å se om noen har skrudd den opp.

For kryptering av maskina/bærbare enheter ville jeg brukt DiskCryptor.

Legg bootloader på en USB stick eller CD. Da må man ha den for å boote systemet. Passord bør være minst 25 tegn.

[myhken]

Nå er det vel litt forskjell på om en bare vil kryptere disken så "normale" kjeltringer ikke får ut dataene om de skulle få tak i pcen, og om du er James Bond og har statshemmeligheter på pcen.

 

Når du begynner å snakke om å speile disken og installere bootloadere osv, så skjer jo ikke det med oss vanlige folk. Utrolig mye noen skulle gjøre om de ville forfølge meg til hotellet mens jeg er på reise, speile disken, installere bootloader, legge alt tilbake, så vente til jeg har startet opp pcen (og siden det kun er en bootloader, og ikke de ikke får installert noe i Windows, så blir ingen ting sendt over internett) så de må så komme tilbake en annen gang, som pcen er ubevoktet, for å lese av dataene, for å så dekryptere disken, for å så hente ut dataene...(blir jo helt sliten av bare å skrive dette)

 

Nei, TrueCrypt med komplett diskkryptering fungerer perfekt til det trådstarter spør om. (og for 99% av alle andre)

Endret 4. januar 2014 av myhken

[fenele]

Nå er det vel litt forskjell på om en bare vil kryptere disken så "normale" kjeltringer ikke får ut dataene om de skulle få tak i pcen, og om du er James Bond og har statshemmeligheter på pcen.

 

Når du begynner å snakke om å speile disken og installere bootloadere osv, så skjer jo ikke det med oss vanlige folk. Utrolig mye noen skulle gjøre om de ville forfølge meg til hotellet mens jeg er på reise, speile disken, installere bootloader, legge alt tilbake, så vente til jeg har startet opp pcen (og siden det kun er en bootloader, og ikke de ikke får installert noe i Windows, så blir ingen ting sendt over internett) så de må så komme tilbake en annen gang, som pcen er ubevoktet, for å lese av dataene, for å så dekryptere disken, for å så hente ut dataene...(blir jo helt sliten av bare å skrive dette)

 

Nei, TrueCrypt med komplett diskkryptering fungerer perfekt til det trådstarter spør om. (og for 99% av alle andre)

Feil. Det å speile en disk og innstallere en bootloader er ganske lett og raskt gjort. For det andre har også "normale kjeltringer" mer teknisk kompetanse enn du tror. For det tredje ligger hardware/firmware keyloggers et nivå over Windows og kan logge det du gjør når du har logget inn. Et scenario er at man speiler disken, legger inn bootloader og venter til personen kommer tilbake til rommet og logger inn. Dagen etter kommer personen tilbake og henter ut passordet(hvis de ikke har lagt inn rootkits, da kan det sendes over internett). De trenger ikke å dekryptere disken der når de allerede har en speilet kopi.

 

 

Hvorfor ikke ta noen ekstra steg som tar minimalt med tid for å få denne sikkerheten? Men hey, det er ikke mine kundedata som blir stjålet.

Endret 4. januar 2014 av fenele

[stigfjel]

Hvis du skal ha en ny laptop, kjøp en bedriftslaptop. Jeg har en som støtter hw diskkryptering, pluss at den har flere andre sikkerhetsfunksjoner og mulighet for sporing hvis den blir stjålet. Det har de fleste bedriftsbærbare i det dyrere segmentet, både hw diskkryptering og TPM-brikke. For å starte den må jeg taste inn passord. Hvis jeg tar ut disken og setter den inn i en annen maskin fremstår disken som tom, dataene blir uleselige. Det fine med hw-basert diskkryptering er at det er OS-uavhengig. Billigere forbrukerlaptoper har ikke denne funksjonaliteten.

[myhken]

Hardwarekryptering er nok det beste ja. Men akkurat det med at disken fremstår som tom om du setter den i en annen pc (eller f.eks setter inn en ekstra disk i den aktuelle pcen og starter fra den) så fremstår også disker kryptert med TrueCrypt som helt tomme.

 

Til fenele: Vet ikke om du kjenner til TrueCrypt, men når man krypterer en hel disk (system disken) så installeres TrueCrypt egen bootloader som gjør slik at man skriver inn passordet pre-boot. Så det er vel i prinsippet ikke mulig å installere noen bootloader på toppen av dette, uten å ha tilgang til systemet, og da må man ha passordet.

 

http://www.truecrypt.org/docs/system-encryption

[stigfjel]

Hardwarekryptering er nok det beste ja. Men akkurat det med at disken fremstår som tom om du setter den i en annen pc (eller f.eks setter inn en ekstra disk i den aktuelle pcen og starter fra den) så fremstår også disker kryptert med TrueCrypt som helt tomme.

http://www.truecrypt.org/docs/system-encryption

Nå har jeg faktisk en maskin jeg kan prøve TrueCrypt på. Men generelt foretrekker jeg hw-løsninger på sånne ting, da slipper jeg å måtte forholde meg til programvare som kanskje kan feile. Selv min gamle laptop fra 2007 støttet hw diskkryptering.

[fenele]

Hardwarekryptering er nok det beste ja. Men akkurat det med at disken fremstår som tom om du setter den i en annen pc (eller f.eks setter inn en ekstra disk i den aktuelle pcen og starter fra den) så fremstår også disker kryptert med TrueCrypt som helt tomme.

 

Til fenele: Vet ikke om du kjenner til TrueCrypt, men når man krypterer en hel disk (system disken) så installeres TrueCrypt egen bootloader som gjør slik at man skriver inn passordet pre-boot. Så det er vel i prinsippet ikke mulig å installere noen bootloader på toppen av dette, uten å ha tilgang til systemet, og da må man ha passordet.

 

http://www.truecrypt.org/docs/system-encryption

 

Det er fullt mulig å overskrive TrueCrypt sin bootloader med annen som oppfører seg på samme måte og dekrypterer disken når man starter maskinen uten at vedkommende vet at den er malicious.

[myhken]

Fortsatt, anser det som veldig lite sannsynlig at det skulle være noe problem for de fleste. Det blir mer en teoretisk ting. Så holder fortsatt på at TrueCrypt vil gjøre nytten for trådstarter.

[Horrorbyte]

Du kan bruke litt neglelakk på alle skruene på maskina så er det lett å se om noen har skrudd den opp.

Hehe, noe sier meg at du har fått det der fra foredraget under CCC, eller f.eks. Wired sin omtale av nevnte foredrag. Det er et smart triks, men det menneskelige øyet er ikke nødvendigvis nok. De tok vel opp at du kunne ta bilde med mobiltelefonen etter påføring, og så ta et nytt bilde før hver gang du skal bruke maskinen - og så bruke programvare til å sammenligne bildene.

 

Sånn litt mer on topic: det med falsk bootloader er langt fra utenkelig, men hvor mye man skal bry seg med det kommer helt an på hvem man skal beskytte seg mot. En tyv vil i utgangspunktet trolig bry seg mer om selve enheten, og kanskje se på dataene som en bonus. Er dataene kryptert, så er det ikke noe å bry seg med. Et målrettet angrep som et ledd av industrispionasje derimot, men selskaper som trenger å bekymre seg over slikt vil forhåpentligvis hente inn profesjonell kompetanse for å sikre seg bedre.

[hensen007]

Mener du at du vil kryptere alle filene? Det er ingen programvare kan beskytte hver av filen med passord uavhengig. All kryptering programvare beskytte innhold som en beholder.
Du kan ønsker å se denne artikkelen: http://www.squidoo.com/how-to-completely-protect-your-usb og http://www.wikihow.com/Protect-Folder-in-Windows-7 -Fritt

[Reconzile]

Går det ikkje an å ha ein kryptering der det er passord på alle mappene og så sette opp eit system der passordet er namnet på mappen i tallform og berre bytte ut andre bokstav med siste eller noko slik? Noko som omtrent ingen kan gjette seg fram til, og om dei finner ein nøkkel er det tvilsomt dei skjønner systemet og klarer å finne resten/ komme inn på andre filer kontra det å ha ein nøkkel

[Horrorbyte]

Går det ikkje an å ha ein kryptering der det er passord på alle mappene og så sette opp eit system der passordet er namnet på mappen i tallform og berre bytte ut andre bokstav med siste eller noko slik? Noko som omtrent ingen kan gjette seg fram til, og om dei finner ein nøkkel er det tvilsomt dei skjønner systemet og klarer å finne resten/ komme inn på andre filer kontra det å ha ein nøkkel

Jeg ser poenget ditt, men det høres ut som et opplegg som vil føre til forferdelig mye bortkastet tid uten at det hever sikkerhetsnivået noe særlig, om noe i det hele tatt, kontra å bruke større kontainere og/eller kryptere hele disken. Og om du velger et passord som kun består av tall gjør du jobben enkel for de som eventuelt skulle ha interesse av å få tilgang.

 

 

All kryptering programvare beskytte innhold som en beholder.

Data krypteres rent teknisk enten som en strøm av data eller som blokker av data. Altså enten bit for bit (strøm) eller som en samling av flere bit (blokker).

Endret 7. januar 2014 av Horrorbyte

[fenele]

Hehe, noe sier meg at du har fått det der fra foredraget under CCC, eller f.eks. Wired sin omtale av nevnte foredrag. Det er et smart triks, men det menneskelige øyet er ikke nødvendigvis nok. De tok vel opp at du kunne ta bilde med mobiltelefonen etter påføring, og så ta et nytt bilde før hver gang du skal bruke maskinen - og så bruke programvare til å sammenligne bildene.

 

Sånn litt mer on topic: det med falsk bootloader er langt fra utenkelig, men hvor mye man skal bry seg med det kommer helt an på hvem man skal beskytte seg mot. En tyv vil i utgangspunktet trolig bry seg mer om selve enheten, og kanskje se på dataene som en bonus. Er dataene kryptert, så er det ikke noe å bry seg med. Et målrettet angrep som et ledd av industrispionasje derimot, men selskaper som trenger å bekymre seg over slikt vil forhåpentligvis hente inn profesjonell kompetanse for å sikre seg bedre.

Seals og neglelakktrikset er blitt brukt lenge men jeg har sett foredragene fra CCC ja. De nevnte at man måtte ta bilde med mobilen fra samme vinkel, f.eks å legge den på kanten av et bord og ha samme lys i rommet når man tar bildene(trekke for gardinene). Man må fremdeles være trent på hva man skal se etter som skruer som har endret grad osv.

 

Over til bootloader igjen: det spørs litt hvilken bransje man er i og hvor man reiser så klart. Men hvorfor ikke legge den på en USB stick man har på nøkkelhanka, det tar ikke lang tid å fikse.

 

Går det ikkje an å ha ein kryptering der det er passord på alle mappene og så sette opp eit system der passordet er namnet på mappen i tallform og berre bytte ut andre bokstav med siste eller noko slik? Noko som omtrent ingen kan gjette seg fram til, og om dei finner ein nøkkel er det tvilsomt dei skjønner systemet og klarer å finne resten/ komme inn på andre filer kontra det å ha ein nøkkel

Det er bedre å lage krypterte containers med TrueCrypt eller lignende programmer da. Eller så kan man kryptere enkeltfiler(spesielt sensitive) med GPG. Detter er også den beste måten hvis man skal sende filer.