|
|
 |
|
| |
 Verschlüsselung von Daten(trägern) mit TrueCrypt/äquivalent zu VeraCrypt 
“PRIVACY IS NOT A CRIME”
6. TrueCrypt/VeraCrypt Traveller Disk erstellen
Um TrueCrypt beispielsweise auf einen USB-Stick zu bekommen, d.h. von dort portabel ausführen zu können, um die, auf dem USB-Stick oder anderen Datenträger gespeicherten Daten, welche wiederum in einem TrueCrypt-Volume gespeichert/verschlüsselt und geschützt sind, auch von jedem Computer unterwegs öffnen zu können, rufen Sie im Programm den Menüpunkt “Extras/Traveller Disk erstellen” auf und geben Sie im erscheinenden Fenster den Pfad* zum USB-Stick an und belassen die Autostart-Konfiguration auf “Keine Aktion”. Bestätigen Sie mit “Erstellen”.
*Sie können jedes beliebige Verzeichnis wählen und den Ordner “TrueCrypt” dann vor dort auf den USB-Stick oder anderen Datenträger (z.B. CD/DVD) verschieben oder kopieren.
Anmerkungen:
- Sie können TrueCrypt(.exe) auf Ihrem USB-Stick unter dem Ordner “TrueCrypt” finden und von dort auf einem beliebigem Windows-Rechner starten. Verschlüsselte Daten legen Sie in einem normalen Volume (Container) mit evtl. beinhaltendem versteckten Volume auf dem USB-Stick ins Stammverzeichnis oder Unterverzeichnis Ihrer Wahl ab und verfahren wie obig beschrieben, um die Daten auf dem jeweiligen Rechner einzubinden.
- Auch ist es so für IT-Nomaden möglich, ein komplettes Betriebssystem wie z.B. “Knoppix” oder Anwendungen über die “PortableApps-Suite” von einem USB-Stick aus entschlüsselt zu starten (man hat seinen ganzen Kram dabei und der Rechner sieht aus wie zuhause). Alle Daten werden auf dem USB-Stick verarbeitet (bis auf den RAM, Rechner durchstarten!). Nach Trennung, liegen die (aktualisierten) Dateien einschl. der Betriebssystem- und Anwendungsdaten wieder sicher verschlüsselt auf dem USB-Stick :-) Isn´t it great ?
- Auf einem Fremdrechner werden zwar mit den empfohlenen Optionen alle Daten (eben bis auf den RAM) mit dem Trennen des Volume gelöscht. Aber um den Arbeitsspeicher (RAM) auch zu löschen, sollte der Rechner neu gestartet werden. Alle Spuren sind jetzt vernichtet und Ihre Daten liegen wieder sicher verschlüsselt auf Ihrem USB-Stick :-) It´s great!
Wenngleich TrueCrypt rein gar nichts auf der Festplatte hinterlässt, kann es Sie nicht vor möglichen Memory-Dumps (Protokoll des Arbeitsspeichers) schützen, die der Eigner oder Administrator des verwendeten Rechners u.U. veranlasst hat. Auch nicht vor Verlaufsspeichern (Dateinamen) des verwendeten Betriebssystems, installierter Überwachungs-Software oder Viren & Co. (z.B. Speicherung von Tastatureingaben), die sich auf einem Fremdrechner befinden können. Deshalb sollte man sich schon sehr sicher sein, wo man Daten ver- oder entschüsselt.
- Wenn Sie keine Rückschlüsse auf die Existenz verschlüsselter Daten auf Ihren Computer-Festplatten aufkommen lassen möchten, deinstallieren Sie TrueCrypt auf Ihrem Rechner und starten Sie TrueCrypt fortan von Ihrem USB-Stick, um Ihre Container einzubinden.
- Einen USB-Stick komplett zu verschlüsseln (Vollverschlüsselung einer Partition), also nicht im Traveller Disk Modus in Verbindung mit file hosted Volumes zu betreiben, macht nur dann Sinn, wenn immer gewährleistet ist, dass man an ein installiertes TrueCrypt-Programm herankommt. Für den mobilen Einsatz also zu vernachlässigen, es sei den man hat einen zweiten USB-Stick mit einem installierten Traveller-TrueCrypt dabei.
7. TrueCrypt Volume auf CDs und DVDs
Möchten Sie verschlüsselte Container auf einer CD oder DVD speichern, sollten Sie das Volume zuerst auf Ihrer Festplatte erstellen (wie unter 4.1 und 4.2 beschrieben) und anschliessend die entsprechende (Container-)Datei auf CD/DVD brennen. Soll auch das Programm TrueCrypt in ausführbarer Form dabei sein, müssen Sie eine TrueCrypt Traveller Disk erstellen und auf die CD/DVD brennen. Somit können Sie TrueCrypt künftig von dieser CD/DVD aus starten und damit mit jedem beliebigen Windows-Rechner die danebenliegende Container-Datei oder ein auf anderem Medium platziertes TrueCrypt-Volume einbinden/entschlüsseln.
Anmerkungen:
- Da Brennvorgänge aufgrund der unterschiedlichsten Faktoren des öfteren fehl schagen bzw. nicht fehlerfrei ablaufen, ist es möglich, dass das TrueCrypt-Volume auf CD/DVD korrupt ist und sich aus diesem Grund nicht mehr einbinden lässt. Deshalb sollten Sie, bevor Sie die Quellen des Gebrannten löschen, den Volume-Header der Original-Containerdatei (auf der Festplatte) sichern (im Menü zu finden unter Extras) und, ganz wichtig, das gebrannte Volume probeweise einbinden und prüfen, ob alles ok ist. Im positiven Fall sollte noch eine Kopie gezogen und auf einem anderen Medium gespeichert werden (CDs/DVDs können auch kaputt gehen).
- Möchten Sie ein Volume später unter “Windows 2000” von CD/DVD mounten (also nicht zuvor auf Festplatte kopieren), muss es in FAT formatiert sein. Der Grund: W2K kann keine NTFS-Dateisysteme mit nur-Leserechten einbinden (Windows 7/XP/Vista können es).
- Mounten Sie ein Volume direkt von CD/DVD, können Sie aufgrund der fehlenden Schreibrechte keine Veränderungen innerhalb des Volume vornehmen (im Gegensatz zur besseren Wahl des USB-Stick), sondern lediglich die verschlüsselten Inhalte betrachten, öffnen und Dateien aus dem Container herauskopieren (Vorsicht, dies wäre eine dauerhafte Entschlüsselung, sofern nicht in ein anderes verschlüsseltes Volume kopiert wird)
8. Risiken bei Verwendung von TrueCrypt/VeraCrypt-Containern innerhalb des Dateisystems NTFS (Host)
und der Funktion Defragmentieren
Teile oder Fragmente einer TrueCrypt-Container-Datei (file hosted Volume), die unter der Verwendung des Dateissystems NTFS (neigt sehr zum Fragmentieren) eingebunden wurde sowie generell beim Defragmentieren, können im freien Speicher des Host-Systems als Kopie verbleiben. Beispielsweise durch temporäre Dateiverschiebungen bei einer Defragmentierung. Das bedeutet zwar nicht, dass die Datei dadurch entschlüsselt wäre (TrueCrypt speichert nichts ausserhalb seines Containers auf dem Speichermedium) aber der Dateiheader wäre möglicherweise wieder herstellbar, was zu nachfolgender Gefahr führt:
Ändern Sie beispielsweise Ihr Container-Passwort, weil das alte nicht mehr geheim ist, könnte ein Angreifer mittels des wiederhergestellten alten Dateiheaders das Volumen, in Kenntnis des alten und verbrannten Passwort, mounten. Um dies zu vermeiden, sollte man folgendes beachten:
- Um ganz sicher zu gehen bleibt nur die Verwendung eines device-hosted TrueCrypt-Volume (ganze Partition vollverschlüsselt) oder einer verschlüsselten Systempartition (ganze Partition vollverschlüsselt) anstatt eines TrueCrypt-Containers (file-hosted).
Als Alternative böte sich noch die Verwendung eines Containers innerhalb eines isolierten virtuellen Betriebssystems an, welches - nach Bearbeitung und Export des Containers - auf seinen Ursprungszustand zurückgesetzt wird (durch schlichtes Ersetzen der Virtual-Machine-Image-Datei). So sind jegliche Betriebssystemspuren (auch im Freispeicher der virtuellen Maschine) beseitigt.
- Sicheres digital-forensisches Löschen von Freispeicher auf dem verwendeten NTFS-System. Vor allem nach Defragmentierung!. Am besten gar nicht erst Partitionen defragmentieren, in welchen sich verschlüsselte TrueCrypt-Volumes befinden (auch nicht in anderen Dateisystemen formatierte Partitionen) bzw. die Volumes vorher auf eine andere Partition verschieben.
- Einen TrueCrypt-Container (wenn möglich) in einem sog. non-journaling Dateisystem speichern (z.B. FAT, FAT32); da solche nicht so sehr zum Fragmentieren neigen wie NTFS. Man kann eine FAT (32) Partition auch neben einer NTFS-formatierten Systempartition in das System einhängen, sofern man entsprechende Ressourcen hat.
- Beim Betrieb von TrueCrypt auf einem fremden Rechner (z.B. über USB-Stick, siehe Traveller Disk erstellen) sollte, neben anderen Gefahren, auch bei NTFS grösste Vorsicht geboten sein
Zum nächsten Kapitel oder über Inhaltsverzeichnis wählen:
Kommentare (0) zu dieser Seite
Sie können einen neuen Kommentar-Thread beginnen (siehe Button) oder auf einen bestehenden Kommentar antworten (Grafik "antworten" unten links zu einem Kommentar anklicken). In letzterem Fall wird ein "@{name}" (auf wen die Antwort erfolgte) im Kommentar automatisch vorangestellt.
|
|
|
|
