15.12.2018 | 21:21 Uhr
 
Kommentare (2)      print
Verschlüsselung von Daten(trägern) mit TrueCrypt/äquivalent zu VeraCrypt
                                     
“PRIVACY IS NOT A CRIME”

9.1 Verschlüsselung eines versteckten Betriebssystems

Warum sollten Sie das tun? Haben Sie Ihr Betriebssystems-Partition vollverschlüsselt (siehe Kapitel 9.), könnten Sie u.U. gezwungen werden (Bedrohung, Beugehaft etc.), Ihr Pre-Boot-Authentication-Passwort herausgeben, mit welchem dann über den TrueCrypt-Pre-Boot-Loader das verschlüsselte Betriebssystem gestartet werden könnte. Ab Version 6.0 bietet TrueCrypt für diesen Fall die Möglichkeit eines (zusätzlichen) versteckten Betriebssystems (Win 7/Vista/XP), dessen Existenz nicht nachweisbar und auch nicht vermutbar ist, sofern Sie einige Tipps (siehe folgend) beherzigen.

Das spätere Alibi/Köder-Betriebssystem sollte lediglich vermeintlich sensible Daten enthalten bzw. zum normalen Betrieb verwendet werden und keine schützenswerten Spuren hinterlassen. Dieses Köder-Betriebssystem sollte auch regelmässig gestartet und damit gearbeitet werden, weil ansonsten die glaubhafte Bestreitbarkeit (plausible deniability) des versteckten Betriebssystems leidet. Ein Ermittler/Fahnder/Angreifer könnte vermuten, dass ein verstecktes Betriebssystem vorhanden ist (wenngleich er es nicht beweisen kann), wenn das preisgegebene Alibi-Betriebssystem nie oder nur wenig verwendet wurde.

Bevor Sie jetzt weiterlesen, sollten Sie sich dem vorherigen Kapitel “Arbeitsweisen von TrueCrypt bzgl. versteckter Volume” vertraut machen und verstanden haben, was ein TrueCrypt-Volume, im besonderen ein verstecktes Volume, ist. Ferner sollten Sie sich mit der Installation Ihres Windows-Betriebssystems (das Alibi-System muss später neu aufgesetzt werden) und der Bildung von Partitionen auskennen.


9.1.1 Hintergründe/Architektur:

Das versteckte Betriebssystem wird bei Erstellung (nur zu Anfang) eine exakte Kopie des aktuell verwendeten unverschlüsselten Betriebssystems sein, indem es in ein verstecktes Volume (Grösse=Systempartition) innerhalb eines normalen TrueCrypt-(Outer-)Volume auf einer eigenen Partition, die der Systempartiton unmittelbar folgen muss, kopiert wird. Das versteckte Betriebssystem wird bei diesem Vorgang mit einem eigenem Encyption-Key on the fly verschlüsselt und erhält ein eigenes Pre-Boot-Authentication-Passwort, d.h. dieses muss different zu dem des späteren Alibi-Betriebssystems und möglichst sicher sein sowie geheim bleiben. Mit der Eingabe des entsprechenden Passworts erkennt der TrueCrypt-Bootloader, welches Betriebssystem er starten soll.

 

Beispiel-Layout verstecktes Betriebssystem

Bei erzwungener Herausgabe* des Passworts für die offensichtlich vorhandene Vollverschlüsselung des Systems (ein Angreifer erkennt dies sofort am vorhandenen Pre-Boot-Loader), wird natürlich das Kennwort für das Alibisystem angegeben. Nun sieht der Ermittler jedoch, dass eine zweite verschlüsselte Partition vorhanden ist und erzwingt erneut die Herausgabe* des Passworts hierfür. Jetzt kommt das Passwort Nr. 3 zum Einsatz: Mit diesem wird das Outer-Volume mit den weiteren Alibi-Dateien gemountet/eingebunden (z.B. vom Alibi-System aus), während das enthaltene versteckte Volume mit dem geheimen Betriebssystem nicht ersichtlich und nachweisbar ist.

*Selbstverständlich sollte der kluge TrueCrypt-Anwender auch mit der Herausgabe der Alibi-Passwörter geizen, damit die Sache realistisch bleibt. Für einen Angreifer/Ermittler/Fahnder soll es ja so aussehen, als wenn man das Geheimste preis gibt.


 

Partition 2 mit verstecktem Betriebssystem näher betrachtet

Sichtweise bei Einbinden/Mount des äusseren (Outer-)Volume:

 

Verstecktes Volume: Sicht des Fahnders

Für einen ”erfolgreichen” Ermittler böte sich dieses Bild:

  • Sie unterhalten als sicherheitsbewusster Anwender ein vollverschlüsseltes Betriebssystem (das Alibi-Betriebssystem auf Partition 1 :-)

    Hinweis: Die Glaubhaftigkeit, dass es sich um das einzige und “echte” Betriebssystem handelt, steht und fällt (wie oben schon erwähnt) mit der Häufigkeit der Benutzung!

  • Sie haben als sicherheitsbewusster Anwender die Daten vom Betriebssystem wie üblich in einer eigenen Partition getrennt und zudem ebenso zum Schutz in einem normalen TrueCrypt-Volume verschlüsselt (Alibi-Dateien im Outer-Volume auf Partition 2 :-)

    Hinweis: Um auch bzgl. der Alibi-Dateien, die sich im Outer-Volume auf Partition 2 befinden, glaubhaft zu machen, dass dieses die “echten”, schützenswerten Daten sind, sollte mit diesem Container unbedingt regelmässig gearbeitet werden. Dabei ist beim
    Mounten darauf zu achten, dass die Überschreibschutz-Option für das versteckte Volume aktiviert ist, weil dieses ansonsten beschädigt wird, wenn der (nur intern freie) Speicherplatz (siehe obige Grafik zu Partition 2) ausgereizt wurde.

Fazit:
Alle freuen sich; der Ermittler, weil er sich (aus seiner Sicht erfolgreich) Zutritt zu den verschlüsselten - vermeintlich sensiblen - Daten verschafft hat und der TrueCrypt-Anwender, weil das Vorhandensein der wirklich schützenswerten Daten und Spuren erfolgreich verheimlicht werden konnte. Denn die Existenz eines versteckten Betriebssystems (versteckten Volume) ist für den Ermittler/Angreifer verschleiert und absolut unmöglich nachzuweisen, auch nicht bei Öffnung des äusseren (Outer-)Volume , da es sich inkl. seines Header im freien Speicher desselbigen befindet, perfekt! Siehe zur näheren Erläuterung
obige Grafiken.


9.1.2 Vorgehensweise bei der Erstellung eines versteckten, verschlüsselten Betriebssystems:

a. Zuerst muss für das versteckte Betriebssystem Platz geschaffen werden, indem eine weitere Partition (im folgenden Beispiel mit D: bezeichnet), die sich auf dem Systemdatenträger (System-Festplatte) und direkt hinter der Systempartition (im folgenden Beispiel mit C: bezeichnet) befinden muss (!), gebildet wird. Windows 7 und Vista haben ein Partitionier-Feature mit an Bord (siehe Datenträgerverwaltung: Partition verkleinern, anschliessend Bildung neue Partition mit freiem, ungenutzten Speicher), für WinXP muss Zusatzsoftware (wie z.B. PartitionMagic) bemüht werden.

Die Grösse der neu zu bildenden Partition muss mind. 5 % (bei Formatierung mit NTFS sogar 110 % = 1,1-fache) grösser als die Systempartition sein bzw. so ausreichend bemessen sein, dass das Betriebssystem 1:1 geklont werden kann sowie zusätzlich genügend Speicherplatz für die (Alibi-)Dateien im Outer-Volume vorhanden ist.

b. Starten Sie TrueCrypt und wählen Sie System --> “Verstecktes Betriebssystem erstellen..” (Create Hidden Operating System...):

Verstecktes Betriebssystem erstellen

Der Wizard prüft nun, ob die Voraussetzungen zur Erstellung eines versteckten Betriebssystems gegeben sind, sprich ob Punkt a. erledigt wurde. Wenn ja, wird im folgenden das TrueCrypt-Outer-Volume (inkl. verstecktem Volume) auf der neuen Partition D: (direkt hinter der Systempartition) erstellt. Die Grösse des versteckten Volume entspricht dabei exakt derer der Systempartition; was übrig bleibt, ergibt den freien Speicherplatz für das Outer-Volume.

c. Im weiteren Verlauf müssen Sie nun vorerst zwei Passworte festlegen:
Zum einen ein Passwort für das vollverschlüsselte Outer-Volume (welche das spätere versteckte Betriebssystem in seinem Freispeicher versteckt hält) zum späteren
Einbinden desselbigen mit dem Alibi-Betriebssystem. Zum anderen ein Pre-Boot-Authentication-Passwort für das versteckte Betriebssystem, damit der Pre-Boot-Loader später erkennt, welches Betriebssystem er starten soll (das Passwort für das Alibisystem wird später erstellt, siehe Punkt).

d. Anschliessend kopiert/klont TrueCrypt die aktuelle (unverschlüsselte) Systempartition in das versteckte Volume der weiteren Partition (Freispeicher des Outer-Volume) in der Pre-Boot-Umgebung, d.h. bevor Windows gestartet wurde. Währenddessen werden die Daten mit eigenem Encryption-Key on the fly verschlüsselt. Der Vorgang kann, abhängig von der Grösse der Systempartition, der Performance des verwendeten Computers und des gewählten Verschlüsselungs-Algorithmus (vor allem bei Kaskadierung), sehr lange dauern, d.h. von ein paar Stunden bis zu ein paar Tagen (Alternative: Erstellung herkömmliches verstecktes Volume mit frei wählbarer Grösse von Outer- und Hidden Volume). Der Prozess sollte nicht unterbrochen werden, da er ansonsten wieder von vorne begonnen werden muss (Hintergrund: Da es sich um ein Klon des Systems handelt, darf sich die Systempartition währenddessen nicht verändern).

Nach dem Klonen, löscht Truecrypt das unverschlüsselte Original-Betriebssystem (alle Daten) sicher auf der ersten Partition!

Nach Beendigung des gesamten Vorgangs, startet nun zuerst das neu gebildete versteckte System (entsprechendes Passwort wie unter Punkt c. vergeben, nach Aufforderung, eingeben).

e. Jetzt muss in der ersten Partition (C:), dessen Inhalt von TrueCrypt gelöscht wurde, ein Windows-Alibisystem installiert werden. Haben Sie Ihr Originalsystem zuvor per Image gesichert (z.B. mittels Acronis True Image, Norton-Ghost oder ähnlicher Software), können Sie dies einfach wieder auf C: (Partition 1) rücksichern ansonsten ist eine Neuinstallation erforderlich. Nach der Installation oder Rücksicherung des Alibi-Systems, ist es vorläufig NICHT möglich das versteckte Betriebssystem zu starten (Ruhe bewahren, siehe Punkt f.), weil der Pre-Boot-Loader vom Windows-Installationsprogramm überschrieben (gelöscht) wurde.

f. Starten Sie nun das zuletzt installierte Alibi-Betriebssystem und installieren dort TrueCrypt. Abschliessend stossen Sie die Vollverschlüsselung des Alibi-Systems an (System --> Systempartition/Laufwerk verschlüsseln...) und verfahren wie in Punkt Vollverschlüsselung einer Systempartition beschrieben. Dabei wird der TrueCrypt-Pre-Boot-Loader erneut installiert und es kann deshalb auch wieder das versteckte Betriebssystem gestartet werden :-)

Verwenden Sie dabei unbedingt den gleichen VERSCHLÜSSELUNGS- und HASH-ALGORITHMUS, der auch für das versteckte System gewählt wurde. Ansonsten kann das versteckte Betriebssystem nicht gestartet werden, da sich beide Systeme denselben Bootloader teilen, der aber wiederum nur für einen Algorithmus steht (denn für jeden Algorithmus gibt es eine eigene Version des TrueCrypt Bootloaders).

Es kann während des Verschlüsselungsprozesses des Alibi-System wie gewohnt gearbeitet werden. Der Prozess kann auch jederzeit unterbrochen werden (z.B. Herunterfahren); TrueCrypt wird beim Start des Alibi-Systems dort weiter machen, wo es zuletzt aufgehört hat.

g. Nach Fertigstellung aller Arbeitsgänge und Neustart, entscheidet allein die Eingabe des individuellen Passworts im Pre-Boot-Loader darüber, welches Betriebssystem (Alibi- oder verstecktes System) gestartet wird. Anfänglich handelt es sich beim versteckten Betriebssystem um einen Klon des ursprünglichen Systems (dies verändert sich natürlich ab diesem Zeitpunkt). Sie sollten das Alibi-System und das Outer-Volume (siehe nächsten Punkt e.) fortan für Ihre “normale” Arbeit verwenden; das versteckte Betriebssystem hingegen für die Speicherung von sensiblen Daten und Verschleierung von Datenspuren (Systemlogs, lokale Internetspuren, Dateifragmente im Freispeicher...).

h. Das Outer-Volume sollte regelmässig über das Alibi-System eingebunden werden*, um in diesem entsprechende Alibi-Dateien zu speichern bzw. um regelmässig damit zu arbeiten. Siehe dazu obigen Hinweis zur glaubhaften Darlegung eines Arbeitsverzeichnisses bzw. zur glaubhaften Bestreitbarkeit weiterer verschlüsselter Daten (nämlich das versteckte Betriebssystem betreffend).

*siehe unbedingt die Anmerkung zum Einbinden äusserer (Outer-)Volume

Anmerkungen:

  • Text zum Pre-Boot-Loader können ausgeblendet werden, siehe Screenshot mit TEXT:

  • Man könnte- um die Verwirrung komplett zu machen - noch einen “drauf” setzen und in das versteckte Betriebssystem weitere versteckte Volumes “einbauen” oder innerhalb des versteckten Betriebssystems virtuelle Maschinen aufsetzen (z.B. um diese jederzeit zurücksetzen zu können --> Verhinderung Infiltrierung/Virus&Co.). Der Phantasie und Kreativität sind keine Grenzen gesetzt, so lange Sie selbst den Überblick behalten...:-)



Zum nächsten Kapitel oder über Inhaltsverzeichnis wählen:
Kommentare (2) zu dieser Seite