it-swarm.com.de

Vollständige Festplattenverschlüsselung im Vergleich zur Verschlüsselung des Basisordners - warum sollte die erstere der letzteren vorgezogen werden?

Niebezpiecznik.pl, ein beliebter und anerkannter Infosec-Blog in meinem Land, empfiehlt vollständige Festplattenverschlüsselung (Schwerpunkt Original) für alle Menschen (dh "Average Joes"). Sie warnen davor, dass Gerätediebstahl im umgekehrten Szenario katastrophale Folgen haben kann.

Ich bin jedoch interessiert, warum die vollständige Festplattenverschlüsselung und nicht die Verschlüsselung des Basisordners. (Mit Home-Ordner meine ich auch das Windows-Äquivalent, dh C:\Users\username\).

Alle Diebe persönlicher Daten, die für Betrug, Erpressung usw. interessant sein könnten, befinden sich wahrscheinlich im Home-Ordner. Durch den Zugriff auf andere Ordner können Diebe nur die ach so wichtige Liste der installierten Programme erhalten. So werden Diebe erfahren, dass die Person Firefox oder Google Chrome verwendet hat. Libre Office oder Ms Office; Vielleicht erfahren sie auch, dass sich die Person bestimmten Videospielen hingegeben hat. Andere Programme, die wahrscheinlich installiert werden (Photoshop bei Grafikdesignern, Programmieren von IDEs bei Programmierern usw.), geben ihnen ebenso nutzlose Informationen.

Selbst unter Windows wird der Schreibzugriff auf schlecht geschriebene Programme, die Benutzerdaten in Programmdateien speichern würden, seit Vista oder 7 (ich erinnere mich nicht) stillschweigend an den virtuellen Speicher umgeleitet (der sich in C:\Users\username\ Befindet). Daher sehe ich nicht, wie persönliche Informationen außerhalb des Home-Ordners verloren gehen können.

Die Seite, auf die ich verlinkt habe, bietet keine Begründung für die vollständige Festplattenverschlüsselung im Gegensatz zur Verschlüsselung des Basisordners. Darf ich daher fragen, ob dies die allgemeine Empfehlung ist und warum (nicht)? Welche Bedrohungen können durch eine vollständige Festplattenverschlüsselung gemindert werden, die durch die Verschlüsselung von Heimordnern nicht gemindert werden kann? (Evil Maid ist eine dieser Bedrohungen, aber ich bin mir nicht sicher, ob ein durchschnittlicher Joe sich darüber Sorgen machen müsste.)

9
gaazkam

Ich empfehle überall die vollständige Festplattenverschlüsselung. Die Verschlüsselung von Home-Ordnern wird viel abdecken, aber es fehlen einige Punkte:

  • Daten außerhalb von zu Hause

    Einige Programme schreiben Dinge auf /tmp, Protokolldateien gehen zu /var/log, Swap enthält vertrauliche Daten. Diese Verzeichnisse befinden sich außerhalb Ihres Hauses und werden nicht geschützt.

  • Manipulationsschutz

    Ich denke das ist das Wichtigste. Wenn Ihr Computer aus irgendeinem Grund ausfällt und Sie ihn zur Reparatur schicken müssen, ist Ihr Zuhause geschützt, Ihr System nicht. Es ist trivial, Binärdateien zu ersetzen oder Hintertüren einzurichten.

  • Schützen Sie das Anmeldekennwort, die WLAN-Kennwörter und die Datenbanken

    Der gleiche Support-Techniker kann /etc/shadow, Alle Daten von NetworkManager, alles auf /var/lib/mysql Usw. kopieren. Bei vollständiger Festplattenverschlüsselung kann nichts kopiert werden.

12
ThoriumBR

Weil Daten leicht außerhalb Ihres Home-Verzeichnisses landen können. Die zwei häufigsten Dinge, die mir in den Sinn kommen, sind:

  • Temporäre Dateien: Viele Programme erstellen temporäre Dateien in einem temporären Systemverzeichnis. Diese können zum Extrahieren eines Archivs, zum automatischen Speichern und für viele andere Zwecke verwendet werden.
  • Auslagerungsdatei oder Partition: Es wird garantiert, dass sich vertrauliche Daten irgendwann in RAM befinden, was bedeutet, dass sie möglicherweise in einer Auslagerungsdatei oder Partition gespeichert werden können. Wenn Sie den Ruhezustand verwenden, wird Ihr gesamtes RAM in der unverschlüsselten Auslagerungsdatei oder Partition gespeichert (wahrscheinlich einschließlich des Schlüssels, der zum Entschlüsseln Ihres Home-Verzeichnisses verwendet wird!)

Es gibt wahrscheinlich viele andere Situationen, in denen Daten außerhalb Ihres Home-Verzeichnisses landen könnten, ohne dass Sie es merken. Es ist viel einfacher, einfach alles zu verschlüsseln, als sich über jedes mögliche Szenario Gedanken zu machen.

Einige weitere Vor- und Nachteile der Festplatten- und Dateisystemverschlüsselung

Profis für die Festplattenverschlüsselung

  • Es sind keine Metadaten des Dateisystems durchgesickert *
  • Alles ist verschlüsselt, nicht nur bestimmte Verzeichnisse

Festplattenverschlüsselung Nachteile

  • Verwendet im Allgemeinen standardmäßig XTS. XTS ist im Allgemeinen "gut genug" für die Festplattenverschlüsselung (dafür wurde es entwickelt), aber es hat einige in Bezug auf Eigenschaften , die die Leute nervös machen, insbesondere wenn ein Angreifer wiederholt auf die Festplatte zugreift
  • Im Allgemeinen nicht authentifiziert **; Das heißt, wenn ein Angreifer etwas ändert, wird es nicht unbedingt erkannt

Profis der Dateisystemverschlüsselung

  • Verwendet keinen XTS-Modus
  • Kann authentifiziert werden, ist es aber möglicherweise nicht (eCryptfs scheint derzeit keine Unterstützung für AEAD-Chiffren zu haben, andere Lösungen könnten)

Dateisystemverschlüsselung Nachteile

  • Kann Dateinamen verlieren (eCryptfs verschlüsselt Dateinamen standardmäßig, aber es gibt eine Option, um dies zu deaktivieren)
  • Leckt eine signifikante Menge an Metadaten ***:
    • Verzeichnislayout (Verzeichnisstruktur, Anzahl der Dateien in jedem Verzeichnis)
    • Dateigröße (mit der Genauigkeit einer Blockgröße, im Allgemeinen 4 KB)
    • Dateimetadaten; kann Eigentümer, Berechtigungen, Erstellungsdatum, Änderungsdatum, Zugriffsdatum und mehr enthalten

* Wenn die Festplatte vor oder während des Verschlüsselungs-Setups nicht mit zufälligen Daten gelöscht wird, kann ein Angreifer anhand der Schreibmuster erkennen, wie viele Daten geschrieben wurden, und erraten, welches Dateisystem verwendet wird. Insbesondere SSDs können Probleme haben damit.

** Es wurde darüber gesprochen, aber im Moment glaube ich nicht, dass LUKS oder VeraCrypt Unterstützung dafür haben.

*** Diese gelten alle für eCryptfs, aber ich habe mir keine andere Dateisystemverschlüsselung angesehen. Ich würde erwarten, dass andere ähnlich sind, obwohl sie sich vielleicht in ein oder zwei Punkten unterscheiden.

7
AndrolGenhald

Es hängt davon ab, ob. In der Windows-Welt (aktuelle Versionen) sollte der Basisordner die meisten Benutzerdaten enthalten, einschließlich temporärer Dateien. Es gibt jedoch viele Anwendungsfälle, in denen sich personenbezogene Daten außerhalb dieses Ordners befinden:

  • mail-Daten (/var/mail) auf Linux-Systemen
  • datenbanken, die für den Benutzer nicht privat sind. Beispielsweise verwendet PostgreSQL normalerweise ein privates Konto, das sich von dem des Benutzers unterscheidet.
  • anwendungen, die einen temporären Systemordner verwenden (in der Unix-Welt üblich)
  • anwendungen, die aus irgendeinem Grund einen privaten Ordner verwenden (schlecht programmiert ist möglich)
  • daten austauschen

Wenn einer dieser Punkte zutrifft, reicht die Verschlüsselung des Basisordners nicht aus, und Sie sollten eine vollständige Festplattenverschlüsselung in Betracht ziehen.

1
Serge Ballesta