Kurze Info: David Xanatos hat mich kürzlich per Mail kontaktiert und auf sein neues GitHub-Projekt DiskCryptor aufmerksam gemacht. Ein Festplattenverschlüsselungsprogramm für Windows.
Anzeige
David schreibt, dass das eine Weiterentwicklung des alten, ab 2014 leider nicht mehr weiterentwickelten, DiskCryptor-Festplattenverschlüsselungsprogramms sei. Er hat einen UEFI kompatiblen Bootloader für DCrypt (DC) entwickelt und entsprechend alles angepasst, so dass DC nun auf Systemen mit UEFI Boot zum Einsatz kommen kann.
Kurzer Überblick über Diskcrypt
Die Vorteile von DiskCryptor bestehen darin, dass die Partitions-Verschlüsselung für alle Partitionen komplett transparent durchgeführt wird. Daher bedarf es keiner Windows-Bordmitteln mehr, um Partitionen bei Bedarf zu erweitern oder zu verkleinern. Auch soll der Volume Shadow Copy Service (VSS) wie gewohnt funktionieren, wodurch man viel bessere Kompatibilität mit Backup-Tools hat.
Bei VeraCrypt ist es ja so, dass mit Ausnahme der System Partition die Verschlüsselung nicht transparent ist. Vielmehr werden die Volumes als neue Laufwerke eingebunden, was nicht optimal ist und zu Komplikationen führen kann.
DiskCryptor unterstützt (im Gegensatz zu VeraCrypt) aber keine File basierten Container. Daher sieht David das Tool DC eher komplementär zu VeraCrypt und nicht als Konkurrenz.
Anzeige
Projektseiten
Er hat für das Projekt auch eine Webseite angelegt: www.diskcryptor.org – und die Dateien als neues Projekt auf GitHub eingestellt:
https://github.com/DavidXanatos/DiskCryptor/releases/tag/v1.2.0
Dort finden sich auch weitere Informationen zum Projekt sowie der Quellcode und die Programmdatei. Ist aber noch alles Beta-
Problem Treibersignierung
Was sich wieder als ein Problem gestaltet, ist das leidige Thema von Code Signaturen. Ein EV-Zertifikat, um Treiber zu signieren, ist ja für so ein Freizeit Projekt eigentlich prohibitiv teuer. Er hat daher einfach ein Zertifikat benutzt welches mal geleaked wurde. Das wird wohl von Windows immer noch akzeptiert und auch ein Test auf einem Windows mit eingeschaltetem SecureBoot hat funktioniert. Aber möglicherweise gibt es jemanden, der ein EV-Zertifikat hat und gewillt wäre den Treiber damit richtig zu signieren?
Anzeige
Wo wäre der Vorteil gegenüber Bitlocker? Eine Verschlüsselung mit geleaktem Signaturcode ist auch keine schöne Sache, was passiert, wenn der Code tatsächlich mal gesperrt wird? Kommt man dann an sein System, an seine Daten nicht mehr dran?
"Wo wäre der Vorteil gegenüber Bitlocker?"
u.a. Opensource, für verschiedene Plattformen verfügbar
…wäre jetzt mein erster Gedanke.
Die anderern Merkmale (siehe https://www.diskcryptor.org/) sind auch nicht zu verachten.
Schönen Sonntag
> …, was passiert, wenn der Code tatsächlich mal gesperrt wird?
>
Da gibt es mehrere Möglichkeiten:
Zu aller erst wäre da über die erweiterten Start Optionen "Disable driver signature enforcement" zu wählen dann lädt der Kernel absolut und ausnahmslos alles, aber nur 1 mal nach Reboot muss man das dann wieder wählen und so weiter bei jedem Reboot.
Eine dauerhafte Lösung ist es das System in den Test Signing Modus zu versetzen, das ist dauerhaft, und den Treiber mit einem x beliebigem selbst erstelltem Zertifikat zu signieren.
> Kommt man dann an sein System, an seine Daten nicht mehr dran?
>
Nein, also erstens, siehe oben, und zweitens hat sich das Header Format zwischen der alten, von der ReactOS Foundation signierten (als sie noch ein Zertifikat hatten), Version 1.1 und meiner neuen 1.2 nicht geändert. Sprich zum entschlüsseln eines Laufwerks kann man es in einen x beliebigen (sogar Win 7) PC stecken und mit der alten 1.1 Version entschlüsseln. Oder man nimmt ein Win 8 oder 10 ToGo USB Stick und entschlüsselt damit das Laufwerk ohne es ausbauen zu müssen.
Und zu guter Letzt hoffe ich das DiskCryptor ausreichend beliebt wird das bevor MSFT da was sperrt ich mir von spenden Geldern ein ordentliches EV Zertifikat zulegen kann, aber bis dahin ist noch ein langer Weg.
> Wo wäre der Vorteil gegenüber Bitlocker?
Nun da gibt es einige, erstens das Tool ist Open Source sprich man muss keinem großen US recht unterlegenem Konzern vertrauen da kein Hintertür eingebaut zu haben.
Ja Windows könnte es ganz rabiat versuchen und bei 3rd party tools versuchen die keys aus dem RAM nach Redmond zu exfiltrieren, aber das halte ich für ausgeschlossen als Routinevorgang. Eine Hintertür muss so sein das man die Absicht dahinter im zweifel immer abstreiten kann und sich auf ein Programmierfehler raus reden kann.
BitLocker bietet es ja z.B. an den Recovery Key im MSFT Account zu speichern, schon mal ganz böse, so was dürfte da gar nicht drin sein.
Da kann es leicht heißen ups auf Grund eines Fehlers wurde eine Richtlinie oder Einstellung im nicht konfiguriertem zustand falsch interpretiert und die Keys von allen Benutzern ohne MSFT Account wurden in ihren ??? Schattenaccount ??? gesichert.
Schattenaccount, oder so was: https://www.borncity.com/blog/2018/11/03/windows-10-app-history-auch-ohne-microsoft-konto/
"Da sich die Microsoft-Server merken, wenn eine Maschine den Microsoft Store besucht und Apps herunterlädt, übersteht die App-History auch eine Neuinstallation des Betriebssystem."
Wobei Ja bei einem ganz fettem High Priori Target wird für den einen User ein custom update signiert und nur auf seinem System ausgerollt, aber so High Prioriti muss man erst einmal werden. Und da ist der weg zu Kammeraüberwachung der Tastatur dann auch nicht mehr so weit.
Aber genug mit aller berechtigten Paranoia nun zu den handfesten Vorteilen:
BitLocker hat eine ziemlich schlechte Geschichte wen es um Sicherheit geht, bis vor kurzen hat BitLocker Standardmäßig die in SSDs verbaute Hardware Verschlüsselung genutzt welche sich die allermeisten Hersteller beim CCC 2018 als komplett stümperhaft implementiert herausgestellt hat. So das sie mit einem 20EUR BussPiraten zu umgehen ist.
BitLocker benutzt immer noch wen vorhanden den TPM und auch hier haben sich bereits modelle gefunden welche nur unzureichend abgesichert sind, teils konnte man hier auch mit einem 20EUR BussPiraten den key auslesen.
Und BitLocker wurde nie von einer unabhängigen stelle Auditiert, gut das wurde DiskCryptor auch noch nicht, damals haben Leute Geld gesammelt für ein audit von VeraCrypt und das wurde dann auch gemacht. Da DiskCryptor open source ist ist es auch hier nur eine frage von genug spenden und Interesse an der Software.
BitLocker hat Funktionen für ein Passwortlosen Reboot, sehr praktisch zum Remote Management, heißt "suspend-bitlocker", geht auch auf Systemen ohne TPM, da muss also der Key zwischenzeitlich als Plain-Text auf dem Laufwerk landen, ein sicherheitstechnisches NoGo, insbesondere schlimm auf SSD's wegen dem wear leveling, da hier der Sektor nicht mal zuverlässig überschrieben werden kann.
LG
David X.
Treibersignierung abzuschalten halte ich für ein ganz großes Sicherheitsrisiko! Und wenn ich schon ein Betriebssystem nutze, dessen Quellcode ich nicht einsehen kann, dann ist mir der Quellcode des Verschlüsselungstools auch egal. Microsoft muss ich so oder so vertrauen, sonst muss ich was anderes einsetzen. Aber auch da würde ich den Quellcode weder lesen, noch verstehen, noch wäre ich sicher, dass das was ich da installiert habe, auch zu 100% dem gelesenen/verstandenen Quellcode entspricht.
> Treibersignierung abzuschalten halte ich für ein ganz großes Sicherheitsrisiko!
>
Ich nicht, die allermeiste Schadsoftware die da so daherkommt braucht entweder gar keine Treiber oder kommt mit korrekt signierten Treibern daher.
Um ein Treiber zu installieren braucht man Admin rechte und wen eine Schadsoftware diese hat ist es idr. e'h schon zu spät.
Das eine schließt das andere nicht aus. Sehen wir ja aktuell an dem Realtek-Treiber, der sich unkontrolliert DLLs unterschieben lässt. Irgend ein lustiges Tool zu installieren, reicht, um dem System mit gewollten Adminrechten (für das lustige Toll) unbemerkt etwas unterzuschieben. Die Möglichkeit, unsignierte Treiber zu installieren, macht das Loch noch größer, als es ohnehin schon ist.
Ich habe mir mal die zeit genommen eine etwas ausführliche Begründung zu liefern wieso nicht BitLocker : https://www.diskcryptor.org/why-not-bitlocker/
Sehr schön, danke
Hallo David.
Wie stehst Du zu folgendem Einsatzszenario:
Ein Firmennotebook soll verschlüsselt werden, Admins sollen alles dürfen, aber der normale Nutzer soll das Notebook nur starten, jedoch nicht entschlüsseln können (so wie es Bitlocker möglich macht per TPM+PIN).
Wie wäre dieses Szenario mit DiskCryptor umsetzbar?
Ganz einfach:
Also wen der Nutzer keine Admin rechte hat dann kann er die DC Verwaltunksanwendung gar nicht erst starten, damit kann er weder das Passwort ändern noch ein Laufwerk ver/entschlüsseln.
Er kann nur beim Boot das benötigte Passwort eingeben.
Dabei müsste aber auch beachtet werden das der Benutzer dann nicht in der Lage sein darf den Rechner von einem externen boot-medium zu starten.
Mit einem Windows To Go in dem er Admin ist kann er dann natürlich alles was er will.
Oder wen er das Laufwerk ausbaut und an einem PC wo er Admin ist als externes Laufwerk einbindet.
Also da muss zumindest genug vertrauen in den Nutzer vorhanden sein das er das gerät nicht zerlegt. Oder man gibt ihm ein gerät aus dem man Konstruktions bedingt die SSD nicht raus bekommt, sei es weil es verklebt ist oder gar als teil des Mainboard verlötet.
Die Limitierungen hier ergeben sich daraus das momentan das TPM nicht verwendet wird. Wen an dem Feature aber handfester Bedarf besteht kann ich eine TPM Unterstützung einbauen.
Danke David.
"Also da muss zumindest genug vertrauen in den Nutzer vorhanden sein…" nein, da ist kein Vertrauen. In keiner Firma der Welt solltest Du erwarten, dass der Admin möchte, dass der Nutzer die Platte ausbauen kann, in den Heimrechner stopft, Diskcryptor installiert und dann einfach entschlüsselt. Vor x Jahren habe ich die Frage nach diesem Szenario schon der VeraCrypt-Entwicklung mitgeteilt – keine Antwort.
Deshalb setzt Microsoft doch auf ein TPM!
Schau Dir BSI-zugelassene Produkte wie Sirrix Trusted Disk von Rohde und Schwarz an. Das ist eine Weiterentwicklung (Fork) von TrueCrypt. Und was benutzt das Ding, um eine Hierarchie umzusetzen (Admin darf entschlüsseln, Nutzer darf nur starten)? Eine Smartcard mit PIN. Und was ist da drauf? Ein TPM.
Deshalb meine Frage: wie soll man Dein Produkt in Firmenumgebungen ernsthaft einsetzen? Das geht nur, wenn wir den Nutzern 100%ig vertrauen.
Ja in dem Fall braucht ihr ein TPM,
wie gesagt ich könnte den Support dafür in Disk Cryptor einbauen.
Wäre halt Arbeit, viel Arbeit, wen da jetzt wirklich konkretes Interesse an dem Feature besteht können wir gerne drüber reden.
Das Problem mit TPM's ist das man den eben nicht vertrauen kann.
Auf modernen intel Systemen sind die TPM's nur noch eine Software Funktion der Mnagement Engine, und dafür gibt es exploit code sogar auf github: https://github.com/ptresearch/IntelTXE-PoC
So geheim ist Bitlocker ja nun auch wieder nicht, wie in diesem Pamphlet dargestellt… Siehe https://www.heise.de/security/meldung/Linux-Verschluesselungswerkzeug-Cryptsetup-unterstuetzt-nun-BitLocker-4656526.html
Auch die Behauptung, TMPs wären auslesbar, in dem man deren Signale elektrisch mitliest, wird weiter unten im Text abgemidert, in dem Chipsatz-integrierte TPMs erwähnt werden.
-Ich muss diesen Kommentar jetzt unten einreihen, da mir die Forensoftware nicht mehr die Möglichkeit gibt, auf Davids letzten Kommentar zu antworten.
@David
Danke, für uns brauchst Du nichts zu coden, aber sicherlich wäre es sinnvoll, die Möglichkeit zu haben. Ob man TPMs vertrauen will, oder doch lieber Software, muss jeder selbst entscheiden. Man kann jedenfalls wählen, ob man fTPMs oder dTPMs einsetzt, die Wahl bleibt zumindest bei Desktop PCs bestehen.
Das Problem ist, dass eine Installation auf Windows 10 zum Systemcrash führt. Dabach muss Windows 10 neu installiert werden. Wer das Programm mit früheren Windowsversionen genutzt hat,ist jetzt bemitleidenswert.
Funktioniert hier seit 10 Jahren einwandfrei, inzwischen sogar mit Windows 11. Diskcryptor ist die vielen Jahre immer ein treuer begleiter und ich hatte keinen einzigen Datenverlust, weder auf der Bootpartition noch auf allen anderen verschlüsselten Festplatten. Danke für die Weiterentwicklung, ganz großartig von dir und ich hoffe es gibt bald einen Nachfolger zur 1.2 B3. Alles Gute dir und nochmals vielen Dank!