Anleitung zum Verschlüsseln mit TrueCrypt 7.0a

Transkript

1 Anleitung zum Verschlüsseln mit TrueCrypt 7.0a Inhaltsverzeichnis 1. Grundlagen Vorbereitung TrueCrypt Installation Auf einer Festplatte Auf einem Wechselmedium Konfiguration Verschlüsseln XP Partition verschlüsseln Systempartition verschlüsseln Container verschlüsseln Vista/Windows Entschlüsseln XP Partition entschlüsseln Systempartition entschlüsseln Container entschlüsseln Vista/Windows Zusätzliche Infos Automatisches Einbinden Daten sicher löschen Schlusswort...9 Über dieses Dokument Dieses Dokument ist für alle Kameraden gedacht und dient als Anleitung zur Verschlüsselung eurer Daten. Der Autor ist damit einverstanden, dass es vervielfältigt und weitergegeben wird. Weiterhin wird ausdrücklich darauf hingewiesen, dass bei dem Vorgang des Verschlüsselns, bei unsachgemäßer Handlung, Daten verloren gehen können. Es wird empfohlen, diese Anleitung komplett zu lesen und erst danach mit dem Verschlüsseln zu beginnen. Kameradschaft Aachener Land

2 1. Grundlagen TrueCrypt ist ein kostenloses Programm, welches Daten über Algorithmen verschlüsselt. Die Geheimhaltung der verschlüsselten Daten hängt NUR von der Geheimhaltung des verwendeten Schlüssels (euer gewähltes Passwort) ab, da der Verschlüsselungsalgorithmus, sowie das unkompilierte Programm für Jedermann zugänglich ist. Es ist also auch nicht möglich, dass eine Hintertür vom Staat eingebaut wurde, um im Notfall an die Daten zu kommen. Das heißt aber auch, dass bei Verlust des Schlüssels die Daten unwiderruflich verloren sind! Verschlüsselt werden im Grunde genommen nicht die Daten selbst, sondern ein Bereich der Festplatte (oder anderes Speichermedium). Somit reicht es aus, einen verschlüsselten Bereich beim Start des Rechners zu entschlüsseln, um für die Laufzeit des Rechners auf die Daten zuzugreifen. Also wenn der Staatsschutz 3 mal klingt... Rechner aus (im Zweifelsfall machen die das selber und begraben ihre letzte Möglichkeit, an die Daten zu kommen). Ein noch so gutes Verschlüsselungsprogramm und langes Passwort sind nur solange sinnvoll, wie der Benutzer nicht das Passwort auf einen Zettel schreibt und diesen an den Monitor hängt! Also Passwörter immer merken! Außerdem kann die Festplatte bei laufendem Rechner durchsucht werden. Wenn also der geringste Verdacht auf Spyware, oder ähnliche Software, besteht, sollte die Internetverbindung getrennt, und eine Person seines Vertrauens aufgesucht werden, damit diese den Rechner von den Schädlingen beseitigt. Sonst bringt die beste Verschlüsselung nichts. Ein unbekanntes Passwort zu knacken ist bei ausreichender Länge und derzeitigem Entwicklungsstand NICHT möglich. Die Länge des Schlüssels ist dabei von essentieller Bedeutung, da die Anzahl der Möglichkeiten bei jeder weiteren Stelle exponentiell ansteigt. Ein weiterer wichtiger Faktor ist der benutze Zeichensatz. Rechenbeispiel (Zum Entschlüsseln wird eine Bruteforce-Methode angewandt. Die Rechenkapazität wird auf Passwörter pro Sekunde geschätzt): a.) Es werden nur Zahlen verwendet (0-9) Formel: y = 10 x Passwortlänge (x) Anzahl Möglichkeiten (y) Entschlüsselungszeit ,1 Sekunde ,6 Minuten Jahre b.) Es werden alle Buchstaben verwendet (a-z) [Groß und Kleinschreibung beachtet] Formel: y = 48x Passwortlänge (x) Anzahl Möglichkeiten (y) Entschlüsselungszeit Sekunden ,9 Jahre Jahre c.) Jetzt benutzen wir mal so ziemlich alle Zeichen auf der Tastatur Formel: y = 100x Passwortlänge (x) Anzahl Möglichkeiten (y) Entschlüsselungszeit ,6 Minuten Jahre 15 sehr lange... 2

3 Das Rechenbeispiel ist nicht sehr nah an der Realität. Es soll lediglich klar machen, dass bei einer angemessenen Schlüssellänge und Zeichensatz, das Entschlüsseln, ohne den Schlüssel selbst, nicht in einer vertretbaren Zeit möglich ist. Kurz und knapp: Denkt euch ein Passwort aus, welches Groß -und Kleinbuchstaben, Zahlen und Sonderzeichen enthält. Nur dann seid ihr zu 100% sicher. Wichtig: Verschlüsselung ist kein Freibrief! Niemand kann euch garantieren, dass nicht irgendwo auf eurem Rechner ein Programm die Passworteingabe mitschreibt, oder sich jemand das Passwort auf andere Art und Weise besorgt. Darum auch bei vermeintlicher Sicherheit vorsichtig sein mit sensiblen Daten. 2. Vorbereitung Um eine möglichst solide Grundlage zu bilden, sollten ein paar Dinge beachtet werden. Zum Einen sollte das System nicht mit Viren verseucht sein. Hierbei helfen frei erhältliche Virenscanner. Am sichersten ist es, wenn ein frisch aufgesetztes System verwendet wird. Ausserdem muss ein System immer auf dem aktuellen Stand gehalten werden, um Sicherheitslücken, welche erst später entdeckt werden, zu schliessen. Hierfür ist das Programm Secunia PSI bestens geeignet. Es zeigt veraltete Software an und kann diese teilweise auch aktualisieren. Download: Ein Sicherheitswert von 100% ist hierbei anzustreben. 3. TrueCrypt Installation Herunterladen könnt ihr TrueCrypt hier: Auf einer Festplatte Startet die Installationsdatei. Daraufhin bestätigt ihr die Lizenz. Weiter mit next, wählt den Pfad und schließt die Installation ab. 3.2 Auf einem Wechselmedium Um keine Spuren auf der zu verschlüsselnden Platte zu hinterlassen könnt ihr TrueCrypt alternativ auch auf einem USB-Stick installieren. Das hat den Vorteil, dass ihr die Platte auch mit zu Kameraden nehmen könnt und diese dann mit dem USB-Stick ent- bzw. verschlüsseln könnt. Um auf dem USB-Stick zu installieren, startet ihr die zuvor heruntergeladene Installationsdatei und bestätigt die Lizenz. Im nächsten Schritt wählt ihr aber nicht Install, sondern extract. Dann gebt ihr den Pfad des USB-Sticks an und beendet die Installationsroutine. 4. Konfiguration Nach der Installation startet ihr TrueCrypt über die TrueCrypt.exe. Dann geht ihr auf Settings Preferences. Eure Konfiguration passt ihr dann Abb. 1 an. 3

4 Abb. 1: Einstellungen 5. Verschlüsseln Es gibt einen groben Unterschied zwischen der Verschlüsselung von Daten unter XP und Vista/Windows 7. Unter XP ist das ganze mit einigen Umwegen verbunden. Unter Vista/Windows 7 wird es sehr leicht gemacht. Wer also Vista/Windows 7 benutzt, kann mit Punkt 5.2 weitermachen (Welcher sich jedoch auf die Teilschritte der folgenden Punkte bezieht. Es sollte also in jedem Fall auch das XP-Kapitel gelesen werden). Lest euch bitte VORHER die verschiedenen Varianten der Verschlüsselung komplett durch, damit ihr wisst, welche für euch in Frage kommen und welche ihr später verwendet. 5.1 XP XP hat den Nachteil, dass Daten nicht direkt verschlüsselt werden können. Also muss erst freier Speicherplatz verschlüsselt werden und dann die zu verschlüsselnden Daten in diesen Bereich kopiert werden. Grundsätzlich gibt es auch hier wieder zwei Unterschiede. Zum Einen die Variante der verschlüsselten Partition und zum Anderen das Benutzen von Containern (was für Anfänger einfacher ist). Ihr müsst euch für eine Variante entscheiden. In den jeweiligen Unterpunkten wird darauf eingegangen Partition verschlüsseln Habt ihr bei der Erstellung eures Betriebssystems Partitionen für die unterschiedlichen Daten erstellt, so könnt ihr diese Variante nutzen. Hierbei wird eine komplette Partition verschlüsselt. Wichtig: Alle Daten auf der zu verschlüsselnden Partition gehen unwiderruflich verloren. Ihr müsst diese also vorher(!) auf einem Datenträger sichern (die Sicherung später SICHER löschen. Mehr dazu unter Punkt 7.2) Dafür geht ihr folgendermaßen vor: Startet TrueCrypt und klickt auf create Volume. Wählt dann encrypt a non-system partition/drive. Dann Standard TC-Volume. Mit einem Klick auf Select Device erscheint jetzt ein Fenster (Abb. 2), an das ihr euch wohl oder übel gewöhnen müsst: 4

5 Abb. 2: Partitionstabelle Hier seht ihr eure Festplatten und die dazugehörigen Partitionen (Bei mir ist es nur eine Festplatte - Harddisk 0 und darauf sind 5 Partitionen). Wählt die Partition die ihr verschlüsseln wollt (nochmal zur Sicherheit: Die Daten auf der Partition werden komplett gelöscht!) und bestätigt die Eingabe. Danach klickt Create encrypted volume and format it. Als Algorithmus nehmt AES und als Hash-Algorithmus RIPEMD-160 und bestätigt. Danach wird euch nochmal die Position der Partition und deren Größe angezeigt. Wenn ihr sicher seid, dass es die richtige Partition ist, bestätigt. Nun kommen wir zur Passworteingabe. Dazu wurde eigentlich genug gesagt lang genug und viele verschiedene Zeichen. Wer ganz sicher gehen will, nutzt Use Keyfile (dann benötigt ihr zum Entschlüsseln eine entsprechende Datei, die ihr beispielsweise auf einem USB-Stick bei euch tragt). Danach werdet ihr gefragt, ob ihr Daten größer als 4GB ablegen wollt (Falls die Partition größer als 4GB ist). Klickt auf Yes, da es immer mal wieder vorkommen kann. Daraufhin wird automatisch der Header und Master Key erstellt, indem ihr die Maus mal ne Weile in zufällige Richtungen bewegt. Filesystem sollte NTFS sein und der Cluster bleibt auf default. Anschließend kann mit einem Klick auf format die Partition verschlüsselt werden. Auch hier wieder die Warnung, dass alle Daten gelöscht werden, bejahen. Das Verschlüsseln kann jetzt je nach Größe der Partition recht lange dauern. Bei 1TB kann es, in Abhängigkeit wie die Platte angeschlossen ist, bis zu 15 Stunden dauern. Lasst euch von der Dauer nicht abschrecken, der Nutzen ist enorm. Bei Fertigstellung erscheint eine Information, welche ihr bestätigt und den Assistenten somit beendet Systempartition verschlüsseln Hiermit kann man die Partition verschlüsseln, auf der Windows installiert ist. Diese Option solltet ihr auf jeden Fall in Betracht ziehen, da auf dieser Partition unter anderem der Cache des Browsers und von Programmen, wie ICQ (standardmäßig), untergebracht sind. Außerdem könnt ihr diese Option nutzen, wenn ihr euer System nicht partitioniert habt und alle Daten zusammen mit Windows untergebracht sind. Startet TrueCrypt und klickt auf create Volume. Wählt dann Encrypt the system partition.... Wählt dann Encrypt the Windows system partition (Nicht den anderen Punkt wählen, da ihr sonst schon andere Partitionen zerschießt). Wenn ihr nur ein Betriebssystem installiert habt, wählt danach Single-Boot. Dann gebt ein ausreichend sicheres Passwort ein und bestätigt es. Danach wird automatisch der Header und Master Key erstellt, indem ihr die Maus mal ne Weile in zufällige Richtungen bewegt. Bestätigt dann die Keys. Danach sollte 5

6 dann das Fenster mit der Rescue Disc erscheinen. Falls nach dem Verschlüsseln der Master-Boot-Record (MBR) Schaden nehmen sollte, kann Windows nicht mehr gestartet werden. Dafür muss in diesem Schritt ein Rettungs-Medium erstellt werden. Hierfür muss mit einem Klick auf Browse eine Datei auf der Festplatte abgelegt werden. Diese Datei muss dann auf eine CD gebrannt werden. Dieser Schritt ist unumgänglich, denn wenn dieser Teil der Festplatte beschädigt wird, sind eure Daten weg. Man kann diese Datei mit einem Programm wie Daemon Tools einbinden, um dem Rechner vorzugaukelen, dass die Datei gebrannt wurde, jedoch sollte man sich darüber im Klaren sein, dass man ein hohes Risiko eingeht. Den einen Rohling sollte man für seine Sicherheit verbrauchen. Nachdem das Rettungs-Medium gebrannt und verifiziert wurde, kommen wir zum nächsten Schritt dem Wipe Mode. Hier sollte 3 eingestellt werden. Daraufhin ist die Routine vorerst abgeschlossen. Bevor das System wirklich verschlüsselt wird, testet TrueCrypt, ob auch wirklich alles funktioniert. Mit einem Klick auf Test wird dieser gestartet und Windows wird neu gestartet. Allerdings wird sofort nach dem Rechner Neustart das Passwort (welches zuvor gewählt wurde) abgefragt. Erst nach erfolgreicher Eingabe startet euer Windows. Nun startet auch automatisch TrueCrypt und ihr könnt mit einem Klick auf Encrypt das Verschlüsseln starten. Erst jetzt beginnt das Verschlüsseln, was den größten Teil der Zeit in Anspruch nimmt. Macht nebenbei besser nichts anderes, da es die Rechenleistung verringert und die Gefahr eines Absturzes besteht. Danach ist die Verschlüsselung beendet und ihr müsst nun bei jedem Rechner Neustart das Passwort eingeben. Wichtig: Ihr müsst zwar beim Start ein Passwort eingeben, jedoch sind andere Partitionen, (insofern vorhanden) NICHT verschlüsselt. Wenn ihr also mehrere Partitionen habt, solltet ihr die Systempartition zwar unbedingt verschlüsseln, müsst jedoch die anderen Partitionen auch verschlüsseln (siehe 5.1.1) Container verschlüsseln Diese Option ist eine Ausnahme und ich würde sie niemandem empfehlen, denn mit den anderen beiden Varianten kann man im Prinzip die komplette Verschlüsselung abdecken! Trotzdem werde ich sie hier erklären. Ein Container ist eine einzelne Datei. In diese kann niemand schauen, da sie verschlüsselt ist. Man kann diese allerdings mit TrueCrypt entschlüsseln und so Dateien in ihn befördern. Das Ganze muss man sich dann als einen Container vorstellen, in den man alle möglichen Daten ablegen kann. Nach dem Herunterfahren des Rechners wird der Container geschlossen und keiner kann mehr rein schauen. Fertig. Soviel zum Prinzip. Nun zur Praxis. Startet TrueCrypt und klickt auf create Volume. Wählt dann Create an encrypted file container. Dann Standard TC-Volume. Mit einem Klick auf select File könnt ihr dann den Speicherort und den Namen des Containers wählen. Denkt dran, dass der Container sehr groß sein wird, da er alle Dateien beinhaltet, die ihr verschlüsseln wollt (kann schon mal 100GB sein [Bilder, Fotos, Verläufe,...]). Als Algorithmus nehmt AES und als Hash-Algorithmus RIPEMD-160 und bestätigt. Danach müsst ihr die Größe des Containers festlegen. Vorsicht, dass dieser nicht zu klein gewählt wird, da er später nicht ohne weiteres vergrößert werden kann. Daraufhin kommt die Passworteingabe siehe Danach wird automatisch der Header und Master Key erstellt, indem ihr die Maus mal ne Weile in zufällige Richtungen bewegt. Filesystem sollte NTFS sein und der Cluster bleibt auf default. Ein Klick auf format vollendet unsere Arbeit. 5.2 Vista/Windows 7 Hier das Verschlüsseln für Benutzer von Vista/Windows 7. Geht hierfür wie in Punkt vor, allerdings dürft ihr dann nach dem Auswählen der Partition (siehe Abb. 2) nicht Create encrypted volume and format it wählen, sondern Encrypt partition in place. Danach ist die Routine die der von XP sehr ähnlich. 6

7 6. Entschlüsseln Auch hier wieder die Unterteilung in WinXP und Vista/Windows 7. Wählt die Unterpunkte, in denen ihr auch verschlüsselt habt. Wenn ihr also Verschlüsselung einer Partition gewählt habt, dann müsst ihr auch der Entschlüsselung einer Partition nachgehen. 6.1 XP Partition entschlüsseln TrueCrypt muss gestartet werden. Wählt dann in dem Fenster (Abb. 3) einen Laufwerksbuchstabe, über den ihr später auf dem Arbeitsplatz auf die verschlüsselte Partition zugreifen wollt. Abb. 3 Zum Beispiel wählt ihr Y: und klickt dann auf Select Device und danach auf Mount. Nun noch das Passwort eingeben und OK klicken. Nun ist eure Partition mit dem Laufwerksbuchstaben eingebunden, den ihr eben in dem Fenster gewählt habt. Den ursprünglichen Laufwerksbuchstaben bitte NICHT mehr verwenden, da es für den Rechner ein nicht lesbares Format enthält (ist ja auch klar, denn wir haben es verschlüsselt und es ist somit nicht mehr lesbar) und dieser versuchen wird zu formatieren! Auf dem Arbeitsplatz befindet sich nun der neue Laufwerksbuchstabe und ihr könnt, wie gewöhnlich, mit einem Doppelklick darauf zugreifen Systempartition entschlüsseln Nachdem der Rechner hochfährt wird automatisch das Passwort abgefragt. Durch die Abfrage wird das Laufwerk eingebunden und Windows startet. Mehr ist nicht zu tun. Der Laufwerksbuchstabe ist der gleiche, wie vorher. In Abb. 3 ist eine eingebundene Systempartition zu sehen Container entschlüsseln TrueCrypt muss gestartet werden. Wählt dann in dem Fenster (Abb. 3) einen Laufwerksbuchstabe, über den ihr später auf dem Arbeitsplatz auf den verschlüsselten Container zugreifen wollt. Zum Beispiel wählt ihr X: und klickt dann auf Select File. Hier wählt ihr nun den Container, den ihr zuvor in Punkt erstellt habt. Gebt das Passwort ein und der Container wird erfolgreich eingebunden. Auf den Container zugreifen könnt ihr nun über den Arbeitsplatz, indem ihr den ausgewählten Laufwerksbuchstaben auswählt in meinem Fall X:. 6.2 Vista/Windows 7 Hier ist das gleiche Vorgehen wie bei XP angesagt. Lediglich das Verschlüsseln ist einfacher, da die Daten auf der zu verschlüsselnden Partition bleiben können, während verschlüsselt wird. 7

8 7. Zusätzliche Infos 7.1 Automatisches Einbinden Wenn ihr mehrere Partitionen verschlüsselt habt, kann es nervig werden, diese immer einbinden zu müssen. Um diese Prozedur etwas zu erleichtern, hier ein kleines Batch-Programm, mit dem das alles automatisiert wird. Batch, oder auch Stapelverarbeitung, ist eine Möglichkeit unter Windows, Aufgaben der Reihe nach abzuarbeiten. Diese Aufgaben werden in eine Batch-Datei geschrieben (Endung *.bat). Da TrueCrypt auch über die Kommandozeile angesprochen werden kann, kann man also mit einer einfachen Batch-Datei das Einbinder beliebiger verschlüsselter Teile automatisieren. Natürlich muss weiterhin händisch das Passwort eingegeben werden. Hier die Vorgehensweise. Legt euch eine neue Textdatei an und öffnet diese mit dem Editor. Schreibt eure Codezeilen rein und speichert dann mit speichern unter. Wählt als Dateinamen 'automount.bat' und wählt bei Dateityp Alle Dateien. Hier ein Beispiel-Code mit anschließender off echo Starte automatisches Einbinden C:\Programme\TrueCrypt\TrueCrypt.exe /qwv \Device\Harddisk0\Partition4 /l x:/ C:\Programme\TrueCrypt\TrueCrypt.exe /qwv Y:\mein_container.tc /l w:/ pause Erläuterung der Codezeilen (die Parameter von TrueCrypt stehen jeweils in Klammern): 1. Ausgabe von Befehlen soll unterdrückt werden 2. Gib aus Starte automatisches Einbinden 3. Starte TrueCrypt, verstecke das Hauptfenster (-q), lösche den Passwortcache (-w), binde die Partition 4 auf Festplatte 0 (-v), als x:/ (-l) ein. 4. Starte TrueCrypt, verstecke das Hauptfenster (-q), lösche den Passwortcache (-w), binde den Container mein Container auf Laufwerk Y: (-v), als w:/ (-l) ein. 5. Tastendruck um das Fenster zu schliessen. Das Script müsst ihr natürlich an eure Festplattenkonfiguration anpassen. 8

9 7.2 Daten sicher löschen Hier eine kleine Anleitung zum sicheren Löschen. Ich werde das hier nicht groß ausführen, da dieses Dokument hauptsächlich auf die Verschlüsselung abzielt. Trotzdem verliere ich ein paar Worte. Daten sicher zu löschen ist nicht so einfach, wie es klingt. Weder reicht es eine Datei normal zu löschen, noch bringt es etwas, den Papierkorb zu leeren. Warum? Daten die mit Windows gelöscht werden, liegen weiterhin auf der Platte. Man sieht sie zwar nicht mehr, da Windows den Verweis auf die Speicherstelle löscht und den Platz freigibt, jedoch sind die Daten weiterhin vorhanden und mit externen Programmen auszulesen. Selbst die Platte zu formatieren reicht nicht aus, da man mit ein wenig Aufwand noch eine Magnetisierung der Spuren auf der Festplatte feststellen und auslesen kann. Darum muss man die Daten mit einem Programm sicher löschen, Hierfür gibt es eine Menge Programme eins davon erkläre ich kurz. Das Programm heißt Eraser. Herunterladen könnt ihr es hier: Nach dem Installieren passt die Konfiguration an. Den Scheduler solltet ihr deaktivieren (unter edit preferences general auf den Reiter Scheduler klicken und alle Haken entfernen). Außerdem muss der Algorithmus zum Löschen ausgewählt werden. Geht dazu nach edit preferences erasing. Wählt den Algorithmus US DoD M (der mit den 7 Passes). Dann noch unter dem Reiter unused Disk Space den selben Algorithmus wählen. Wollt ihr nun einzelne Dateien sicher löschen, so könnt ihr mit einem Rechtsklick auf die Datei erase wählen und die Abfrage bestätigen. Ebenso könnt ihr ganze Ordner löschen. Wollt ihr freien Speicher sicher löschen (freier Speicher heisst nicht, dass keine Dateien drauf sind siehe Einleitung 6.2) könnt ihr das über file new task machen, indem ihr dort unter unused space on drive den zu löschenden Platz auswählt. Die Aufgabe erscheint nun im Hauptfenster, wird aber noch nicht ausgeführt. Mit Task run wird die Aufgabe ausgeführt. Wollte ihr eine ganze Partition löschen, dann wählt unter file new task files in folder, wählt eure Partition und klickt die Haken Subfolders und Remove folders. Das ganze mit OK bestätigen und die Aufgaben erledigen lassen über Task run. Wichtig: Eure Daten sind durch dieses Löschen unwiderruflich verloren. Also vorsichtig sein mit dem Tool. 8. Schlusswort Wir hoffen, wir konnten euch das umfangreiche Thema Verschlüsselung auf eine einfache Art und Weise etwas näher bringen. Wir haben es extra relativ kurz gehalten, um nicht zu viele Leute abzuschrecken und nicht unnötig am Thema vorbei zu reden. Viel Erfolg! Kameradschaft Aachener Land 9