Verschlüsselung der WHS Platten

[Spucktier]

Ein leidiges Thema, diese Sicherheit. Was ich mich seit längerem frage, aber noch keine Antwort darauf gefunden habe ist, ob es möglich ist die Festplatten des WHS zusätzlich zu verschlüsseln. Die Architektur sollte soetwas eigentlich nicht zulassen, doch evtl. ist es doch möglich. Im speziellen denke ich hier an Anwendungen wie SafeGuard Easy oder TrueCrypt. Bei letzterem wurde meine Anfrage im Forum allerdings nicht beachtet.
Nichts wäre schlimmer als ein Einbruch und der Dieb schnappt sich den WHS.

Hat hier evtl. schon jemand ein paar Erfahrungen gemacht?

[TVVista]

Hallo,

der Dieb schnappt sich den WHS,

wenn Du ein Kennwort vergeben hast das mindestens 8 Zeichen lang ist, Zahlen vorne hat, Großschreibung hat, Kleinschreibung hat, 1-2 Sonderzeichen, brauchen vernetzte Hochleistungsrechner ca. 13 Jahre um dieses Kennwort zu knacken.

Hast Du dein Kennwort an das TFT dran geheftet dauert es nur wenige Sekunden.

Gruß
Holger

[AliG]

Hi!
@Holger:
Meinst du das jetzt auf die Sicherheitssoftware bezogen, oder auf das Windows - Passwort selbst? Das schützt die Daten nämlich kein bisschen, da brauch ich die Festplatten nur ausbauen und in einen anderen Rechner einbauen und schon sind alle Daten da...

@Spucktier:
Erstens einmal müsste die Software es beherschen, die Daten schon vor dem Bootvorgang zu verschlüsseln, ansonsten kann man wieder obiges machen um an die Daten zu gelangen. Zweitens kann ich mir nicht vorstellen, dass das mit dem Drive Extender gut zusammenarbeitet.... (vl. kann es ja jemand ausprobieren?)

lg Alex

[whs_cb]

Hi!
@Holger:
Meinst du das jetzt auf die Sicherheitssoftware bezogen, oder auf das Windows - Passwort selbst? Das schützt die Daten nämlich kein bisschen, da brauch ich die Festplatten nur ausbauen und in einen anderen Rechner einbauen und schon sind alle Daten da...

Ja, dagegen hilft nur Verschluesselung auf Dateisystemebene.

@Spucktier:
Erstens einmal müsste die Software es beherschen, die Daten schon vor dem Bootvorgang zu verschlüsseln, ansonsten kann man wieder obiges machen um an die Daten zu gelangen. Zweitens kann ich mir nicht vorstellen, dass das mit dem Drive Extender gut zusammenarbeitet.... (vl. kann es ja jemand ausprobieren?)

Prinzipiell duerfte Windows von einem drunter liegenden Safeguard Easy nichts mitbekommen, es kann aber durchaus sein, das der DriveExtender mit dem neuen Dateisystemtreiber (von Utimaco, der sollte aber unbekannte Calls an den originalen Treiber durchreichen) nicht klarkommt.

Vielleicht sollte man sich mal mit dem mitgelieferten EFS auseinandersetzen, wobei das eher dafuer gedacht ist, das der angemeldete Benutzer seine entsprechenden Ordner/Laufwerke transparent ver- und entschluesseln kann. Die beiden Threads, die ich hier http://forums.microsoft.com/WindowsHomeServer gefunden habe, lassen vermuten, das Verschluesselung nicht vorgesehen ist im Konzept vom WHS.

Ich setze selber TrueCrypt auf meinem Rechner ein fuer meine privaten Daten. Folgendes Szenario waere zumindest fuer die Verschluesselung der privaten Daten auf dem Homeshare machbar: der TrueCrypt Container kommt in das entsprechende UserShare und somit kann man sich nach Start vom WHS und seines Clients den Container mounten und als Laufwerk in seinen Explorer haengen. WHS wird den grossen Container, was ja nix weiter als eine grosse Datei ist, bei FolderDuplication jedes mal synchronisieren.

Gruss, whs_cb

[TVVista]

Hallo,

eurer Feststellungen stimmen mehr als absolut.

Wenn der Dieb von der Hardware Besitz ergriffen hat, nutzt das beste Kennwort nicht.

Wichtige Daten könnte man dann in eine "Saefty" Partriton verstecken (Steganos).

Besser noch die Festplatten aus dem WHS lassen sich nur noch über ein externes Tool mit dem Orginalkennwort lesen lassen.

Gruß
Holger

[Puh]

Bei direktem Zugriff auf die Maschine nutzt kein Passwort aber wenn ein Einbrecher die Kiste mitnimmt sind die Daten glaub ich eines der kleineren Probleme - je nachdem was sonst noch so in der Bude rumsteht ;o)

EFS wäre auch mein erster Gedanke, aber wie whs_cb schon schrieb scheint das wohl nicht zu gehen. Kenne mich mit EFS im Serverumfeld auch nicht aus, aber man kann den Key ja auch extrahieren - könnte man das dann nicht auf dem PC installieren um auf des EFS Share zuzugreifen? Eventuell weiß das ein Windows Server Guru

Ein Produkt von Steganos (SaveGuard oder so ähnlich) hat bei einem Bekannten mal zu konfusion geführt: das File war mit über 1 Gig an Daten gefüllt. Das Passwort stimmt, es wurde zugriff gewährt, aber es waren keine Daten mehr im Container von einen auf den anderen Tag. Die Daten waren weg, keiner weiß warum ... das File war übrigens weiterhin 1 Gig groß ...

Dann doch lieber TrueCrypt nehmen ... oder den WHS im Save deponieren

gruß
Puh

[Christoph]

Ich bin mir da aber nicht so sicher was passiert, wenn man mit TrueCrypt oder so ein neues Laufwerk erzeugt ....

[JeHo]

Vor meinem WHS liegt ein Rottweiler

Gruß JeHo

[Puh]

Vor meinem WHS liegt ein Rottweiler

Gruß JeHo

Hehe auch ne Idee

[whs_cb]

Hallo,
ich habe heute einmal exemplarisch einen Truecrypt Container in meinem Homeshare erzeugt und mit ein paar Testdaten befuellt. Der Container ist einfach eine 1000 MB grosse Datei. Datensicherheit bekomme ich ueber die Folderduplikation. Eine zweite Sicherung erfolgt ueber ein Job im Synctoy auf eine immer angeschlossene USB Platte (nicht dem WHS hinzugefuegt), das ist sogar bequemer als die Sicherung der bisherigen Truecrypt Partition (mounten, Backupcontainer mounten, den Sync machen, alles wieder dismounten).

Nunja, es ist leider keine volltransparente Loesung, allerdings habe ich eh meine privaten Daten auf einer Truecrypt Partition, die ich nur bei Bedarf mounte. Erst wenn ich davon Daten benoetige, mounte ich mir das Laufwerk, so werde ich das nun mit dem Container auf dem Homeshare machen. Wenn sich das die naechsten 1 oder 2 Wochen bewaehrt, werde ich vollstaendig umschwenken. So hat da auch noch den zusaetzlichen Charme, das ich auch vom Notebook aus auf meine privaten Daten zugreifen kann.

Gruss, whs_cb

[prophil]

Ich mag Truecrypt nicht.. das macht ja extra partitionen und is.. damit .. zu kompliziert
Ich verwende DriveCrypt plus. Das Verschlüsselt das Betriebssystem on-the-fly.. man merkt keinen unterschied! (langsamstes getestetes System war ein Centrino-Notebook 1,6ghz). Beim Booten benötigt man das Passwort. Windows braucht dafür dann aber keines mehr (SingleSignOn). TOP!

[whs_cb]

Ich mag Truecrypt nicht.. das macht ja extra partitionen und is.. damit .. zu kompliziert
Ich verwende DriveCrypt plus. Das Verschlüsselt das Betriebssystem on-the-fly.. man merkt keinen unterschied! (langsamstes getestetes System war ein Centrino-Notebook 1,6ghz). Beim Booten benötigt man das Passwort. Windows braucht dafür dann aber keines mehr (SingleSignOn). TOP!

Nunja, dafuer ist TrueCrypt Freeware und durch OpenSource haette man die Chance, den Sourcecode auf moegliche Backdoors zu durchsuchen. Ich setze auf meinem Notebook Utimaco Safeguard Easy ein, das ist genau wie DriveCrypt eine online HD Verschluesselung.

Wir reden hier aber ueber Server, da ich an 2 verschiedenen Rechnern in der Wohnung arbeite, habe ich das Problem, das die privaten Daten immer nur auf einem rumfliegen in einer TrueCrypt Partition. Nun liegen die in einem TC Container auf dem WHS und ich kann die mit beiden Rechnern nutzen und sind zudem recht gut geschuetzt.

Gruss, whs_cb

[ahgloom]

Hallo,

die Idee mit dem "on the fly" verschlüsseln der Platten find ich eigentlich relativ gut. So muss man vor jedem OS-Start ein Kennwort eingeben. So könnte man doch theoretisch alle angeschlossenen Platten von Grund auf Sichern, oder? Habe mir mal Gedanken über die Verschlüsselung gemacht, da ich sie in irgend einer Art einsetzen will. Dazu 2 Ansätze:

1.: Verschlüsselung der Systemplatte (C und D) und aller anderen Platten per DriveCrypt oder ähnliches (also von Grund auf)
Was mich jedoch noch interessiern würde ist das Prozedere mit dem diese Entschlüsselung stattfindet. Ich benutze den HomeServer ab und zu aus dem VPN heraus und hab deswegen kein direkten Zugang zum Rechner. Was ist, wenn ich den Server jetzt reboote? Normalerweise müsste man ja dann direkt am Server ein Passwort eingeben, da das OS ja noch nicht hochgefahren ist. Kann die Eingabe dann auch über irgendwelche Remote Funktionen stattfinden? Gibt es da irgendwelche Tools?

2.: Verschlüsselung der Systemplatte (Nur D) und aller anderen Platten per DriveCrypt oder Truecrypt.
Das Betriebssystem sollte also starten. Dann sollte sofort eine Anfrage auf Passworteingabe kommen um die restlichen Platten zu Mounten oder direkt zu encrypten (wie auch immer). Jetzt stellt sich mir die Frage: Geht das überhaupt? Kann man die Datenplatten sozusagen erst später beim Systemstart hinzufügen ohne das die WHS-Prozesse wie der DriveExtender,usw. Probleme machen? Dass das System (Freigaben) vor dem mounten der Platten nicht einsatzbereit ist, ist mir klar, würde mir aber nichts ausmachen.

Wäre mal interessant zu wissen ob jemand damit schon Erfahrungen in irgend einer Art gemacht hat. Ich selbst hab davon noch nichts ausprobiert, wollte das aber sowie ich eine neue Platte hab mal testen.

ahgloom

[Syber]

hi, genau dieses Problem habe ich auch.
Auf meinem jetzigen server PC hab ich meine 2. eingebaute Platte kommtplett mit truecrypt verschlüsselt. Nach dem hochfahen habe ich diese entschlüsselt und sie war als D: da

Habe jetzt in der VMware ine 2 40GB platte hinzugefügt diese in der kosole eingebunden danach mit Truecrypt verschlüsselt.
Beim enschlüsseln bekommt das Laufwerk automatich ein Lauferksbuchstabe E: ..
Die Frge ist jetzt wie ich alles aud D: verschlüsselt bekomme ?
D: st noch genausogroß wie davor also die neue Platte die ich eingebunden habe wurde nicht auf D: dazugerechnet
Wieso nicht ? ich denke wnen ich die Platten zusammenfüge würden die auf D: hinzukommen.
sehr komisch das ganze


Update:
Also zu 1. Ich denke das wird nicht gehen du musst also persönlich davorsitzen um das PW einzugeben
2. Habe mal die D: gelöscht und verschlüsselt.
Beim start ist diee dann nicht da.
Laufwerksbuchstabe habe ich entfernt damit Truecrypt es auf D: mounten kann.
Jedoch wir bei jedem neustart automatich das D: gesetzt ... Also muss ich jedesmal in Verwaltung und den laufwerksbuchstaben löschen und das laufwerk mounten mit TC.
Funzt soweit interessant ist jedoch was passiert wenn ich jetzt 2-3 Platten drin habe. Ist der gespiegelte inhalt nun unversclüsselt ?

[AliG]

ich denke wnen ich die Platten zusammenfüge würden die auf D: hinzukommen

Nein. Die Partition D: ist der Rest des Speicherplatzes der Systemfestplatte minus 20 GB. Neue Festplatten werden unter C:\fs\ eingebunden
Ich bezweifle, dass eine Verschlüsselung eines WHS-Poollaufwerkes klappen wird...

lg Alex