Eines vorweg: Es gibt in keinem deutschen Gesetzbuch einen Paragraphen, der Datenverschlüsselung für private Zwecke explizit verbietet bzw. unter Strafe stellt. In Russland Es gibt Länder, in denen die Kryptographie nur dann erlaubt ist, wenn man sich vorher beim Staat registriert hat. Die USA schreibt vor Anderswo wird vorgeschrieben, wie lang verschiedene Schlüssel maximal sein dürfen bzw. wie stark die Verfahren technisch verschlüsseln dürfen. “Im Falle eines Falles” soll damit immer die Möglichkeit bestehen bleiben, die Verschlüsselung doch noch zu knacken oder gar einen Zweitschlüssel zu haben.
Gerade im mobilen Bereich, bei Netbooks, Notebooks usw. kann es schneller passieren, dass unbefugte Zugriff auf das System erhalten (wollen/können). Das Gerät kann zum Beispiel auf verschiedenste Art und Weisen abhanden kommen. Im Desktop-Bereich besteht diese Gefahr nur durch Personen, die Zugriff auf den Standort des Gerätes haben. (Angriffe über Netzwerke stehen in diesem Artikel komplett außen vor!)
Ein simples BIOS-Passwort kann Umgangen werden, indem man Datenträger zum Beispiel in andere PCs ohne Passwort einbaut oder das BIOS zurücksetzt. Benutzerkonten auf Betriebssystemebene sind unter Umständen umgehbar, durch die Möglichkeit ganz leicht andere Betriebssysteme über USB-Stick oder CD zu booten. Ich will hier auch gar nicht alle “Angriffsmöglichkeiten” aufführen und niemanden zu kriminellen Handlungen anstiften. (Muss man solche Sätze eigentlich heutzutage pauschal in Texte einbauen, wenn man sich nicht strafbar machen möchte, wenn man über solche Themen schreibt?)
Im Veltrus.de Blog bin ich auf folgenden Artikel gestoßen: Anleitung: Benutzerverzeichnis von Mac OS mit TrueCrypt verschlüsseln
Die Software die dabei als Grundlage dient nennt sich TrueCrypt und ist OpenSource Software. Das bedeutet unter anderem, dass hier nicht versucht wird, zu verschleiern, wie Daten verschlüsselt wurden. “Security by Obscurity” hat sich, in allen mir bekannten Fällen, als nicht ausreichend herausgestellt und in fast allen Fällen, die als “Datenpanne” an die Öffentlichkeit gelangen, haben Verantwortliche scheinbar einfach gehofft, dass niemand herausfinden wird, welche Methoden zur Geheimhaltung verwendet wurden. Bei TrueCrypt kann man sich wie gesagt den Source-Code herunterladen und genau analysieren, welche Algorithmen verwendet werden können. Die Sicherheit hängt hier ganz klar vom verwendeten Verfahren und dessen Schlüssel ab.
Anders als beim verlinkten Artikel verwende ich keinen USB-Stick mit Key-File. So bequem diese Methode ist, der USB-Stick stellt hier einen zusätzlichen (und unnötigen) Single-Point-Of-Failure dar. Er kann kaputt gehen oder verloren gehen oder an Die geraten, die eben nicht Zugriff auf das System haben sollen. Nein, in meinem Fall soll immer schön das Passwort eingetippt werden. TrueCrypt bietet dabei zusätzlich die Möglichkeit einer “Plausible Deniability” (Mir ist einfach keine schöne Übersetzung dafür eingefallen). “In case an adversary forces you to reveal the password“.
Und wie wir bereits erfahren haben, auch die deutsche Polizei ist “machtlos” gegen TrueCrypt, wenn das Passwort bereits mehr als 17 Stellen hat. Werden zusätzlich noch KeyFiles verwendet, gilt es aktuell als unmöglich aus TrueCrypt brauchbare Daten zu extrahieren, wenn nicht alle Passwort-Bestandteile bekannt sind.
