ist HDD Verschlüsselung bei einem Datenserver sinnvoll?

[wanne]

Ich mache das aus einem einzigen Grund: Ich kann am ende ohne schlechtes Gewissen die Platte wegwerfen/weiterverschenken/weiterverkaufen ohne das jemand an meine Daten kommt.
Kein nerviges Löschen oder sonst was. Schlüssel liegt entsprechend auf einer SD-Karte direkt neben den HDDs.

[hikaru]

Klassiker. Deswegen habe ich zu meinen wilden Zeiten die Schlüssel auf ’ner (ihrerseits verschlüsselten) μSD gehabt, die bei Problemen „aus Versehen“ zerbrochen wäre.

Bei Entschlüsselung über einen weiteren Datenträger, statt per Passwort stellt sich mir immer die Frage, ob das tatsächlich die Sicherheit erhöht.
Sicher, so ein Schlüssel kann weitaus komplexer sein, als jedes Passwort das ich mir je merken kann, aber ich muss dann diesen Entschlüsselungsdatenträger wieder absichern.

Einerseits muss ich ihn gegen technischen Ausfall absichern (Safety). Da ich ohne ihn nicht an meine Daten komme, muss der Entschlüsselungsdatenträger mindestens so ausfallsicher sein, wie der Daten-Datenträger selbst. SD-Karten (insbesondere µSD) und USB-Sticks scheiden hier eigentlich aus. HDDs sind für ein paar kB Inhalt unhandlich, und gerade im mobilen Einsatz in Gefahr, fallengelassen zu werden. SSDs (z.B. m.2 in externem Gehäuse) könnten besser geeignet sein, sind aber angesichts der gespeicherten Datenmenge auch sehr teuer. Externe HDDs/SSDs, die meisten USB-Sticks und einige SD-Karten lassen sich andererseits bei Bedarf nicht schnell genug sicher zerstören.
Ausfallssicherheit kann und muss ich auch über Backups herstellen. Realistisch betrachtet brauche ich mindestens zwei davon. Eines habe ich im direkten Zugriff, falls der Hauptdatenträger ausfällt, das andere muss ein Offsite-Backup sein, falls z.B. meine Wohnung abbrennt.

Backups erschweren aber wieder das Absichern gegen Angriffe Dritter (Security). Habe ich im Zweifelsfall Zeit, sowohl die Primär-µSD zu zerbrechen, als auch die Backup-µSD rauszukramen und ebenfalls zu zerbrechen? Was ist, wenn ich unterwegs bin und währenddessen bei einem Einbruch mein Datenbackup und mein Schlüsselbackup gestohlen wird? Wie ist die selbe Situation beim Offsite-Backup, wo ich das möglicherweise erst sehr viel später mitkriege?
Was hindert einen Angreifer daran, mich unter Drogen mit einem Schraubenschlüssel zu traktieren, um die Orte meiner Backups (Daten und Schlüssel) in Erfahrung zu bringen?

Bitte nicht falsch verrstehen, ich sehe durchaus den Sinn hinter Festeplattenverschlüsselung, aber ich finde, um das Thema wird viel zu viel Gewese gemacht. Ab einem bestimmten Punkt von Angreiferstärke erhöht eine Verschlüsselung nur den Aufwand für den rechtmäßigen Datenbesitzer, ohne dem Angreifer signifikant höhere Hürden zu setzen. Dieser Punkt ist mMn erreicht, wenn über gezielte Angriffe gesprochen wird, nicht über einfache Gelegenheitsdiebe, die z.B. im Zug mal ein Notebook mopsen.
Gegen Gelegenheitsdiebe ist es wiederum egal, ob man Passwörter oder Schlüsseldatenträger verwendet. Gegen Gelegenheitsdiebe braucht man auch sein Heim-NAS gar nicht absichern, denn das kann nur bei einem Einbruch entwendet werden. Ein Einbrecher wird mich im Zweifelsfall aber gleich mit einsacken, wenn er an meinem NAS interessiert ist.

[DeletedUserReAsG]

SD-Karten (insbesondere µSD) und USB-Sticks scheiden hier eigentlich aus.

Eigentlich nicht, weil man idealerweise nur lesend drauf zugreift. Kaputt gehen sie in der Regel, wenn man drauf rumschreibt. Zudem gab’s durchaus ein Backup – nicht auf einer zweiten μSD, sondern auf Papier (ich fand damals optar ganz toll. Heute würde ich einfach ’nen QR-Code nehmen). Und selbst das war noch wieder so geschützt, dass man den Schlüssel nicht einfach einlesen und verwenden konnte.

Bei Entschlüsselung über einen weiteren Datenträger, statt per Passwort stellt sich mir immer die Frage, ob das tatsächlich die Sicherheit erhöht.
Sicher, so ein Schlüssel kann weitaus komplexer sein, als jedes Passwort das ich mir je merken kann, aber ich muss dann diesen Entschlüsselungsdatenträger wieder absichern.

Was dadurch gegeben ist, dass der betreffende Datenträger selbst mit einer ordentlichen Passphrase verschlüsselt wird. Und damit erhöht’s die Sicherheit durchaus, denke ich: man muss etwas haben, und man muss etwas wissen – es reicht nicht, nur etwas zu haben (Datenträger), oder nur etwas zu wissen (Passwort).

Was hindert einen Angreifer daran, mich unter Drogen mit einem Schraubenschlüssel zu traktieren, um die Orte meiner Backups (Daten und Schlüssel) in Erfahrung zu bringen?

Vielleicht die Tatsache, dass es keine Drogen gibt, mit denen man gerade unter Gewaltanwendung Infos aus jemanden herausbekommen könnte, die dieser nicht freiwillig preisgeben möchte. Entweder Drogen und eine entsprechende Umgebung gepaart mit klassischem Social Engineering, oder halt Gewalt. Je komplexer das Backup geschützt ist (die primäre Karte hat man ja schon zerbrochen), desto geringer die Wahrscheinlichkeit, dass man das unter Einwirkung von Gewalt überhaupt selbst zusammenbekommen würde.

Ich persönlich halte „wenn jemand wirklich will, kommt er ja sowieso an die Daten – warum also der Aufwand?“ für genauso bedenklich wie das altbekannte „ich hab’ ja nix zu verbergen – warum also der Aufwand?“. Man sollte immer schauen, gegen wen man sich schützen will, und vor Allem, welche Folgen es für einen persönlich (oder für andere Leute im Umfeld) haben kann, wenn die betreffenden Daten aufgemacht werden. Wenn ich nun zum Beispiel geheime Regierungsinterna (die’s in einer freien, demokratischen Gesellschaft ja nicht einmal geben dürfte, aber das ist ’ne andere Geschichte …) ausleiten wollte, würde ich einen erheblich höheren Aufwand in Kauf nehmen, als wenn ich nur persönliche Bilder, Tagebuch, private Finanzdaten, etc. schützen wollte. Ganz ohne Schutz würde ich aber auch letztgenannte Daten nicht lassen – geschickt kombiniert lässt sich aus nahezu allen persönlichen Daten etwa ’n Druckmittel bauen, oder sonstiger Schaden anrichten. Und ich halte eine Festplattenverschlüsselung in diesem Fall für ein Mittel, das einerseits wenig Aufwand bedeutet und andererseits einen guten Grundschutz bieten kann.

[wanne]

SD-Karten (insbesondere µSD) und USB-Sticks scheiden hier eigentlich aus.

Ich sehe das massiv anders.
3 µSD-Karten sind um Größenordnungen ausfallsicherer als 2 HDDs. Und sie sind klein und billig. Und vor allem: Die schlüssel ändern sich nicht.
Mann kann da massenhaft beschreiben und die über die ganze Welt verteilen.

[hikaru]

SD-Karten (insbesondere µSD) und USB-Sticks scheiden hier eigentlich aus.

Eigentlich nicht, weil man idealerweise nur lesend drauf zugreift. Kaputt gehen sie in der Regel, wenn man drauf rumschreibt.

Mir ist aber bisher noch kein Flash-Datenträger wegen exzessizer Schreibvorgänge ausgestiegen (und ich benutze einige USB-Sticks und (µ)SD-Karten als Bootmedien). Dafür hatte ich bis jetzt zwei USB-Sticks und eine µSD-Karte, die "einfach so" nicht mehr wollten, ohne das sie jemals große Datenbewegung gesehen hätten.

Zudem gab’s durchaus ein Backup – nicht auf einer zweiten μSD, sondern auf Papier

Was machst du bei Verlust der intakten µSD-Karte? Tauschst du dann alle Schlüssel (und Schlösser) aus, wie bei einem verlorenen Hausschlüssel, oder spekulierst du darauf, dass schon nicht gerade der deine Karte findet, der auch dein Notebook klaut?

Bei Entschlüsselung über einen weiteren Datenträger, statt per Passwort stellt sich mir immer die Frage, ob das tatsächlich die Sicherheit erhöht.
Sicher, so ein Schlüssel kann weitaus komplexer sein, als jedes Passwort das ich mir je merken kann, aber ich muss dann diesen Entschlüsselungsdatenträger wieder absichern.

Was dadurch gegeben ist, dass der betreffende Datenträger selbst mit einer ordentlichen Passphrase verschlüsselt wird. Und damit erhöht’s die Sicherheit durchaus, denke ich: man muss etwas haben, und man muss etwas wissen – es reicht nicht, nur etwas zu haben (Datenträger), oder nur etwas zu wissen (Passwort).

Also Zwei-Faktor-Authentifizierung. Das ergibt durchaus Sinn.

Was hindert einen Angreifer daran, mich unter Drogen mit einem Schraubenschlüssel zu traktieren, um die Orte meiner Backups (Daten und Schlüssel) in Erfahrung zu bringen?

Vielleicht die Tatsache, dass es keine Drogen gibt, mit denen man gerade unter Gewaltanwendung Infos aus jemanden herausbekommen könnte, die dieser nicht freiwillig preisgeben möchte. Entweder Drogen und eine entsprechende Umgebung gepaart mit klassischem Social Engineering, oder halt Gewalt.

Mein Zitat wollte ich nur nahe am xkcd halten. Ob man wirklich Drogen mit Gewalt kombinieren würde, oder je nach Situation nur eines davon einsetzen würde, will ich mal dahingestellt lassen. Ich bezweifle aber grundsätzlich, dass ein Opfer das in der Lage wäre, einen Schlüssel oder dessen Position preiszugeben, auch unter Folter das Geheimnis bewahren würde. Klar kann das Opfer auch lügen, aber dann foltert man halt nochmal. Falls es ein selbstzerstörender Schlüssel ist, der bei Fehleingabe den Zugang vollständig blockiert, dann wird sich das Opfer sehr genau überlegen, ob es sich traut zu lügen.
Der springende Punkt ist: Wie wichtig ist dir der Schutz deiner Daten, wenn dein Leben in Gefahr ist?

Je komplexer das Backup geschützt ist (die primäre Karte hat man ja schon zerbrochen), desto geringer die Wahrscheinlichkeit, dass man das unter Einwirkung von Gewalt überhaupt selbst zusammenbekommen würde.

Was man dann vielleicht bereuen würde.

Ich persönlich halte „wenn jemand wirklich will, kommt er ja sowieso an die Daten – warum also der Aufwand?“ für genauso bedenklich wie das altbekannte „ich hab’ ja nix zu verbergen – warum also der Aufwand?“.

Mit Sicherheit! Aber es ist eben auch eine Frage der Verhältnismäßigkeit. Wenn jemand bereit ist Gewalt anzuwenden, um die Daten zu entwenden (Raub), dann ist er auch bereit Gewalt anzuwenden um an den Schlüssel zu kommen. Und ich halte es einfach für unrealistisch, dass ein untrainierter mitteleuropäischer Zivilist die mentale Stärke hätte, den Schlüssel (Passphrase und/oder Datenträger) preiszugeben. Bei Militärangehörigen oder anderweitig trainierten Personen (asiatische Kampfkünste - mentaler Aspekt) mag das anders aussehen.

Man sollte immer schauen, gegen wen man sich schützen will, und vor Allem, welche Folgen es für einen persönlich (oder für andere Leute im Umfeld) haben kann, wenn die betreffenden Daten aufgemacht werden.

Oder welche Folgen es haben kann, wenn die Daten nicht so einfach aufgemacht werden können (Anruf: "Wir haben ihr verschlüsseltes NAS - und ihre Kinder!").

3 µSD-Karten sind um Größenordnungen ausfallsicherer als 2 HDDs.

Aber nur wegen des Zahlenverhältnisses. Wie oben geschrieben, ist mir in den letzten 10 Jahren eine µSD-Karte unvermittelt ausgestiegen, die war zu dem Zeitpunkt weniger als 5 jahre alt. In den letzten 25 Jahren hatte ich zwei defekte HDDs die nicht auf "fallengelasssen" zurückgingen. Beide waren zum Ausfallzeitpunkt über 15 Jahre alt und kündigten den Ausfall akustisch an.
Ich will nicht behaupten, dass meine Zahlen repräsentativ wären, aber das bezweifle ich für deine Ausage ebenfalls.

Und sie sind klein und billig. Und vor allem: Die schlüssel ändern sich nicht.

Du wechselst also den Schlüssel bei Verlust nicht. Machst du das beim Verlust deines Hausschlüssels auch so?

[DeletedUserReAsG]

Mir ist aber bisher noch kein Flash-Datenträger wegen exzessizer Schreibvorgänge ausgestiegen (und ich benutze einige USB-Sticks und (µ)SD-Karten als Bootmedien). Dafür hatte ich bis jetzt zwei USB-Sticks und eine µSD-Karte, die "einfach so" nicht mehr wollten, ohne das sie jemals große Datenbewegung gesehen hätten.

Mir schon. Und mir sind auch schon einige Flash-Medien ohne erkennbaren Grund ausgestiegen, ja. Daher Backup – wäre etwas Aufwand gewesen, aus meinem Backup ’ne neue „Schlüsselkarte“ zu erstellen, aber das war so gewollt. Zudem ging ich davon aus, das nicht wöchentlich tun zu müssen, und tatsächlich hat die betreffende Karte bis zur Umstellung meiner Sicherheitsstrategie einige Jahre durchgehalten.

Was machst du bei Verlust der intakten µSD-Karte? Tauschst du dann alle Schlüssel (und Schlösser) aus, wie bei einem verlorenen Hausschlüssel, oder spekulierst du darauf, dass schon nicht gerade der deine Karte findet, der auch dein Notebook klaut?

Einerseits waren die Schlüssel auf der Karte sowieso nicht ohne Weiteres lesbar (weil auf ’nem verschlüsselten FS), andererseits: ja – dank der acht Keyslots von LUKS lässt sich problemlos ein neuer Schlüssel etablieren und im Anschluss der alte Schlüssel löschen. Hilft natürlich nix, wenn der Angreifer vorher ’ne Kopie des LUKS-Headers gezogen hat – wenn man das befürchten muss, bleibt tatsächlich nur noch die Neuverschlüsselung der Daten. Ist etwas Aufwand, aber machbar.

Falls es ein selbstzerstörender Schlüssel ist, der bei Fehleingabe den Zugang vollständig blockiert, dann wird sich das Opfer sehr genau überlegen, ob es sich traut zu lügen.
Der springende Punkt ist: Wie wichtig ist dir der Schutz deiner Daten, wenn dein Leben in Gefahr ist?

Wenn mein Leben sowieso an den Daten hängen würde, wär’s zumindest eine gewisse Chance, wenn man die Daten unbrauchbar machen kann. Man kann sich aber zumindest einigermaßen sicher sein, dass sich die Frage „Leben oder Daten“ in diesem Land (noch?) nicht stellt. Jedenfalls im Normalfall nicht. Wenn man natürlich Putins geheimes Tagebuch oder Trumpeltiers dunkle Geheimnisse geklaut hat, sieht’s vielleicht anders aus – aber das ist ja nun auch nicht gerade der Normalfall.

Die Frage mit „falsche Eingabe → Daten löschen?“ habe ich mir auch mal gestellt. Bin dann zu dem Schluss gekommen, dass vielleicht eine Dreiwege-Weiche eine Möglichkeit wäre: richtige Eingabe → Zugriff. Falsche Eingabe 1 → Zugriff (auf plausibel aussehende Fake-Daten). Falsche Eingabe 2 → alles zerfällt (+ normale falsche Eingabe → „versuch’s nochmal“).

Was man dann vielleicht bereuen würde. […] Oder welche Folgen es haben kann, wenn die Daten nicht so einfach aufgemacht werden können (Anruf: "Wir haben ihr verschlüsseltes NAS - und ihre Kinder!").

Das hat man sich ja vorher überlegt, was man mehr bereuen würde: die Freigabe der Daten, oder die Folgen der Weigerung. Da ich keine Kinder habe, wäre mir so ’ne Drohung eh reichlich egal. Aber um’s wieder in Richtung Realität zu schubsen: der Durchschnittsbürger wird vermutlich nicht in eine solche Situation kommen. Es reicht also, wenn er sich gegen zu erwartende Situationen absichert. Dass der Kleinkriminelle von nebenan das NAS klaut, sieht dass die Daten verschlüsselt sind und sich dann den Schlüssel mit Gewalt besorgen geht, ist nicht sehr wahrscheinlich. Die Worst-Case-Szenarien für die meisten Leute in D werden vermutlich sein: jemand klaut das unverschlüsselte NAS, findet kompromittierende Daten drauf und versucht, damit noch etwas obendrauf zu erpressen oder benutzt die gefundenen Daten schlicht zum ID-Diebstahl, und: die Staatsgewalt nimmt den Kasten mit, weil irgendjemand es toll fand, anonym anzuzeigen, dass man irgendwas Böses geplant hätte. Hat man nicht, aber man hat, warum auch immer, anderweitig strafrechtlich relevantes Material gespeichert – hierzulande muss bei so Zufallsfunden dann auch in die Richtung ermittelt werden; allerdings hat man das Recht, sich nicht selbst zu belasten – wenn der Kram ordentlich verschlüsselt ist, hat man also gute Chancen, nur den Verlust der Hardware und der Daten beklagen zu müssen.

[hikaru]

Man kann sich aber zumindest einigermaßen sicher sein, dass sich die Frage „Leben oder Daten“ in diesem Land (noch?) nicht stellt. Jedenfalls im Normalfall nicht.

Im Normalfall stellt sich auch die Frage nicht, ob jemand Unbefugtes mein Notebook oder NAS in die Hände kriegt. Wozu also überhaupt verschlüsseln?
Wenn wir über Szenarien diskutieren, in denen die Verschlüsselung überhaupt zum Tragen kommt, dann reden wir immer über Situationen außerhalb des Normalen. Beim Notebook reicht ein einfacher Gelegenheitsdieb, beim NAS muss zumindest ein Einbruch her. Beides sind keine Normalfälle, zumindest nicht in meinem Umfeld. Gegen beide Szenarien reicht eine einfache Passphrase-Verschlüsselung und ich muss mir keine Backups für Schlüsseldatenträger an's Bein binden.

Relevanz für Schlüsseldatenträger sehe ich nur in Szenarien, in denen der Angreifer nicht nur die kriminelle Energie hat mein Eigentum zu entwenden, sondern darüber hinaus bereit ist, mich als Person anzugreifen (um z.B. an die Passphrase zu kommen). In so einem Szenario halte ich es aber nicht mehr für realistisch, selbst wirksamen Widerstand zu leisten. Wozu also Schlüsseldatenträger?
Manch einer mag jetzt Bequemlichkeit einwerfen, weil es einfacher sei, einen USB-Stick anzustöpseln als eine 20+-Zeichen-Passphrase einzugeben. Das ist aber eine Milchmädchenrechnung, denn so ein Schlüsseldatenträger darf natürlich nicht offen auf dem Schreibtisch rumliegen und in der Geldbörse ist er auch viel zu auffällig. Man muss ihn also jedes mal aus seinem Versteck hervorkramen und auch wieder gut verstecken (vorher den Besuch rausschicken nicht vergessen!). Und im Zweifelsfall traue ich eher dem Einbrecher als mir selbst zu, zu beurteilen was ein gutes und was ein schlechtes Versteck ist.

[DeletedUserReAsG]

Im Normalfall stellt sich auch die Frage nicht, ob jemand Unbefugtes mein Notebook oder NAS in die Hände kriegt.

Es ist halt eine Frage der Wahrscheinlichkeiten. Für geklaute Hardware gibt es genug Beispiele und Statistiken; für Leute, denen unter Androhung des Todes oder der Bedrohung der körperlichen Unversehrtheit der Schlüssel abgepresst wurde, ist mir hierzulande nichts bekannt. Ebenso gibt’s genug Fälle, in denen irrtümlich oder gar klar widerrechtlich Hausdurchsuchungen mit Beschlagnahme von EDV-Kram stattfanden, und es soll gar vorkommen, dass von dieser Seite auch etwa Hardware-Keylogger installiert werden.

Solche Keylogger, z.B., wären etwas, wovor ein Schlüsseldatenträger schützen kann. Damit könnte der Angreifer die Passphrase für den Schlüsseldatenträger abfangen, käme damit aber dennoch nicht weiter. Dafür kann man dann aber den Datenträger in der Geldbörse haben und muss auch den Besuch nicht rausschicken, um das Ding zu verstecken (solange der Besucher nicht gerade der Angreifer ist, oder der Angreifer unbemerkten Zugriff auf die Geldbörse hat, ist der Datenträger alleine auch nutzlos).

Bevor das noch weiter ausartet: jeder muss selbst wissen, wie weit er geht. Wenn du dich mit Passphrase alleine, oder auch gar keiner Verschlüsselung, auschreichend geschützt siehst – bitte sehr. Ich hingegen bin der Meinung, dass eine Passphrase in Verbindung mit einem Datenträger erheblich mehr Schutz für nicht wesentlich höheren Aufwand bietet und hoffe, dass das kein zu großes Problem für dich darstellt.

[hikaru]

Bevor das noch weiter ausartet: jeder muss selbst wissen, wie weit er geht. Wenn du dich mit Passphrase alleine, oder auch gar keiner Verschlüsselung, auschreichend geschützt siehst – bitte sehr. Ich hingegen bin der Meinung, dass eine Passphrase in Verbindung mit einem Datenträger erheblich mehr Schutz für nicht wesentlich höheren Aufwand bietet und hoffe, dass das kein zu großes Problem für dich darstellt.

Das stellt für mich kein Problem dar, ich würde nur gern herausfinden mit welchen Situationen du rechnest, in denen der Schlüsseldatenträger für dich einen Zugewinn an Sicherheit bringt. Das Keyloggerszenario kann es eigentlich nicht sein, den jemand der einen Keylogger bei dir installieren kann, der kann auch deinen Schlüsseldatenträger auslesen sobald du ihn ansteckst.

[DeletedUserReAsG]

Es geht nicht um ’nen Software-Keylogger, das System selbst läuft ja bei der Eingabe noch nicht. Und ’n Hardware-Keylogger etwa in der Tastatur kann keine anderen Datenträger auslesen. Wenn natürlich der Angreifer derart Zugriff auf die Firmware hat, um dort seinen Keylogger unterzubringen, ist’s wieder eine andere Sache. Ich hab nicht behauptet, dass die Lösung umfänglich sicher wäre – nur eben, dass sie gegen mehr Szenarien schützen könnte, als nur eine Passphrase alleine.

Ein weiterer Vorteil wäre, dass man mit einer Passphrase mehrere Schlüssel schützen kann. Schon mal ’n Device ein halbes Jahr nicht gebootet und dann versucht, dich an die Passphrase zu erinnern? Gut – da gibt’s Systeme zum Ableiten von sicheren Passphrases – aber deutlich bequemer ist’s doch, einen 20+-stelligen String einzutippen, bei dem man schon gar nicht mehr nachdenken muss, weil’s Muskelgedächtnis den aufgrund der häufigen Nutzung gespeichert hat. Ebenso bequem ist’s Hinzufügen neuer Schlüssel (etwa zum Austauschen, oder weil neue Geräte hinzugekommen sind): einmal dd aus random und fertig.

Im Übrigen rechne ich derzeit mit keiner Situation. Ich schließe nur nicht aus, dass sich eine solche ergeben könnte, und fände es dann doof, wenn ich aus Bequemlichkeit (oder was auch immer sonst für dich gegen ’nen Datenträger spricht) mögliche Sicherheit verschenkt hätte.

[hikaru]

Es geht nicht um ’nen Software-Keylogger, das System selbst läuft ja bei der Eingabe noch nicht. Und ’n Hardware-Keylogger etwa in der Tastatur kann keine anderen Datenträger auslesen.

Wenn ein Angreifer einen HW-Keylogger in deiner Tastatur unterbringen kann, was sollte ihn dann daran hindern, auch einen an deinen USB-Ports anzubringen? Ich würde sogar vermuten, das wäre heute der gängige Weg, denn auch die Tastatur läuft meist über USB.

Ein weiterer Vorteil wäre, dass man mit einer Passphrase mehrere Schlüssel schützen kann.

Die so gesicherten Daten auf mehreren Datenträgern kann man auch ohne Umweg über einen Schlüssel mit der selben Passphrase schützen.

[DeletedUserReAsG]

was sollte ihn dann daran hindern, auch einen an deinen USB-Ports anzubringen?

Möglicherweise die Manipulationssicherung am Rechnergehäuse.

Die so gesicherten Daten auf mehreren Datenträgern kann man auch ohne Umweg über einen Schlüssel mit der selben Passphrase schützen.

Und wenn dir die Passphrase dann abhanden kommt (auf welche Art auch immer – Keylogger, akustische Überwachung, Kamera, Funktastatur, …), hat der Betreffende Zugriff auf alle Geräte gleichermaßen, ohne noch den zweiten Faktor zu benötigen. Wenn du die Passphrase mal ändern willst, musst du’s bei allen Geräten gleichermaßen tun, während ich einmal die Passphrase meines Datenträgers austausche. Wenn dir ein Gerät abhanden kommt, und du ausschließen möchtest, dass jemand, der (wie auch immer) mal in Kenntnis deiner Passphrase gelangt, drauf zugreifen kann, hast du keine Möglichkeit dafür – während ich einfach den betreffenden Schlüssel lösche. Bestimmt fallen mir noch mehr Szenarien ein, in denen die Lösung mit Passphrase und Datenträger Vorteile bietet. Aber ich denke, nun bist du mal an der Reihe darzulegen, welche Vorteile deine Nur-Passphrase-Lösung aufweist

[hikaru]

was sollte ihn dann daran hindern, auch einen an deinen USB-Ports anzubringen?

Möglicherweise die Manipulationssicherung am Rechnergehäuse.

Und du glaubst, jemand der deine Tastatur manipulieren kann ohne dass du es merkst kann nicht auch dein Gehäuse manipulieren, ohne dass du es merkst?
Ich weiß nicht, was du so für Manipulationssicherungen kennst, aber die die ich kenne taugen auch maximal gegen Gelegenheitsangreifer (Blech mit Öse für Vorhängeschloss, meinetwegen noch mit elektrischer Unterbrechung).

Und wenn dir die Passphrase dann abhanden kommt

Dann bin ich längst in einem Szenario mit einem derart überlegenen Angreifer, dass ich mich ohnehin außerstande sehe, wirksamen Widerstand zu leisten.

Aber ich denke, nun bist du mal an der Reihe darzulegen, welche Vorteile deine Nur-Passphrase-Lösung aufweist

Das ist einfach: Bequemlichkeit - unter realistischer Abwägung meiner Abwehrfähigkeiten gegen die Vehemenz des Angreifers.
Wer mehr macht als meine Bude aufzubrechen und mitzunehmen was gerade so an beweglicher Elektronik rumsteht, der spielt eh in einer anderen Liga.

[DeletedUserReAsG]

Und du glaubst, jemand der deine Tastatur manipulieren kann ohne dass du es merkst kann nicht auch dein Gehäuse manipulieren, ohne dass du es merkst?

Ja. Wobei auch hier wieder gilt: absolute Sicherheit gibt’s nicht. Aber um mein Gehäuse zu öffnen, ohne, dass ich davon was mitbekomme, müsste derjenige schon reichlich exzessiv Infos gesammelt und Vorbereitungen getroffen haben. Und selbst dann stehen die Chancen gut, dass er etwas übersehen hat.

Wer mehr macht als meine Bude aufzubrechen und mitzunehmen was gerade so an beweglicher Elektronik rumsteht, der spielt eh in einer anderen Liga.

Klingt so nach „Die sind Profis, die kommen ja doch ran, da muss ich mir den Aufwand auch nicht machen“. So richtig schwarz/weiß nach dem Schema „normaler Einbrecher: DAU, jemand mit etwas mehr Erfahrung: GOD“. Ich sehe das farbenfroher, bei mir gibt’s noch 256 shades of grey dazwischen. Aber nun ja – jeder, wie er mag.

[hikaru]

Aber um mein Gehäuse zu öffnen, ohne, dass ich davon was mitbekomme, müsste derjenige schon reichlich exzessiv Infos gesammelt und Vorbereitungen getroffen haben. Und selbst dann stehen die Chancen gut, dass er etwas übersehen hat.

Hast du dazu nähere Infos? Muss ja nicht direkt zu deinem Gehäuse sein, aber falls es ottonormaltaugliche Rechnersicherungen gibt die deutlich besser sind als einfache Vorhängeschlösser und Unterbrecherkreise, dann weiß ich davon nichts - und das würde ich gern ändern.

Klingt so nach „Die sind Profis, die kommen ja doch ran, da muss ich mir den Aufwand auch nicht machen“. So richtig schwarz/weiß nach dem Schema „normaler Einbrecher: DAU, jemand mit etwas mehr Erfahrung: GOD“. Ich sehe das farbenfroher, bei mir gibt’s noch 256 shades of grey dazwischen. Aber nun ja – jeder, wie er mag.

Ja, es ist schwarz/weiß, aber nicht wegen DAU/GOD, sondern wegen der Bereitschaft des Angreifers ob er nur mein Eigentum angreift, oder auch mich persönlich. Gegen Ersteres kann ich mich mit meinen Mitteln wehren, aber dazu reichen Passphrases. Gegen Letzteres kann ich mich nicht wehren, denn dazu bräuchte ich zusätzlich zu Schlüsseldatenträgern mindestens auch Bodyguards und sowas wie eine Spionageabwehr.

[DeletedUserReAsG]

Hast du dazu nähere Infos?

Von elektronisch ausgefeilten Kram (mittels z.B. μ-Controllern und Sensorik geht da heutzutage einiges) über chemische Spielereien (etwa zwei Stoffe, die eindeutig und dauerhaft sichtbar miteinander reagieren, wenn eine Membran beschädigt wird), zu simplen mechanischen Mitteln (beispielsweise nicht ad-hoc nachmachbare Siegel - da gibt’s interessante Techniken für), gerne auch alles wild miteinander kombiniert … die Grenzen setzen eigentlich nur die eigene Phantasie und die Motivation, Zeit und Arbeit zu investieren.

Und je ausgefallener, desto schwerer wird’s, die Manipulation in einem gegebenen Zeitrahmen (in der Regel die Zeit, in der man etwa arbeiten ist) zu vertuschen.

Ich würde auch die technischen Fähigkeiten eines Angreifers nicht danach beurteilen, ob er mein Eigentum oder mich selbst angreift. Sondern nach den technischen Fähigkeiten, die er an den Tag legt. Und da mag von „wtf, Datenmüll⸘“ über „Probieren wir mal ›passwort‹ … war’s nicht … probieren wir mal ›1234‹ … war’s auch nicht […]“ über „extrahieren wir mal den Schlüssel, und versuchen den mit diesem schönen Cracktool und diesem schmucken Wörterbuch hier die Passphrase rauszubekommen“ über „die verwendete Version hat doch diesen hübschen Angriffspunkt …“ über „unser hübsches Mikro hinter dem Bild und das akustische Profil der Tastatur haben’s in nur zwei Wochen ermöglicht, die Passphrase zu extrahieren“ über „Ha, der hat nicht mal unseren kleinen Keylogger bemerkt, der da wie so’n Ferrit-Dingens am Tastaturkabel aussieht“ über […] alles dabei sein. Und noch viel mehr
Und meiner Meinung nach schränkt man den Kreis der Personen, die wirklich an die Daten kommen könnten, mit jeder zusätzlichen Sicherungsmaßnahme etwas weiter ein. Ist halt immer ein Abwägen, muss jeder für sich machen.

[weshalb]

Hast du dazu nähere Infos?

Von elektronisch ausgefeilten Kram (mittels z.B. μ-Controllern und Sensorik geht da heutzutage einiges) über chemische Spielereien (etwa zwei Stoffe, die eindeutig und dauerhaft sichtbar miteinander reagieren, wenn eine Membran beschädigt wird), zu simplen mechanischen Mitteln (beispielsweise nicht ad-hoc nachmachbare Siegel - da gibt’s interessante Techniken für), gerne auch alles wild miteinander kombiniert … die Grenzen setzen eigentlich nur die eigene Phantasie und die Motivation, Zeit und Arbeit zu investieren.

Und je ausgefallener, desto schwerer wird’s, die Manipulation in einem gegebenen Zeitrahmen (in der Regel die Zeit, in der man etwa arbeiten ist) zu vertuschen.

Ich würde auch die technischen Fähigkeiten eines Angreifers nicht danach beurteilen, ob er mein Eigentum oder mich selbst angreift. Sondern nach den technischen Fähigkeiten, die er an den Tag legt. Und da mag von „wtf, Datenmüll⸘“ über „Probieren wir mal ›passwort‹ … war’s nicht … probieren wir mal ›1234‹ … war’s auch nicht […]“ über „extrahieren wir mal den Schlüssel, und versuchen den mit diesem schönen Cracktool und diesem schmucken Wörterbuch hier die Passphrase rauszubekommen“ über „die verwendete Version hat doch diesen hübschen Angriffspunkt …“ über „unser hübsches Mikro hinter dem Bild und das akustische Profil der Tastatur haben’s in nur zwei Wochen ermöglicht, die Passphrase zu extrahieren“ über „Ha, der hat nicht mal unseren kleinen Keylogger bemerkt, der da wie so’n Ferrit-Dingens am Tastaturkabel aussieht“ über […] alles dabei sein. Und noch viel mehr
Und meiner Meinung nach schränkt man den Kreis der Personen, die wirklich an die Daten kommen könnten, mit jeder zusätzlichen Sicherungsmaßnahme etwas weiter ein. Ist halt immer ein Abwägen, muss jeder für sich machen.

Wirklich cool, Niemand.

[spiralnebelverdreher]

Hast du dazu nähere Infos?

... zu simplen mechanischen Mitteln (beispielsweise nicht ad-hoc nachmachbare Siegel - da gibt’s interessante Techniken für), gerne auch alles wild miteinander kombiniert … die Grenzen setzen eigentlich nur die eigene Phantasie und die Motivation, Zeit und Arbeit zu investieren.

Zu diesen schwer kopierbaren Siegeln hab ich irgendwo mal gehört (CCC ??), dass da jemand zwei Sorten Nagellack (unterschiedliche Mode-Farben, mit Glitzerteilchen) direkt nebeneinander aufgetragen hat und dann mit einem Zahnstocher die beiden Flüssigkeiten leicht vermischt hat .. im debian-swirl-style vielleicht. Dann trocknen lassen und Foto von machen ... dürfte einem unter Zeitdruck stehenden Nachahmer schwer fallen, das exakt zu reproduzieren. Vor allem wenn genau diese Modefarben schon seit Jahren out sind. Aber auch hier gilt: es ist bestenfalls eine hohe Hürde, aber ein extrem gut vorbereiteter Angreifer kann damit vielleicht umgehen.

[hikaru]

Von elektronisch ausgefeilten Kram (mittels z.B. μ-Controllern und Sensorik geht da heutzutage einiges) über chemische Spielereien (etwa zwei Stoffe, die eindeutig und dauerhaft sichtbar miteinander reagieren, wenn eine Membran beschädigt wird), zu simplen mechanischen Mitteln (beispielsweise nicht ad-hoc nachmachbare Siegel - da gibt’s interessante Techniken für), gerne auch alles wild miteinander kombiniert … die Grenzen setzen eigentlich nur die eigene Phantasie und die Motivation, Zeit und Arbeit zu investieren.

Sicher, MacGyver* kann da viel machen. Aber ich fragte ja nach ottonormaltauglichen Methoden, also etwas das ich mehr oder weniger fertig bei $Onlinehändler kaufen kann und von mir nicht wesentlich mehr handwerkliches Geschick erfordert, als ich ohnehin beim Rechnerschrauben brauche.

Ich würde auch die technischen Fähigkeiten eines Angreifers nicht danach beurteilen, ob er mein Eigentum oder mich selbst angreift. Sondern nach den technischen Fähigkeiten, die er an den Tag legt.

Ich verstehe den Gedanken, aber ich glaube, du machst hier den zweiten Schritt vor dem ersten. Am Anfang steht ja der Wunsch des Angreifers, meine Daten zu erhalten (ob nun als eigentliches Ziel oder nur als (Druck)Mittel zum Zweck). Die Frage ist dann, wie groß seine Motivation ist, dieses Ziel zu erreichen, und nach dieser Motivation richtet sich sein Ehrgeiz, nicht nach seinen technischen Fähigkeiten. Falls sein Ehrgeiz größer ist als seine Fähigkeiten, dann kauft er sich Letztere einfach ein.
Genau aus dieser Betrachtung kommt meine Trennung in einfache technische Angriffe, die ich meine als Privatmensch abwehren zu können, und komplexe persönliche Angriffe, die ich meine nicht abwehren zu können, denn jemand mit genug Ehrgeiz wird immer die Mittel aufbringen können, meine Verteidigung zu überwinden.

Und da mag von „wtf, Datenmüll⸘“ über „Probieren wir mal ›passwort‹ … war’s nicht … probieren wir mal ›1234‹ … war’s auch nicht […]“ über „extrahieren wir mal den Schlüssel, und versuchen den mit diesem schönen Cracktool und diesem schmucken Wörterbuch hier die Passphrase rauszubekommen“ über „die verwendete Version hat doch diesen hübschen Angriffspunkt …“ über „unser hübsches Mikro hinter dem Bild und das akustische Profil der Tastatur haben’s in nur zwei Wochen ermöglicht, die Passphrase zu extrahieren“ über „Ha, der hat nicht mal unseren kleinen Keylogger bemerkt, der da wie so’n Ferrit-Dingens am Tastaturkabel aussieht“ über […] alles dabei sein. Und noch viel mehr

Erinnerst du dich noch, wo unsere Diskussion herkam? Aus dem xkcd-Comic mit dem Schraubenschlüssel. D.h., wir reden hier über ein Szenario, in dem der Angreifer bereit und in der Lage ist, dem Opfer bleibenden körperlichen Schaden zuzufügen, möglicherweise bis zum Tod. Ich halte es in diesem Szenario für nebensächlich, wie schwer es für den Täter ist, an die Daten zu kommen, denn je schwerer es ihm das Opfer macht, umso größer wird der Schaden sein, den der Täter dem Opfer zufügt.

Und meiner Meinung nach schränkt man den Kreis der Personen, die wirklich an die Daten kommen könnten, mit jeder zusätzlichen Sicherungsmaßnahme etwas weiter ein. Ist halt immer ein Abwägen, muss jeder für sich machen.

Das ist sicher richtig. Aber du hast am Ende nichts davon, wenn deine Datensicherung so sicher war, dass der Angreifer nicht rankam, du aber dafür tot bist.

Zu diesen schwer kopierbaren Siegeln hab ich irgendwo mal gehört (CCC ??), dass da jemand zwei Sorten Nagellack (unterschiedliche Mode-Farben, mit Glitzerteilchen) direkt nebeneinander aufgetragen hat und dann mit einem Zahnstocher die beiden Flüssigkeiten leicht vermischt hat .. im debian-swirl-style vielleicht. Dann trocknen lassen und Foto von machen ... dürfte einem unter Zeitdruck stehenden Nachahmer schwer fallen, das exakt zu reproduzieren. Vor allem wenn genau diese Modefarben schon seit Jahren out sind. Aber auch hier gilt: es ist bestenfalls eine hohe Hürde, aber ein extrem gut vorbereiteter Angreifer kann damit vielleicht umgehen.

Klingt überraschend praktikabel. Aber ich bastele auch gern an meinem Rechner. Irgendwann würde mir wohl der Platz für neue Nagellack-Siegel ausgehen.


*) Der Echte, aus den 80ern, nicht der arrogante Schnösel der heute durch's TV flitzt.

[DeletedUserReAsG]

Aber ich fragte ja nach ottonormaltauglichen Methoden, also etwas das ich mehr oder weniger fertig bei $Onlinehändler kaufen kann

Ich denke, wenn es eine fertige Lösung zu kaufen gibt, wird es auch jemanden geben, der die fertige Lösung zum Umgehen der fertigen Lösung in der Kramkiste hat. Schließlich kann er sich genau die Lösung kaufen und solange tüfteln, bis er sie überwunden hat. Man muss schon etwas bringen, womit derjenige nicht rechnet und worauf er sich nicht vorbereiten kann. In irgend’nem Buch habe ich mal eine Aussage gelesen, die das treffend auf den Punkt brachte (sinngemäß wiedergegeben): „Das Alarmsystem war für die Wenigsten ein Problem. Ein großer Teil schaffte es auch, den Faden wieder zwischen die Tür zu klemmen. Aber den zertretenen Kekskrümel unter Fußmatte, den hat noch keiner ersetzt …“. Ich glaube, das war sogar von Pratchett.

Die Frage ist dann, wie groß seine Motivation ist, dieses Ziel zu erreichen, und nach dieser Motivation richtet sich sein Ehrgeiz, nicht nach seinen technischen Fähigkeiten. […] Genau aus dieser Betrachtung kommt meine Trennung in einfache technische Angriffe, die ich meine als Privatmensch abwehren zu können, und komplexe persönliche Angriffe, die ich meine nicht abwehren zu können, denn jemand mit genug Ehrgeiz wird immer die Mittel aufbringen können, meine Verteidigung zu überwinden.

Und ich sehe da eben keine Trennung, sondern fließende Übergänge. Auch Böslinge müssen wirtschaftlich agieren, die eingesetzten Mittel sollten niedriger sein, als das, was man rausbekommen könnte. Und selbst staatliche Böslinge haben keine unbegrenzten Mittel.

Erinnerst du dich noch, wo unsere Diskussion herkam? Aus dem xkcd-Comic mit dem Schraubenschlüssel. D.h., wir reden hier über ein Szenario, in dem der Angreifer bereit und in der Lage ist, dem Opfer bleibenden körperlichen Schaden zuzufügen, möglicherweise bis zum Tod. Ich halte es in diesem Szenario für nebensächlich, wie schwer es für den Täter ist, an die Daten zu kommen, denn je schwerer es ihm das Opfer macht, umso größer wird der Schaden sein, den der Täter dem Opfer zufügt.

Es ist recht schwierig, das zu beurteilen. In einem Land, in dem jemand zur Erhaltung seiner Macht ein Menschenleben opfern kann, und keiner genauer nachfragt, mag das ein Szenario sein, das man in Betracht ziehen müsste. Da ich allerdings nicht in einem solchen Land lebe (hoffe ich mal einfach), kann ich da auch nur hypothetische Überlegungen anstellen. Eine wichtige Frage wäre dann: was will derjenige? Will er tatsächlich an die Daten, weil er sie unbedingt braucht? Dann wird er mich wohl kaum umlegen, wenn ich seine einzige Chance bin, an die Daten zu kommen. Oder will er nur sicherstellen, dass die Daten nicht veröffentlicht werden? Auch da lassen sich Sachen bauen, die sicherstellen, dass genau das passiert, wenn er mich umlegt. Und man müsste auch andere Aspekte betrachten: was passiert, wenn ich die Daten preisgebe? Wäre ich dann überflüssig, und wahrscheinlich sowieso tot? Oder würde ich dann von der Gegenseite gejagt, was auf das Gleiche hinausliefe? Dann kann ich genausogut jede Möglichkeit unterbinden, an die Daten zu gelangen. Für mich wäre das Ergebnis das Gleiche, aber immerhin hat derjenige nicht das bekommen, was er wollte. Weitere Fragen könnten sein: Geraten dadurch Dritte in Lebensgefahr? Bin ich bereit, mein Leben über ihres zu stellen? Erleide ich durch die Preisgabe der „nur“ (materielle) Verluste, die sich überwinden lassen? […] – derlei Fragen (und viele mehr) müsste man sich vorher stellen und seine Schutzstrategie entsprechend ausarbeiten.

Aber du hast am Ende nichts davon, wenn deine Datensicherung so sicher war, dass der Angreifer nicht rankam, du aber dafür tot bist.

Je nach Sichtweise. Zumindest aus Sicht eines Dritten habe ich da immer noch mehr von gehabt, als wenn ich tot wäre und der Angreifer die Daten hätte. Ich gehe mal nicht davon aus, dass mich jemand verschleppt, mich bedroht, foltert, etc., ich ihm dann die Daten gebe, und er mich dann losbindet und mit ’nem herzlichen Händedruck zur Tür hinausführt, sich für meine Kooperation bedankend …

Wenn es aber nur die Abwägung zwischen „Verlust persönlicher Freiheit“ und „Totalverlust der Daten“ wäre (hierzulande wohl wahrscheinlicher als Verlust der körperlichen Unversehrtheit), liegt zumindest für mich die Antwort auf der Hand.