[S] Sicherheit - nichts mehr ohne USB Stick

[supernode]

Hallo,

ich beginn diesen schönen Sonntagmorgen mit einer kleinen aber für mich eigentlich doch wichtigen Frage:

Wie kann man ein System dazu bringen nicht mehr ohne einen speziellen USB Stick zu booten bzw. an die Dateien zu kommen.

Nehmen wir doch mal zum Beispiel einen Fingerprint reader:

Er schützt wohl effizient gegen Zugriff aufs Betriebssystem aber auch erst wenn man schon am Passworteingabe-Fenster ist.

Der große Nachteil für mich ist allerdings dann dass wenn man die Platte an einen anderen Rechner ansteckt man zugriff auf sämtliche Dateien hat
(außer Eigene Dateien aber wer speichert dort schon seine wichtigen Dateien)



Also was ich suche ist wohl:

1) Wie bekommt man den Bootloader auf einen USB Stick

2) Wie verschlüssele ich meine Dateien und entschlüssel sie dann on-the-fly.
Wenn die verschlüsselung nur für ein Paar Ordner gelten würde wär das natürlich von Vorteil für die Schnelligkeit z.B. von Spielen.

3) Was mir dabei allerdings noch wichtig wäre ist: Wenn der USB Stick abgezogen wird soll das System sich abmelden aber weiterlaufen.
Ich kenne USB Acess mit dem das unter Windows im laufenden Betrieb relativ gut klappt.

Für alle die es nicht kennen hier die alte 1.0 Variante welche damals Freeware war:
http://martin.improve-teamplay.de/forumdeluxx/usb_access.exe



Ich bin auch bereit auf Linux umzusteigen wenn das denn von Nöten wäre. Allerdings wär da ein "zur Sicherheit" aufgesetztes Windows nicht schlecht.
Unter Windows würd natürlich nur 2000/XP zur Auswahl stehen.

 

[supernode]

Na keiner eine Idee?

Mein USB-Stick langweilt sich

 

[joshude]

hm......kann man dann nur mit angestecktem usb-stick booten?
wenn ja eine geile idde...sollte ich auch ma machen

 

[supernode]

Mein Traum wäre es wenn ich das Betriebssystem immer dabei hätte, die meisten Daten aber zu Hause auf der Festplatte sitzen.
Auf diese Daten soll man allerdings nur zugreifen können wenn der USB Stick angesteckt ist - also beim Programmstart/Dateiöffnen automatisch überprüft werden ob die Datei geöffnet werden darf oder nicht - ansonsten bleibt sie verschlüsselt.

Und auch wenn man die Festplatte in einen anderen Rechner einbaut: Sie soll nutzlos bleiben solang der Stick nicht da ist. (gut vielleicht noch einen zweiten USB Stick zur Sicherheit anmelden ist nicht falsch)

Im laufenden Betrieb soll der Rechner sich dann nicht verabschieden sondern nur ausloggen und die Dateien wieder in den verschlüsselten Zustand zurückversetzen. So wäre dann ein Zugriff auf Dateien eh unmöglich.

Da muss es doch was geben?

 

[QGel]

ich habe neulich noch einen bericht gelesen, mit dem OS auf nem stick/externe platte. glaueb c't...

 

[joshude]

hm....stimmt den habe ich glaube ich hier auchnoch rumfliegen *schnellaufdiesuchemach*

 

[deXTer2k4]

habs schon

man braucht dafür grub (bootloader) + eine linuxdistro die auf den usbstick passt: www.damnsmalllinux.org/ (50mb)

 

[QGel]

ach ja, acronis bietet auch noch eine an, damit sollte es vlt auch gehen

 

[joshude]

habs schon

man braucht dafür grub (bootloader) + eine linuxdistro die auf den usbstick passt: www.damnsmalllinux.org/ (50mb)

ist das linux?
wenn ja gibt es sowas halt auch für windoof und wie wende ich es dann an....was mus sich damit machen etc.
thx

 

[Madnex]

Schau mal hier: klick!

Mit diesem Programm kannst du deine gesamte Festplatte, inklusive Betriebssystem, verschlüsseln. Ohne das Passwort zu kennen, kommt keiner an die Daten ran.

 

[deXTer2k4]

@joshude: jap das ist linux.

dazu müsste man windows auf 50mb bringen

 

[King Bill]

@joshude: jap das ist linux.

dazu müsste man windows auf 50mb bringen

wenn man nen 1 gb usb stick hat kann man ja auch knoppix draufhauen, im bios dann einfach auf "usb device" booten

 

[QGel]

oder flashcards...oder exterme platte...gibt ja genug möglichleiten =)

 

[supernode]

Schau mal hier: klick!

Mit diesem Programm kannst du deine gesamte Festplatte, inklusive Betriebssystem, verschlüsseln. Ohne das Passwort zu kennen, kommt keiner an die Daten ran.

Das sieht schon ungefähr nach dem richtigen System aus.
Was ich mir aber noch vorstellen könnte/haben möchte.
Als zusätzlichen Sicherheitsmechanismus noch eine USB-Stick-Key Abfrage beim Booten. So in der Art von USB-Acess mit der Anmeldung mehrerer USB Geräten.

Dann wäre das so dass selbst mit Passwort der Rechner nicht starten würde.
Im Laufenden Windowsbetrieb würde der PC dann prüfen ob der spezielle USB Stick angeschlossen ist und nur dann einer Entschlüsselung on-the-fly der benötigten Dateien zustimmen.


@ Madnex: Wie sind denn deine Erfahrungen mit diesem Programm.
Sehr gut find ich auch dass es auch unter SuSe Linux laufen soll.
wäre es dabei auch möglich den MasterBootRecord auf den USB Stick zu legen?


Dass das OS ebenfalls auf dem MemoryStick sitzen soll wär ja nur ein Zusatz gewesen.

Vielleicht kommen noch ein Paar Vorschläge die speziell auch die USB Stick Methode einbinden?

 

[supernode]

Vielleicht meldet sich ja noch jemand?

http://www.abitz.com/security/securedoc.php3

das wär auch noch ne Möglichkeit allerdings sollte das kostenlos oder OpenSource sein.

 

[joshude]

Vielleicht meldet sich ja noch jemand?

http://www.abitz.com/security/securedoc.php3

das wär auch noch ne Möglichkeit allerdings sollte das kostenlos oder OpenSource sein.

genausowas suche ich...was heisst suche ich aber sowas währe cool!
also sozusagen muss ien usb stick im slot stecken [und evtl noch nen PW eingegeben werden] damit der pc bootet...
sowas ist das ja nur ist das sehr teuer
und das geht nicht mit dem usb stick oder?
da geht das nur mit benutzernamen und PW vor dem booten :|

aber wie gesagt ne combination aus usb-stick und PW wäre cool......unter win xp natürlich

falls jemand sowas finden sollte immer her damit

 

[supernode]

Unter WinXP könntest du dann ja noch USB Acess zusätzlich einsetzen damit man sich nicht mehr anmelden kann ohne USB Stick.
Wenn der Stick abgezogen wird ist es so dass man sofort aus dem System fliegt es aber im Hintergrund weiterläuft.

Mir gehts jetzt in erster Linie um das Booten weobei mehrere Sicherheitsregeln abgefragt werden sollen.

 

[jpk]

Wenn es dir prinzipiell um Sicherheit geht und nicht primär um einen USB-Stick, würde ich dir das hier empfehlen:

http://www.fitzenreiter.de/ata/ata.htm

Die Platte ist dann Passwortgeschützt, selbst wenn sie in einen anderen rechner kommt. Vorteil ist, dass du keine Geschwindigkeitseinbußen hast, weil es nichts verschlüsselt.
Nachteil: Wenn du auch das "Master-Pwasswort" vergisst, kommst du nicht mehr an die Daten ^^

MFG
jpk

 

[supernode]

und das geht nicht mit dem usb stick oder?

Da muss ich mal guggen ob man diesen Bootsektor auch auf einen USB Stick schreiben lassen kann.
Dann wär es ja sowas in etwa. und man könnte den stick rein theoretisch nach dem booten wieder abziehen, und mit usb acess zusammen wär es dann mein traum "programm"

Die Frage wär dann aber wie man den Windows Bootloader löschen/entfernen/deaktivieren kann?

Wenn es dir prinzipiell um Sicherheit geht und nicht primär um einen USB-Stick, würde ich dir das hier empfehlen:

http://www.fitzenreiter.de/ata/ata.htm

Die Platte ist dann Passwortgeschützt, selbst wenn sie in einen anderen rechner kommt. Vorteil ist, dass du keine Geschwindigkeitseinbußen hast, weil es nichts verschlüsselt.
Nachteil: Wenn du auch das "Master-Pwasswort" vergisst, kommst du nicht mehr an die Daten ^^

Klar das ist natürlich auch eine möglichkeit, das könnte man ja immernoch zusätzlich machen allerdings ist ein Bios Override schon etwas heftig - und es wird ja eine zusätzliche Netzwerkkarte benötigt.


Bin ja immernoch auf der Such enach einer all in one lösung.

 

[joshude]

ich glaube ich habe etwas:
http://www.kiesner.org/00148.html#PC-Sicherung mit Speicherstift

besonders der teil "Wie ein Schlüssel" dürfte intteressant sein

hier ein tutorila zu usb-access 2004 lite edition
http://devworld.de/pages/usb_preview.html

€:
habe es mal getestet mit miener speicherkart:
also ich habe alles eingestellt, der pc war an, habe die überwachung gestartte und die karte rausgezohen....ein von mir ausgewältes bild eershrein, ausser dem war nichts zu sehen und in einem von mir gewälten bereich war ein button wenn man da drauf gedrückt hat musste man ein PW eingeben....wie es jetzt ist wenn ich den pc hochfahre wies sich ncit

so wie ich das gemacht habe nannte sich das :
benutzerdefinierte sperroberfläche, es gibt aber noch "desktopfunktion daktievirten" und "windows sperrfunktion" wobei letzteres wohl das ist was ich und ihr sucht

ich hoffe ich konnte helfen

 

[supernode]

mit usb-access 2004 lite? dachte das wär kostenpflichtig?

(darum hab ich ja auch noch die 1.0 zum download angeboten ;D)

Wenn mit usb acess dann ist das so normal und so solls auch sein, man fliegt raus wenn man das entsprechende usb gerät entfernt.

Leider muss ich nun zur Arbeit aber am Wochenende werd ich mal den ganzen Links die nötige Beachtung schenken

 

[joshude]

habe jetzt mal die anderen funktionen ausprobier und muss leider sgaen das niochts von denen das gewünschte ist
das eine da kommt man auf den startbildschirm wo man die profile auswählen kann und bei dem 3. geht einfach alles weg, ausser das hintergrundbild und die maus wobei die sich nicht bewegen lässt.....also weis sich auchnicht was noch für möglichkeiten bleiben

 

[joshude]

und hat noch jemand was herausfinden können?

 

[Mr.Mito]

Klar das ist natürlich auch eine möglichkeit, das könnte man ja immernoch zusätzlich machen allerdings ist ein Bios Override schon etwas heftig - und es wird ja eine zusätzliche Netzwerkkarte benötigt.


Bin ja immernoch auf der Such enach einer all in one lösung.

Zur zusätzlichen Netzwerkkarte: JAIN !

Wenn dein Board z.B. nen Nforce 4 LAN und nen Realtek LAN hat, so kannst du einfach das bootrom vom Realtek LAN ersetzen und dadurch ohne extra LAN Karte das ATA Security Feature nutzen.

Z.B. fürs MSI K8N Neo 2 gibt es schon fertig gemoddete BIOS Versionen.


Die C´t hat das ganze als sicher bewertet, allerdings können professionelle Datenrettungsunternehmen den PW Schutz irgendwie umgehen. Wie das geht, wollten sie natürlich nicht verraten. Sie sagten nur, dass sie die HDD nicht zerlegen müssten, da sie einen Weg gefunden haben.


Zudem: Darf man erfahren was an den Daten SOOOOOOO wichtig ist? Wenn jemand die Platten hat und die Daten WIRKLICH will, so bekommt er sie auch, mit dem nötigen know-how oder eben der passenden Geldbörse. Wenn es um normale "Diebe" geht, so würde das ATA Passwort Feature sicherlich vollkommen ausreichen.

PS: Kein ABO auf den Thread hier.

 

[macman08]

Ist ja ganz toll mit dem USB-Stick... aber was ist, wenn er kaputt geht?
Kann sicherlich schnell passieren wenn man ihn ständig abziehn und mit sich rumtragen muss. Da ist ein Passwort doch unverwüstlicher.

 

[supernode]

Erst mal Entschuldigung dass ich die letzten Tage nicht so viel im Forum unterwegs war.

Ist ja ganz toll mit dem USB-Stick... aber was ist, wenn er kaputt geht?
Kann sicherlich schnell passieren wenn man ihn ständig abziehn und mit sich rumtragen muss. Da ist ein Passwort doch unverwüstlicher.

Klar ein Passwort muss natürlich schon sein, ich würde dass dann aber zusätzlich gern mit USB Stick sichern. Dass man da dann vielleicht noch einen zweiten USB Stick/Gerät anmeldet wär sicher nicht das große Problem. Geht ja bekanntlich, siehe USB Access.
Den zweiten Stick könnte man dann ja im Keller verstecken oder sonst wie unzugänglich machen.

Zudem: Darf man erfahren was an den Daten SOOOOOOO wichtig ist? Wenn jemand die Platten hat und die Daten WIRKLICH will, so bekommt er sie auch, mit dem nötigen know-how oder eben der passenden Geldbörse. Wenn es um normale "Diebe" geht, so würde das ATA Passwort Feature sicherlich vollkommen ausreichen.

Ja klar sind die Daten in meinem Fall nicht soooo wichtig aber ich würde das trotzdem gerne so haben und wollte nun nur mal rumfragen ob jemand ein solches Tool kennt.

Danke für den Tipp mit dem OnBoard Chip der Netzwerkkarten. Werds aber wohl trotzdem lieber mit ner 4€ Netzwerkkarte probieren, find ich persönlich etwas sicherer



Ich werds dann wohl so machen:

Zwei gespiegelte SpinPoints, die dann über das ATA Passwort sichern, zusätzlich das obige Freeware Programm und versuchen den Bootsektor auf den USB Stick zu legen. Falls das nicht klappt eben auf die Festplatte.

Für den Windows-Schutz dann USB Access, welche Version weiß ich noch nicht wobei die 1.0 völlig ausreichen sollte.

Noch wer ne Idee?

 

[joshude]

Zwei gespiegelte SpinPoints, die dann über das ATA Passwort sichern, zusätzlich das obige Freeware Programm und versuchen den Bootsektor auf den USB Stick zu legen. Falls das nicht klappt eben auf die Festplatte.

kannst du mir das mal näher erklären?

 

[supernode]

klar

man nehme:
2 * Samsung SpinPoint P120 250GB SATA II im Raid 1 (glaub ich) = spiegeln zur Datensicherung.
1 * Ata Password zeugs damit auf die (verschlüsselte) Festplatte nicht mal zugegriffen werden kann
1 * Verschlüsselung wobei ich versuche den Bootsektor auf den USB Stick zu bekommen und der PC nur mit gestecktem USB Stick gebootet werden kann. Ansonsten geht dann eben "Insert System Disc..." da. Wenn das aber nicht klappt mach ichs eben ohne USB Stick.
1 * USB Access damit man beim Abziehen des USB Sticks prompt aus dem Windows geschmissen wird. Ebenfalls hilft es einem auch nichts das Passwort zu von Windows irgendwie mitgeloggt zu haben da man dann prompt wieder aus dem System geschmissen wird (auch mit Passwort).

 

[joshude]

2 * Samsung SpinPoint P120 250GB SATA II im Raid 1 (glaub ich) = spiegeln zur Datensicherung.

das einfach nur als bsp. für ne hdd oder? ich kann auch meine ganz normale nehmen oder?

1 * Verschlüsselung wobei ich versuche den Bootsektor auf den USB Stick zu bekommen und der PC nur mit gestecktem USB Stick gebootet werden kann. Ansonsten geht dann eben "Insert System Disc..." da. Wenn das aber nicht klappt mach ichs eben ohne USB Stick.

das kann man so auf den usb stick machen und dann geht es nicht mehr ohne?


hm.....klingt ja alles ganz loisch.....wenn du das getestet hast und es funktioniert sagst du sicher bescheid oder?

 

[supernode]

das einfach nur als bsp. für ne hdd oder? ich kann auch meine ganz normale nehmen oder?

klar Für Raid brauchste aber (soviel ich weiß) 2mal die gleiche Platte.

das kann man so auf den usb stick machen und dann geht es nicht mehr ohne?

Das Programm schreibt sich soweit ich das verstanden hab in den Bootsektor und man startet dann nicht direkt mit Windows sondern kommt zuerst in das Programm und dann (nach Passworteingabe) wird die Verschlüsselung entsperrt und weiter gehts mit Windows.
Wär dann natürlich super wenn man den Bootsektor auf einen USB Stick legen würde weil dann der PC keinen "Eintrittspunkt" hätte.

Mir fehlt leider noch die zweite Festplatte und deswegen wird sich das wohl auch noch etwas rausschieben.