Dev-Partition mit VeraCrypt verschlüsseln?

[LTE5]

Ich stelle mir gerade eine Frage und nun auch euch: würde es etwas an der Sicherheit ändern, wenn ich eine extra Partition für meine Delphi-Projekte anlege und diese mit VeraCrypt verschlüssle?

Wenn ich darauf zugreifen kann, kann das dann nicht auch gegebenenfalls eine Schadware die sich auf dem PC befindet?

[bnreimer42]

VeraCrypt hilft nur, wenn ein anderer den Rechner in die Finger bekommt und Du nicht angemeldet bist bzw. das VeraCrypt Volume nicht getrennt wurde.

Ich verwende VeraCrypt für Daten.

Mein Delphi läuft in einer VM und ist somit abgeschottet von der anderen Arbeitsumgebung, zumindest bis auf Laufwerke zur Übertragung der fertigen Programme.

Die Frage ist, was willst Du erreichen?

Eventuell ist eine Versionsverwaltung die Lösung für Dein Problem?

[Ghostwalker]

Festplatten/Partitionen vereschlüsseln macht imho nur in folgenden Scenarien sinn:


a) Bei portablen Platten, da die geklaut werden können. Somit wir dem Dieb es nicht ganz so leicht gemacht,
an die Daten zu kommen.

b) Wenn ggf. mehre Leute theoretisch auf den PC zugreifen können (also z.B. im Büro). Auch hier wird es dem
(potentiellen) Dieb nicht so einfach gemacht, an die Daten zu kommen, wenn du mal nicht am PC sitzt.

Klar kann eine Schadsoftware, die bereits auf dem PC ist, entsprechend auf die Daten zu greifen. Aber es ist ja auch nicht Sinn und Zweck einer Festplattenverschlüsselung (zumindest nicht der Hauptzweck). Für den Schutz vor Schadsoftware hilft eine Anti-Viren-Software und der gesunde Menschenverstand :)

[LTE5]

So ganz verstehe ich VeraCrypt noch nicht. Wäre hier dann ein verschlüsselter Container die bessere Wahl, den ich ein- und ausbinde wenn notwendig?

[dummzeuch]

Zitat:

Zitat von Ghostwalker (Beitrag 1388993)

Festplatten/Partitionen vereschlüsseln macht imho nur in folgenden Scenarien sinn:


a) Bei portablen Platten, da die geklaut werden können. Somit wir dem Dieb es nicht ganz so leicht gemacht,
an die Daten zu kommen.

b) Wenn ggf. mehre Leute theoretisch auf den PC zugreifen können (also z.B. im Büro). Auch hier wird es dem
(potentiellen) Dieb nicht so einfach gemacht, an die Daten zu kommen, wenn du mal nicht am PC sitzt.

c) Für Notebooks, da die geklaut werden können.

[LTE5]

Meine Idee war jetzt in etwa so

ich erstelle eine Partition E für Entwicklung von 10 GB. In diesem Container sind alle meine Quelltexte.
MOit VeraCrypt erstelle ich eine 9,99 GB großen Containerdatei, die ich auf D speichere. Und immer wenn ich was mit Delphi machen möchte, was etwa 1x am Tag vorkommt, dann binde ich den Container ein und am Ende wieder aus.

Macht man das in etwa so?

[Ghostwalker]

Die Frage ist eher, ob überhaupt eine Verschlüsselung notwendig ist. :)

Denn eine Verschlüsserlung on the fly auf einem Entwicklungssystem frist Leistung und Zeit wie andere Leute Kekse :)

[Der schöne Günther]

Dumme Frage, ich kenne mich damit nicht wirklich aus.

Angenommen ich versuche meinen Quelltext jetzt nicht vor Mossad, FSB oder NSA zu schützen, sondern lediglich vor anderen Unternehmen und ähnlichen Bösewichten.

Welchen Vorteil bietet der ganze Aufwand mit zusätzlichen (upzudatenden) Tools wie VeraCrypt im Gegensatz zur betriebssystem-eigenen Verschlüsselung (NTFS auf Windows Professional)?

Das deckt doch ebenso gut die bislang genannten Punkte a)-c) ab, oder?

[LTE5]

Zitat:

Denn eine Verschlüsserlung on the fly

Ist ja nicht on the fly. Man entschlüsselt den Container einmal, bindet ihn ein und am Ende verschlüsselt man wieder alles.
Während der Nutzung sind die Daten also unverschlüsselt.

Ich hatte ein paar Tage lang einen Miner-Schädling auf dem PC der es irgendwie in C:\ProgramData geschafft hat. Deswegen gehe ich lieber auf Nummmer-sicher.

Zitat:

Welchen Vorteil bietet der ganze Aufwand mit zusätzlichen (upzudatenden) Tools wie VeraCrypt im Gegensatz zur betriebssystem-eigenen Verschlüsselung (NTFS auf Windows Professional)?

VeraCrypt ist kostenlos. Die 2 Updates pro Jahr bringen mich nicht um. Windows Pro habe ich nicht.

[Zacherl]

Zitat:

Zitat von LTE5 (Beitrag 1389020)

Zitat:

Denn eine Verschlüsserlung on the fly

Ist ja nicht on the fly. Man entschlüsselt den Container einmal, bindet ihn ein und am Ende verschlüsselt man wieder alles.
Während der Nutzung sind die Daten also unverschlüsselt.

Nö. Für dich sieht es zwar so aus, aber die ver/entschlüsselung ist trotzdem on-the-fly.

Zitat:

Zitat von LTE5 (Beitrag 1389020)

Ich hatte ein paar Tage lang einen Miner-Schädling auf dem PC der es irgendwie in C:\ProgramData geschafft hat. Deswegen gehe ich lieber auf Nummmer-sicher.

Dagegen hilft VeryCrypt kein Stück.

[LTE5]

Dass VeraCrypt nicht gegen einen Miner hilft ist mir klar.
Aber man weiß ja nicht, was noch in Zukunft kommt. Da es ja scheinbar doch on-the-fly-Verschlüsselung ist... sehen die Daten für mich also normal aus, sind aber verschlüsselt und wenn ich sie nutze werden sie entschlüsselt. Rein theoretisch könnte mir also jemand die Daten klauen und ohne mein Passwort oder die Schlüsseldatei nix damit anfangen. Ist das richtig?

Nur darum geht es mir. Denn wie gesagt. Man weiß nicht was in Zukunft noch kommt.

[mensch72]

..."Ist ja nicht on the fly. Man entschlüsselt den Container einmal, bindet ihn ein und am Ende verschlüsselt man wieder alles.
Während der Nutzung sind die Daten also unverschlüsselt."...

?wie kommst du darauf?
- klar arbeitet VeraCrypt "OnTheFly" wenn du einen Container als Laufwerk einbindest!
- man kann mit einem 100GB CryptoContainer problemlos arbeiten, wenn im Hauptsystem nur noch 10GB HDD frei... da wird also 100% nicht alles erst dekodiert:)
(es ist ja kein WinRar, wo es alles decodiert/entpackt und erst zum Schluss wieder codiert/gepackt wird)


CryptoContainer(VeraCrypt,...) sind im Falle von HW-Defekten oder Schädlingen sogar viel gefährlicher als zig kleine Dateien... denn wenn durch HW-Error oder hier ein Verschlüsselungstrojaner nur 1x 1000..400Bytes binnen Millisekunden verändert ist der kommplette Container WERTLOS.
Bei vielen kleinen Dateien dauer das viel länger und fällt eher auf und zerstötz nicht sofort alles

Also wer Angst vor Datenverlust hat DARF KEINE CryptoContainer im Alltagseinsatz verwenden.
Da hilft z.B. ein externes NAS mit einem speziellem Filesystem, was alle Schreibzugriffe pro Datei loggt und so stets per Tools alle "Versionen" über Zeit X verfügbar/wiederherstellbar hält

[mensch72]

bei CryptoContainern klaut niemand den Container... da warten alle bis du den mal eingebunden hast und dann klauen sie dir einzelne Dateien daraus... das macht selbst der BundesTrojaner so:)

Also solange du dein EW-System mit dem INET verbunden hast bleibt es per se so unsicher wie bisher... beseitge lieber die Gründe warum/wie/wo so ein böses Tool aktiv auf dein System kommen konnte!

[LTE5]

Zitat:

Also wer Angst vor Datenverlust hat DARF KEINE CryptoContainer im Alltagseinsatz verwenden.
Da hilft z.B. ein externes NAS mit einem speziellem Filesystem, was alle Schreibzugriffe pro Datei loggt und so stets per Tools alle "Versionen" über Zeit X verfügbar/wiederherstellbar hält

Gibt es bereits. Habe ein extra NAS mit EXT4-Festplatten drin. Eine Festplatte davon ist bei Windows eingebunden. Der Rest dient nur als Backup der ersten Festplatte (manuelles rsync).

Kann man solchen Trojanern, Crypter-Trojanern usw denn nicht den Zugriff auf meine Netzfreigabe im Arbeitsplatz verbieten?

Was Crypto-Trojaner angeht. Wenn ich doch eh 2 Backups meiner Daten, in dem Fall dem Container, habe, bin ich dann nicht auf der sicheren Seite, selbst wenn einer davon verschlüsselt werden sollte?

[mensch72]

..."Kann man solchen Trojanern, Crypter-Trojanern usw denn nicht den Zugriff auf meine Netzfreigabe im Arbeitsplatz verbieten?"...

NEIN, die einzige Sicherheit ist physische Trennung, also im einfachstem Fall mehrere externe USB-Festplatten, wo rollierend immer nur eine zum Backup angesteckt wird
(und wenn was passiert ist, man die letzte gute Kopie NIEMALS direkt zum Restore verwendet, sondern immer diese Platte erst an einem dritten Sauberem System dupliziert, auch das lernen wir von den (staatlichen)Forensikern: arbeite stets nur mit Kopien, niemals mit dem Orginal)

Wenn du eine externe NAS verwendest, dann hat die hoffentlich Wechselplatten oder pro Platte einen !mechanischen! Schalter für einen HW-Schreibschutz.

[LTE5]

Das sind ganz normale NAS-Festplatten. HotSwap hat das Gehäuse nicht.
Sie sind aber unter Debian nicht eingebunden. Reicht das?

[mensch72]

..."Reicht das?"...

NEIN!
- alles was du remote PER SOFTWARE deaktivieren kannst, lässt sich gewollt oder ungewollt auch PER SOFTWARE remote wieder aktivieren
- Archiv oder Backup Platten gehören nur die kurze Zeit wo das Backup läuft mit dem System verbunden, und sonst immer physikalisch und wenn möglich räumlich getrennt gelagert

[LTE5]

Dann muss ich mir wohl ein externes 3.5"-Gehäuse anschaffen und 1 bis 2x die Woche per USB verbinden.
Die anderen Platten kann ich ja trotzdem drin lassen.

Aber um auf die Ausgangsfrage zurückzukommen:
extra Partition + verschlüsselter Container den ich ein- und ausbinde ja/nein?

Da wären wir ja wieder beim Thema: warum die Tür gleich gleich offen lassen wenn der Einbrecher ggf Zeit verliert, wenn sie abgeschlossen ist.

[mensch72]

.."Dann muss ich mir wohl ein externes 3.5"-Gehäuse anschaffen und 1 bis 2x die Woche per USB verbinden."..
jo, aber nimm statt externes Gehäuse lieber eine Festplattendockingstation und 3..5 einzelne Standardfestplatten samt passender Transport/Schutzhüllen.

z.B. was noch sehr günstiges:
https://www.amazon.de/Inateck-Festpl.../dp/B00GIDSYYW

[Zacherl]

Zitat:

Zitat von LTE5 (Beitrag 1389032)

Aber um auf die Ausgangsfrage zurückzukommen:
extra Partition + verschlüsselter Container den ich ein- und ausbinde ja/nein?

Da wären wir ja wieder beim Thema: warum die Tür gleich gleich offen lassen wenn der Einbrecher ggf Zeit verliert, wenn sie abgeschlossen ist.

Deiner Analogie folgend wäre es in diesem Falle aber so, wie wenn du die Wohnungstür mit einer super krassen Alarmanlage sicherst, gleichzeitig aber das Fenster offen stehen lässt.

Wenn du die Befürchtung hast, dass jemand PHYSIKALISCHEN Zugriff auf dein Gerät erlangen könnte (z.b. Laptop klauen, etc.), dann erstell dir deinen verschlüsselten Container.
Wenn es dir aber um Zugriff per Trojaner, etc. geht, dann kannst du dir die Sache sparen.

[LTE5]

Alles klar.
Aber irgendwie verstehe ich das noch nicht. Da die Daten ja on the fly entschlüsselt werden heißt das doch folglich, dass sie bei Nichtnutzung verschlüsselt sind.

Wieso lohnt sich das denn dann nicht?

[mensch72]

Verschlüsselung lohnt und dient dem Schutz gegen Datenklau bei Verlust der Hardware durch Diebstahl.

Solange du das Passwort zur Nutzung des CryptoContainers an einem PC eingibst, wo ein Trojaner drauf sein kann(und der das abfangen/mitschneiden wird), nützt dir Verschlüsselung nix gegen Datenveränderung/Datenzerstörung durch so einen Trojaner... einziger Ausweg dein DebianNAS hat eine eigene Tastatur und einen eigenen Monitor(also nur phys. ZUGRIFF und NIEMALS REMOTE), dann kannst du NUR DORT unter Debian VeraCrypt installieren und bei Bedarf deine Container dort per Passwort einbinden oder deaktivieren.

Das schütz dich dann gegen Datenklau bei HARDWARE-Verlust, aber nicht gegen HW-Defekt oder Datenveränderung wenn du von deinem Trojanersystem auf den aktivierten(=offenen) Cryptocontainer zugreifst... da helfen dann wieder nur zig getrennte Backups deines CryptoContainers auf meherer exterenen Fesplatten:)

[LTE5]

Hört sich alles spannend an.
Ich denke ich sollte dann weiter meine Festplatten-Strategie fahren und zusätzlich immer eine Festplatte im Schrank liegen haben.
Habe mir eben außerdem eine vernünftige Firewall installiert, die mir hoffentlich vieles mitteilt was im System passiert. Registry-Änderungen, Dateiveränderungen, Ein- und Ausgehende Verbindungen werden schonmal gut erkannt.

[mensch72]

..."Ich denke ich sollte dann weiter meine Festplatten-Strategie fahren und zusätzlich immer eine !MEHRERE! Festplatten woanders im Schrank liegen haben."...

Jo:)

[LTE5]

Abschließend hätte ich noch eine Frage.
Laut Windows ist nur SYSTEM dazu berechtigt in ProgramData zu schreiben.
Wie konnte dieser Schädling sich also in ProgramData abspeichern?

[bnreimer42]

Indem er sich SYSTEM-Rechte besorgt, wie sonst :-)

Trojaner können das, sonst würde es sie nicht geben!

[LTE5]

Ist das unter Windows 10 noch immer möglich?
Ich kenne mich nicht aus aber ist das ganze Sicherheitssystem dann nicht Blödsinn hoch 10 wenn der Nutzer nicht vorher gefragt wird oder es sonst irgendwelchen anderen Riegel gibt?

[mensch72]

"Programmdata" hat doch mit Systemrechten nix zu tun!...
das wurde doch extra erfunden damit Programme dort idealerweise (nur) ihre Daten gezielt ablegen können. (weil "Programme" und "ProgrammeX86" jetzt eben sicher sind.

Das Rechtesystem von Win10 funktioniert schon und ab den ProVersionen kann man das per Gruppenrichtlinien auch sehr einfach selbst weiter verfeinern&anpassen.

Also: es kommt zwar etwas drauf an wer den Ordner erstellt hat.... aber auch wenn man kein Admin ist, dann hat man eben unter dem ProgrammData Ordner nur auf die Ordner Schreibrechte, die man selber erstellt hat (da wo man Besitzer ist)... un ja da darf dann auch ein Trojaner den man selbst gestartet hat reinschreiben was er will :)

Aber nach meiner Erfahrung arbeiten fast alle WindowsHome Anwender eh selbst ständig als "Admin", weil sie nicht wissen wie sie da selbst gezielt ihre Rechte konfigurieren sollen.
Sorry, deshalb ist WindowsXYhome für mich zum sicheren Arbeiten ein NoGo... die 100€ für eine WinPro Lizenz machen einen nicht arm und MS nicht spürbar reich8-)

[LTE5]

Was genau ist am Rechtesystem der Home denn besser?
Was soll man da einstellen, damit es sicherer wird?

[mensch72]

..."Was genau ist am Rechtesystem der Home denn besser?"...
gar nichts!

..."Was soll man da einstellen, damit es sicherer wird?"...
zur täglichen Arbeit mindestens einen zweiten Extranutzer anlegen der NICHTS INSTALLIEREN kann, also welcher maximal nur "Standardnutzer" und absolut kein "Admin" ist


Noch besser von "Home" auf "Pro" Version upgraden und dort weiteres per Gruppenrichtlienien gezielt konfigurieren:)

[LTE5]

Zitat:

zur täglichen Arbeit mindestens einen zweiten Extranutzer anlegen der NICHTS INSTALLIEREN kann, also welcher maximal nur "Standardnutzer" und absolut kein "Admin" ist

Braucht man dafür spezielle Kenntnisse oder kann das sogar ich als Home-Nutzer mit entsprechender Pro-Version?

Aber was wenn so ein Schädling kommt und er sich nicht installieren muss und sich einfach irgendwohin kopiert? Wie ist die Definition von installieren?

[Delphi.Narium]

Schädlinge müssen nicht installiert werden, ein Klick auf 'nen passenden Mailanhang kann reichen ...

Es muss letzlich nur irgendein auf dem System ausführbarer Schadcode sein.

Ob der nun per Installation kommt, per angeklickten Mailanhang oder per JavaScript (oder sonstwas) auf 'ner Website ausgeführtem, AutoRun auf 'nem beliebigen Datenträger ..., ist wurscht.

[LTE5]

Heißt dass, dass sich so ein Ding sogar auf die Festplatte in ProgramData einnisten kann, wenn ich in einer Mail auf einen Link klicke?
Ich dachte immer was im Browser passiert, bleibt auch im Browser.

[Zacherl]

Zitat:

Zitat von LTE5 (Beitrag 1389051)

Heißt dass, dass sich so ein Ding sogar auf die Festplatte in ProgramData einnisten kann, wenn ich in einer Mail auf einen Link klicke?

Im schlimmsten Falle, über ein Exploit z.b., ja.

Zitat:

Zitat von LTE5 (Beitrag 1389051)

Ich dachte immer was im Browser passiert, bleibt auch im Browser.

:lol:

[Delphi.Narium]

Nutze mal die Suchmaschine Deiner wahl mit folgenden Suchbegriffen:

browser schadsoftware installation

browser click schadsoftware

browser exploit

mail exploit

Und in beliebiger Kombination und was Dir sonst noch so an Stichwörtern zum Thema einfällt.

So, wie bei der Suche der Phantasie keine Grenzen gesetzt sind, sind der Entwicklung von Schadsoftware auch keine Grenzen gesetzt.

Gehe davon aus, dass alles, was Du Dir als möglich vorstellst, auch von irgendwem produziert werden kann. Und wenn der Aufwand "erträglich" ist, auch umgesetzt wird ;-)

[mensch72]

..."Braucht man dafür spezielle Kenntnisse"...
Ja, man sollte zumindest mit der Benutzung von google vertraut sein;)
Es geht also auch irgendwie mit der Homeversion.

z.B.
https://support.microsoft.com/de-de/...-in-windows-10
usw..

Selbst im VHS Windows Kurs vermitteln die heute diese Grundlagen Sicherheit, das man bei Win Installation mindestens 2 Nutzerkonten anlegt, eines als "Admin" für Installationen und Updates, eines als Standardbenutzer zur täglichen normalen Arbeit.

Böse Webseiten benötigen nur ein passendes altes Java oder einen nicht 100% aktuellen WebBrowser... dann reicht denen auf die pure Anzeige eine WebSeite um böse Dateien auf deinen PC zu bringen. Bei aktuellem Browser und OS benötigt es zum Glück meist immernoch eines Klicks auf einen bösen Link auf einer WebSeite oder in einer Mail.

Ganz beliebt sind .exe oder .scr Dateien, welche ein "PDF-Icon" drin haben und dieses auch angezeigt wird. Wenn man da wie als Standard voreingestellt "bekannte Dateieindungen ausblendet" klick man ganz fix mal auf ein optisch normal aussehendes Icon als vermeintlich ungefährliches "PDF-Dokument" und startet damit unmittelbar eine Schadsoftware mit den eigenen aktuellen Windowsrechten... das gemeine, das pure ablegen solcher Dateien ohne sie zu starten löst oft keinen Alarm aus... wenn der Nutzer dann aus Zufall oder Neugier völlig normal im Windowsexplorer und nicht mehr im Browser draufklickt ist es passiert.

..."Ich dachte immer was im Browser passiert, bleibt auch im Browser."...
wovon träumst du sonst noch;)

[Der schöne Günther]

Zitat:

Zitat von LTE5 (Beitrag 1389051)

Ich dachte immer was im Browser passiert, bleibt auch im Browser.

What happens in Vegas stays in Vegas 8-)


Naja, schön wär's.

[LTE5]

Um das auszuformulieren.
Wenn ich irgendwo auf Download klicke und den Speicherort wähle, ist die Sache klar.
Aber ich wusste nicht, dass ein Browser auch Sachen eigenständig woanders als da wo ich es will ablegen kann.

[Namenloser]

Das meiste wurde schon gesagt, nur hierzu möchte ich noch etwas anmerken:

Zitat:

Zitat von Ghostwalker (Beitrag 1389016)

Denn eine Verschlüsserlung on the fly auf einem Entwicklungssystem frist Leistung und Zeit wie andere Leute Kekse :)

Praktisch alle modernen CPUs haben AES-NI, das heißt der Overhead ist nahezu 0. Außerdem sind Dateizugriffe ohnehin IO-bound und nicht CPU-bound.

[LTE5]

Was ich bis jetzt noch nicht verstanden habe ist, welchen Sinn VeraCrypt dann überhaupt hat, wenn man die Container ja eh nicht verwenden sollte.