650MB schlüssel

[HothGremlin]

hiho

ich entwickle gerade ein hi-sec computer.
nun mein problem: er muss vollkommen knacksicher sein.
zuerst dachte ich eine 128bite verschlüsselte festplatte reiche aus aber-> mhm. das andauernde ent/verschlüsseln dauert da wohl zu lange.
dann dachte ich einfach partitionstabelle ein PW-prog rein-geht schon, aber viel zu unsicher, schließlich gibts ja 16er.

aber nun:
schlüssel auf cd!
ich brauch ein programm das mir, einen 650mb key auf cd als ausgangspunkt, erst mit diesem key zugriff auf die platte ermöglicht, also platte verschlüsselt und erst mit cd im LW und richtigem 650MB key gehts los.

wäre echt cool wenn wer von euch sowas hätte oder wüsste wie ichs bekomm.

greetinx,
hg

[HothGremlin]

mhm... mir ist gerad eingefallen dass cds wohl zu groß als schlüssel sind, also habe ich mich für ne 250mb minicd entschieden. die frage von mir ist die selbe wie oben:
kann wer ein prog, das die festplatte auf basis des 250mb schlüssels verschlüsselt/entschlüsselt?

wäre super,
hg

[rebugger]

sag mal, wieviel zeit hast du zum entschlüsseln ???
Das der PC ne 250MB-Datei ausliest, überprüft und dann die ganze Festplatte (welche ein paar GB beträgt), entschlüsselt, brauchst du stunden.....

[HothGremlin]

mhm, tja, das dachte ich mir schon ....

wie lange glaubst du dauert es eine ganze festplatte mit nem 256bit schlüssel zu entschlüsseln? Hat wer von euch Richtwerte?

Das wäre eigentlich eh das wichtigste.

achja: gibts irgendwo ein (linux oder windows)-tool das mir die ganze festplatte verschlüsselt und beim booten mit einem key, sagen wir auf diskette, entschlüsselt?


greetinx,
hg a wg

[rebugger]

ich glaube, du hasts nicht ganz verstanden...
eine ganze festplatte zu ver- und entschlüsseln (nehmen wir mal 10GB an - is klein, ich weiß) kann schon 30min oder vieeeeel mehr dauern...

[HothGremlin]

oha, asso...

verstehe.
verdammt nochmal. wieso scheitert alles in der praxis.

mhm...

na gut, nichtsdestotrotz... . gibts ein prog (win/linux) das eine ganze partition verschlüsselt und dann eben freigibt?

oder muss ma selber coden?

denn ich werde nicht drumherum kommen zumindest die sec-partition zu verschlüsseln, egal wie lange es dauert. Das muss einfach sein.

danke für den rat,
hg

[eikcaj]

hola,

de ontwort lautet strongdisk.

bla bla,
theke/bar.

' mellow mood has got me darlin... . (http://www.zigamorphslew.com)

[RFC822]

http://www.freebsd.org/doc/de/books/handbook/disks-encrypting.html
Wie wärs damit?

[HothGremlin]

dank an eikjaj, aber das wars nicht.

zu RFC822:
SEHR GUT. Genau was ich gesucht habe. Nochne frage: weiß einer von euch ob ich das tool ohne Probleme nach Knoppix portieren kann?
Und gibts son tool auch für windows?

ansonsten: danke schon mal an unseren Admin.
perfekt :)

thanx&greetinx,
hg

[lizz]

http://www.drivecrypt.com/drivecrypt.html

[HothGremlin]

ohjea, danke!!

genau das!


so, jetzt kann ich den securecomp zuerst auf windows testen und dann wenn alles funzt mit unix kompilen.

sehr gut :).

dank an alle,
hg

[hack-O-mat]

Wie wärs mit PGP?
http://finnell.org/pgp658ckt08.zip

Kannst damit eine Partition anlegen welche Du nur mit passendem key mounten kannst. Das ist auf jeden Fall sicher und relativ schnell dazu.

[HothGremlin]

ok, fein, danke

[dexcs]

Original geschrieben von HothGremlin

nun mein problem: er muss vollkommen knacksicher sein.


Da haste ein Problem, jawohl.

[mdsade]

kernel-cryptoapi

[expose]

Ich schließ mich mal pclol an und verwiese auch auf die kernel-crypoapi, wobei du dann deinen knack-sicheren-pc wirklich selbst entwickeln musst, anstatt nur wie es jeder trottel kann die tools saugen und installieren..........

[mdsade]

müsste er so oder so selber machen, von alleine wird nix sicher - auch nicht durch das ausführen von irgendwelchen tools. bei mir läuft die AES unter debian 3.0 ganz sauber, auch wenn ich einige zeit benötigt habe bis ich den dreh raushatte wegen dem gepatchten mount.
um es anders zu sagen: die geschichte ist total unterdokumentiert.

ps: dass du mich mit jemanden anderen verwechselst nehm ich dir ausnahmsweise nicht übel, da es mein erster tag als registrierter user ist. ;-)

[HothGremlin]

so, habe mich nun lange zeit schon mit dem hardwaremäßigen aufbau beschäftig (ohne sicherere hardware brauche ich mit der software ja garnicht erst beginnen ;)).

bin nun dazugekommen das tool anzusehen (http://www.kernelnewbies.org/kernels/rh80/SOURCES/linux-2.4.18-cryptoapi.patch). Muss sagen: sieht echt fein aus! Vor allem da es open ist wird es wohl keine Schwachstellen besitzen (was bei PGP wie auch bei den anderen hier geposteten Tools ja nicht unbedingt der Fall sein muss -> man siehe CIA Skandal PGP.

so, kämpge mich also gerade durch den (allerdings wirklich schlecht dokumentierten) source. Die Gacke ist ja, dass der Linux Kernel nach freischalten der Platte die Windows PArtition freigeben muss und dann ohne nachfragen nachbooten mit auf der Disk verzeichneter Freigabe welche gleich nach dem Booten wieder gelöscht werden muss (ok, ist noch verbesserungsbedürftig! :( ).

naja, danke mal an alle, ich werde schaun was sich machen lässt (wird wohl noch ein "bisserl" dauern .. )

whatever..
thanx&greetinx,
hg a wg

[deepthought]

Vor allem da es open ist wird es wohl keine Schwachstellen besitzen

Das würde ich an deiner Stelle nochmal überdenken. Nur weil etwas Open-Source ist, heißt das nicht dass es keine Schwachstellen gibt. Was glaubst du wieviele Leute den Code wirklich überprüft haben, geschweige denn in der Lage wären einen potentiellen Implementierungsfehler zu entdecken?

[thodi]

Original geschrieben von HothGremlin
Vor allem da es open ist wird es wohl keine Schwachstellen besitzen
Muhahaha.
http://www.openbsd.org/errata33.html
http://www.netbsd.org/Security/
ftp://ftp.netbsd.org/pub/NetBSD/packages/distfiles/vulnerabilities
http://www.freebsd.org/releases/4.8R/errata.html

[HothGremlin]

okokok
dass immer gleich alles so auf die Waagschale gelegt werden muss.

Der punkt ist doch der: wenn ich mich entscheiden müsste zwischen einem o-source und einer golden dann is o-source doch sicher die bessere wahl?!

aber so weis aussieht wird man wohl wieder selber zum editor greifen müssen .. :( .. grmbl..

mein prob ist eben dass ich ein 100& sicheres encrypt-tool brauche und das bitte auf bootebene ohne hintertüren diverser entwickler; und diese hintertüren sind bei open source wohl sehr unwahrscheinlich (das war was ich meinte).

greetinx,
hg a wg

[M.Of.Desaster]

Mir ist da grad ne brachiale idee gekommen, wie du den Bootvorgang so hinbiegen kannst, daß es recht sicher ist, aber das ist recht heftiger System-code.

Ich schlage hier ne kranke Chainloader-Lösung vor.
Zum glück kamma aber auf einigen Code (auch OpenSource) zurückgreifen kann

(0. den Bios brauch ma net zu patchen - außer evtl. den Bootstraping-Code so zurechtschneiden, daß er nie an den gedanken kommt von ner Floppy zu booten - Was allerdings evtl. ungesund sein könnte - falls nämlich das patchen schiefgeht oder mal wieder doch ne Boot-floppy nötig wird.)
1. evtl. ein weiteres Floppy-laufwerk einbauen, welches so !! später konfiguriert wird (Bios), daß es read-only ist (Extrem wichtig).
Das Floppy wird mit ner Diskette gefüllt und so reingeschraubt, daß keiner die Floppy drin ohne das Laufwerk auszubauen auswechseln kann. (Du kannst es auch ohne Floppy coden, dann wird allerdings der Code, den du schreiben muß wesentlich komplexer beim Lesen des Chainloaders.
2. Du codest dir nen Bootsector, welcher dein neues (2.) Floppylaufwerk in den Ram lädt und damit das tool dort Startest.
- ach ja du solltest hier das umschalten in den Protected Mode machen - oder in 3. integrieren. - Kombination NASM / GCC wird wohl sehr zu raten sein.
3. nun schreibst du dir dein Tool, welches die CD einliest und nen MD5 (lineares laufzeitverhalten) drüber laufen läßt (. Irgendwie kann man das zwar auch im Realmode über int13h emulieren, aber das ist 1. langsam + 2. kannst du den Ram nicht nutzen ...) und dann den eigentlichen Bootloader auf der Platte bootet - autsch - dazu mußt du jetzt ne zweite Partition booten.

Natürlich kann man die ganze Sache noch beliebig verzweigen - Ist nur die Frage wie schlimm man s machen will.

Du kannst natürlich jetzt auch ne CD/Floppy - Key variante machen oder nur nen 1,44MB Floppy key machen oder was. Der Aufwand steigt halt mit jeder Verzweigung.

Hierfür empfehle ich mal extra viel Bochs-/plex86-/vmware- Sessions, etliche Write-your-own-os-pages wie:
http://www.nondot.org/sabre/os/articles
und starke Nerven.

Bitte diese Methode weit verteilen, damit keiner n Patent drauf pflanzt. Ich hab' nur 5sec. Für die Idee gebraucht und 10min das aufzuschreiben - also tut der Welt was gutes.

[HothGremlin]

*schluck*
ich fürchte hier verlassen wir nun endgültig meinen Kompetenzbereich :).

scheiße.

also die chainloader lösung ist, muss schon fast sagen, genial.
das hauptproblem an dem ganzen ist nuneinmal aber die umsetzung. 5 min zum ausdenken, 10 zum schreiben und mind. 500h für die umsetzung (scheiße scheiße scheiße :)).

Naja, ich glaube jetzt wirds an der Zeit dass ich mir einen kollegen suche... :grin:.

mal sehen, vielelicht finden ich ja jemanden;

was ich mir zu deiner lösung überlegt hätte:
1. disklaufwerk fixed im rechner mit fixed disk drinne und dem auslese-tool 2xgecryptet.
2. disklaufwerk mit austauschbarer disk und als bootdevice. Entspricht diese disk mit key -> key des 1. wird das tool in den Ram geladen und vergleicht 2. key mit key auf cdrom. Bleibt nur mehr das Problem mit den Harddisk.

3. Also der Bootvergang wäre so wohl schon sehr gut gesichert, stimmen beide keys wird die festplatte freigegeben und davon gebootet, nur: nach einem halben Jahr an dem Gehäuse-tüfteln bin ich zu dem (enttaäuschenden) Ergebnis gekommen, dass das Gehäuse nicht zu sichern ist -> Kabeln. Das Case wird ein stahlummantelter Aktenkoffer mit scharnier-, gleit- und bolzenschloss, aufgehend mittels fingerabdruck und gleichzeitig laufender PW-eingabe (was sicheres ist nicht möglich und auch unnötig, da der aufwand die drei schlösser zu knackenhier schon gerniger wird :( ).

Lange Rede- kruzer Sinn: ein Profi knackt so ein beschissenes System nach 2 Tagen -> eindeutig zu unsicher.
Das Innere ist dannn fast nicht mehr zu sichern; keyboard auf 2 gleitstangen unter der sich die hardware befindet. Dorthin zu gelangen wird nicht schwer werden (dank den kabeln.. grrrr.).

Wir haben dann schon mit einem Selbstzerstörungsdevice gearbeitet, die Idee aber letztendlichv erworfen (wenn das ding zur Wartung muss gehts kaputt, und eine Backdoor für die Wartung wäre dann wieder sinnlos...).

Also:
es kommt nach dem überprüfen beider keys also zur freigabe der platte. Hier können wir jetztn unmöglich 80 gig an daten life ent und verschlüsseln :(arghll): womit man wohl zum schluss kommen muss dass man nicht mehr machen kann als den table zu verschlüsseln. Hier kann man ja dann auch, wie m.o.d. schrieb, mit chain arbeiten (mehrere partitions), das auslesen der platte mittels hex kann man aber nicht umgehen?!

wenn schon wie?

greetinx,
hg a wg

[Agavenwurm]

Darf man vielleicht wissen wo du arbeitest?????

[M.Of.Desaster]

Was mich angeht ... momentan ... noch student ... aber mittelfristig wird es auch nen andren cashflow geben ....

Was HothGremlin angeht kommen mir in dem Augenblick grade seltsame Gedanken über seinen potiellen Arbeitsplatz - Ich tippe mal auf "Section 5" ... (erinnert sich wer an den Film/die Serie Nikita)

---

... was das mit dem im Laufenden Betrieb decodieren / codieren angeht, n Kumpel von mir hat sich mal ne PGP-krüptopartition auf seinem Linux-System (Gentoo) eingekämpft - hatte zwar keinen Tieferen sinn, aber er hat 1Woche zum einrichten gebraucht - und er abeitet auf seinem 500er immer noch mit ner voll encrypteten Partition und scheint nicht so schlimme Performanceverluste dadurch zu haben.

Vielleicht solltest du dich doch dem Gedanken widmen, nen Dualprozessor reinzustopfen, und den 2. für on-the-fly-decodierung verwenden ... (auch wieder extra Software ++ extra widerlich ;)
oder zumindest nen schnelleren Pro, oder soll das ding als mobiler Server durch die Welt geheimnisse tragen (ich weiß, daß du darauf nicht antworten dürfen dürftest ...)

*mulmiges gefühl* *paranoide Wahnvorstellungen*

[HothGremlin]

verdammt, diese neuen ideen rauben mir noch den letzten nerv ;).
2. prozessor mit zusatzroutine (am besten assembler :( ) zum Ansprechen für encoding/decrypting only... ufftscha.. super idee, glaube nur dass das den Zeitrahmen schonwideer sprengen dürfte. Nunja, werds mir nochmal überlegen auf alle fälle...

übrigens: zum thema mobiler server... du hast es erfasst... das ding war zwar als high-sec-client konzipiert,..
server ist eine gute idee, leider schonwieder so lückenbehaftet (damn internet); naja, mit VPN und all-ports-closed-except-one ;) könnte es zwar irgendwie abzusichern sein, aber nja, nein, zumindest in der entwicklungsphase wirds offline-only sein. HAbe keine Lust soviel Zeit und Geld in Sicherheit zu investieren um das ganze dann von irgendsoeinem Computerclub kaputt machen zu lassen :k.

thanx&greetinx für die tipps,
hg a wg