Innere Werte

Beinahe schon fahrlässig behandeln viele Anwender sensiblen Daten auf dem Rechner, auch Firmen machen in dieser Hinsicht häufig keine Ausnahme. Getreu der Devise: "Es wird schon nichts passieren" trägt man wichtige Unternehmensinterna auf dem Laptop spazieren. Als aktuelles Beispiel dafür können die bei VW entwendeten Laptops dienen, die Informationen über die Bauweise von gepanzerten Regierungslimousinen enthielten [1].

Dabei gibt es inzwischen ebenso effiziente wie einfach zu bedienende Möglichkeiten, um die Daten auf dem Rechner vor Unbefugten zu schützen. Als wahrer Allrounder entpuppt sich in dieser Hinsicht Truecrypt [2], das nicht nur Partitionen verschlüsselt, sondern auch verschlüsselte "Container" erstellt. Diese bestehen aus einer Datei, die das verschlüsselte Dateisystem enthält und die man wie eine normale Partition in das System einhängt. Als Verschlüsselungsalgorithmus stehen AES, Blowfish, Twofish, Triple-DES, CAST5 und Serpent zur Auswahl, optional auch in Kombination.

Truecrypt wurde ursprünglich für Windows entwickelt, und auch die Linux-Variante basiert auf dieser Implementation. Allerdings fehlen bislang einige Features wie die grafische Oberfläche oder die dynamische Größenanpassung von Containern. Sowohl unter Linux als auch unter Windows erstellte verschlüsselte Container und Partitionen mountet Truecrypt anstandslos auch auf dem jeweils anderen Betriebssystem, sofern dieses das verwendete Dateisystem unterstützt.

Objekte erstellen

Wie eingangs beschrieben handelt es sich bei Truecrypt derzeit um ein reines Kommandozeilenprogramm. Die Entwickler sehen jedoch für das nächste Release ein grafisches Frontend vor. Der Aufruf truecrypt ohne weitere Parameter gibt die Hilfeseite des Programms aus. Detailliertere Informationen liefert die Manpage des Programms (man truecrypt).

Zum Erstellen eines verschlüsselten Objektes tippen Sie truecrypt -c Dateiname .Dieser Aufruf startet eine Schritt-für-Schritt-Abfrage (Abbildung 1), die mit der Art des Volumes (Hidden oder Normal) beginnt. "Hidden" bedeutet hier, dass Sie innerhalb eines bestehenden verschlüsselten Objektes ein zweites erstellen, dessen bloße Existenz für Unbefugte später nicht nachweisbar ist.

Abbildung 1: Die sequentielle Abfrage erleichtert das Anlegen von verschlüsselten Containern und Partitionen.

Im nächsten Schritt legen Sie das Dateisystem des Objektes fest. Möchten Sie ein anderes als FAT verwenden, wählen Sie hier none und formatieren den Container später wie im Kasten "Virtuelle Laufwerke formatieren" beschrieben per Hand.

Danach geben Sie an, wie groß der Container werden soll. Erstellen Sie eine Partition, nutzt Truecrypt diese immer komplett. Anschließend stellen Sie ein, welchen Hashalgorithmus Truecrypt zur Integritätssicherung verwendet. Zur Auswahl stehen RIPMED-160, SHA-1 und Whirlpool.

Im nächsten Schritt legen Sie fest, mit welchem Algorithmus Truecrypt den Inhalt der Objekte verschlüsselt. Die spätere Geschwindigkeit der Schreib- und Lesezugriffe auf diese Laufwerke hängt maßgeblich von der Auswahl des Verschlüsselungsalgorithmus ab.

Die Tabelle "Benchmark" gibt Auskunft über die Geschwindigkeit der verschiedenen Algorithmen. Als Dateisystem diente jeweils Ext3; die Volumes bestanden jeweils aus einem 300 MByte großen Container, in den eine 260 MByte große Datei kopiert wurde. Dabei diente RIPMED-160 als Hashalgorithmus. Besonders, wenn Sie später häufig schreibend auf die Partition zugreifen möchten, sollten Sie darauf zu achten, einen möglichst leistungsfähigen Algorithmus wie Serpent oder Twofish zu verwenden.

In den letzten beiden Abfragen geben Sie optional ein Passwort, einen Schlüssel oder beides an, die Truecrypt einzeln oder in Kombination zum Öffnen der Laufwerke verwendet. Als Schlüssel kann jede auf dem System vorhandene Datei dienen, aus Sicherheitsgründen sollte diese aber mindestens 16 Byte groß sein. Abschließend generiert Truecrypt als internen Schlüssel ein zufälliges Bitmuster aus Mausbewegungen oder einer Tastatureingabe. Danach ist Ihr verschlüsseltes Laufwerk einsatzbereit.

Einen Schwachpunkt der Truecrypt-Container stellt ihr Header dar: Schon eine Störung einzelner Bits darin macht das Mounten des verschlüsselten Volumes unmöglich. Daher empfiehlt es sich, diesen Header mit dem Befehl truecrypt --backup-header Sicherungsdatei Volume zu sichern. Der Aufruf truecrypt --restore-header Sicherungsdatei Volume stellen die die Kopfdateien im Schadensfall wieder her.

Laufwerke einbinden

Das Einhängen eines Laufwerks oder Containers vollzieht sich in zwei Schritten: Zuerst legt Truecrypt ein virtuelles Device namens truecryptZahl im Verzeichnis /dev/mapper an. Danach hängt das Programm das Device an eine beliebige Stelle im Dateisystem ein (Abbildung 2).

Abbildung 2: Vor dem Einhängen in das Dateisystem mappt Truecrypt die Datei oder Partition als physikalisches Gerät (Device).

Normalerweise erledigen Sie mit einem Aufruf beides: truecrypt Container /Pfad/zum/Mountpoint mountet das Objekt an der gewünschten Stelle im Dateisystem. Möchten Sie ein Objekt lediglich mappen, ohne es einzuhängen, tippen Sie truecrypt -N Zahl Container . Das Kommando truecrypt Container mappt die Partition oder den Container mit einer automatisch zugewiesenen, fortlaufenden Devicenummer.

Der Aufruf truecrypt -l zeigt eine Übersicht aller gemappten Container. Um die Zuordnungen aufzuheben, tippen Sie entweder truecrypt -d, um alle gemappten Verbindungen zu lösen, oder truecrypt -d Device , um die Zuweisung eines einzelnen Laufwerks aufzuheben.