Verriegelt und verrammelt

In geheimer Mission

Das Verschlüsselungsprogramm ist in der Lage, am Ende eines Containers ein zweites Volume zu verstecken (Abbildung 3). Während das äußere, normale Volume unverfängliche Dateien enthält, versteckt Truecrypt die sensiblen Informationen im geschützten Bereich. Beide Volumes erhalten jeweils ein eigenes Passwort.

Abbildung 3: Truecrypt versteckt ein weiteres, virtuelles Laufwerk ("hidden volume") innerhalb eines herkömmlichen. Die Dateien 1 und 2 stellen Alibi-Dateien dar, während sich die wichtigen Informationen (Dateien 3 und 4) im versteckten Bereich befinden.

Sollten Sie in die Zwangslage geraten, das Passwort preisgeben zu müssen, verwenden Sie jenes des äußeren Volumes. Truecrypt entschlüsselt damit aber nur die unwichtigen Alibi-Dateien, sowohl die Existenz des versteckten Volumes als auch die enthaltenen Daten bleiben geheim. Dieses Sicherheitskonzept bezeichnet man als glaubwürdiges Abstreiten ("Plausible Deniability"): Solange Sie die Existenz des versteckten Volumes leugnen, kann Ihnen niemand das Gegenteil beweisen.

Um einen versteckten Bereich in einem Container zu erstellen, muss der stets größer ausfallen, als das versteckte Volume – dafür sorgt Truecrypt automatisch beim Erstellen. Außerdem muss der umgebende Container mit dem Dateisystem FAT formatiert werden. Die in unserem Beispiel erstellte Containerdatei volume.tc erfüllt diese Bedingung bereits.

Der weitere Ablauf folgt dem bereits bekannten Schema: Nach der Eingabe von truecrypt -c beantworten sie die erste Frage mit 2 ("hidden volume") und geben danach die schon vorhandene Containerdatei volume.tc an. Daraufhin erstellt Truecrypt innerhalb von volume.tc den versteckten Bereich, für den Sie im Folgenden alle weiteren Eckdaten festlegen (Abbildung 4). Zunächst kommt das Dateisystem an der Reihe: Welches Sie für das versteckte Volume wählen, ist Truecrypt einerlei. Der Einfachheit halber genügt hier FAT.

Abbildung 4: Das Erzeugen eines versteckten Volumes weicht nur unwesentlich von einem normalen ab.

Im nächsten Schritt legen Sie die Größe fest. Die Alibi-Daten sollen maximal 2 MByte umfassen, es verbleiben folglich 8 MByte für das versteckte Volume. Der korrekte Wert lautet folglich 8M. Die restlichen Punkte bestehen wieder aus der bekannten Wahl der Verschlüsselungsverfahren. Die restlichen Einrichtungschritte sind mit denen eines normalen Volumes identisch, jedoch gilt es, als Passwort ein anderes als das für das Container-Volume zu verwenden.

Am Ende enthält der fertig präparierte Container zwei Volumes. Welches von den beiden Truecrypt mountet, bestimmt das dabei eingetippte Passwort. Allerdings gibt es diesbezüglich noch einen kleinen Haken: Das versteckte Volume befindet sich stets am Ende der Containerdatei. Damit ein Angreifer das versteckte Volume nicht anhand des belegten Speicherplatzes enttarnen kann, verwendet Truecrypt ohne weitere Angaben für das äußere Volume immer den kompletten Speicherplatz, im Beispiel also die ganzen 10 MByte.

Falls Sie nun einfach gedankenlos damit beginnen, das äußere Volume mit den Alibi-Daten zu füllen, könnten Sie dabei möglicherweise einen Teil des versteckten Volumes überschreiben. Um das zu verhindern, mounten Sie das äußere Volume mit dem Parameter --protect-hidden. Im Hintergrund mountet Truecrypt einfach beide Volumes gleichzeitig und schützt somit den versteckten Part vor Korruption.

Fazit

Truecrypt bietet eine einfache und schnelle Verschlüsselung von Partitionen und ganzen Datenträgern. Da die Truecrypt-Container vom Betriebssystem unabhängig sind, lassen sie sich sowohl unter Windows als auch unter Linux verwenden.

Die Implementation als Kernel-Moduls macht die Installation allerdings relativ kompliziert und langwierig, da Truecrypt stets den ganzen Kernel neu übersetzt kompiliert. Hier bedarf es dringend einer Vereinfachung und Verschlankung. Zudem wäre eine Integration in den Desktop wünschenswert, um beispielsweise Containerdateien wie unter Windows mit nur einem Mausklick einzuhängen und Dateien per Drag & Drop auf die verschlüsselten Laufwerke zu ziehen.