Sensible Daten gehören in den Datensafe: Truecrypt verschlüsselt nicht nur ganze Partitionen, sondern verbirgt sogar deren Existenz.

Beinahe schon fahrlässig behandeln viele Anwender sensiblen Daten auf dem Rechner, auch Firmen machen in dieser Hinsicht häufig keine Ausnahme. Getreu der Devise: “Es wird schon nichts passieren” trägt man wichtige Unternehmensinterna auf dem Laptop spazieren. Als aktuelles Beispiel dafür können die bei VW entwendeten Laptops dienen, die Informationen über die Bauweise von gepanzerten Regierungslimousinen enthielten [1].

Dabei gibt es inzwischen ebenso effiziente wie einfach zu bedienende Möglichkeiten, um die Daten auf dem Rechner vor Unbefugten zu schützen. Als wahrer Allrounder entpuppt sich in dieser Hinsicht Truecrypt [2], das nicht nur Partitionen verschlüsselt, sondern auch verschlüsselte “Container” erstellt. Diese bestehen aus einer Datei, die das verschlüsselte Dateisystem enthält und die man wie eine normale Partition in das System einhängt. Als Verschlüsselungsalgorithmus stehen AES, Blowfish, Twofish, Triple-DES, CAST5 und Serpent zur Auswahl, optional auch in Kombination.

Truecrypt wurde ursprünglich für Windows entwickelt, und auch die Linux-Variante basiert auf dieser Implementation. Allerdings fehlen bislang einige Features wie die grafische Oberfläche oder die dynamische Größenanpassung von Containern. Sowohl unter Linux als auch unter Windows erstellte verschlüsselte Container und Partitionen mountet Truecrypt anstandslos auch auf dem jeweils anderen Betriebssystem, sofern dieses das verwendete Dateisystem unterstützt.

Objekte erstellen

Wie eingangs beschrieben handelt es sich bei Truecrypt derzeit um ein reines Kommandozeilenprogramm. Die Entwickler sehen jedoch für das nächste Release ein grafisches Frontend vor. Der Aufruf truecrypt ohne weitere Parameter gibt die Hilfeseite des Programms aus. Detailliertere Informationen liefert die Manpage des Programms (man truecrypt).

Zum Erstellen eines verschlüsselten Objektes tippen Sie truecrypt -c Dateiname.Dieser Aufruf startet eine Schritt-für-Schritt-Abfrage (Abbildung 1), die mit der Art des Volumes (Hidden oder Normal) beginnt. “Hidden” bedeutet hier, dass Sie innerhalb eines bestehenden verschlüsselten Objektes ein zweites erstellen, dessen bloße Existenz für Unbefugte später nicht nachweisbar ist.

Abbildung 1: Die sequentielle Abfrage erleichtert das Anlegen von verschlüsselten Containern und Partitionen.

Im nächsten Schritt legen Sie das Dateisystem des Objektes fest. Möchten Sie ein anderes als FAT verwenden, wählen Sie hier none und formatieren den Container später wie im Kasten “Virtuelle Laufwerke formatieren” beschrieben per Hand.

Danach geben Sie an, wie groß der Container werden soll. Erstellen Sie eine Partition, nutzt Truecrypt diese immer komplett. Anschließend stellen Sie ein, welchen Hashalgorithmus Truecrypt zur Integritätssicherung verwendet. Zur Auswahl stehen RIPMED-160, SHA-1 und Whirlpool.

Im nächsten Schritt legen Sie fest, mit welchem Algorithmus Truecrypt den Inhalt der Objekte verschlüsselt. Die spätere Geschwindigkeit der Schreib- und Lesezugriffe auf diese Laufwerke hängt maßgeblich von der Auswahl des Verschlüsselungsalgorithmus ab.

Die Tabelle “Benchmark” gibt Auskunft über die Geschwindigkeit der verschiedenen Algorithmen. Als Dateisystem diente jeweils Ext3; die Volumes bestanden jeweils aus einem 300 MByte großen Container, in den eine 260 MByte große Datei kopiert wurde. Dabei diente RIPMED-160 als Hashalgorithmus. Besonders, wenn Sie später häufig schreibend auf die Partition zugreifen möchten, sollten Sie darauf zu achten, einen möglichst leistungsfähigen Algorithmus wie Serpent oder Twofish zu verwenden.

In den letzten beiden Abfragen geben Sie optional ein Passwort, einen Schlüssel oder beides an, die Truecrypt einzeln oder in Kombination zum Öffnen der Laufwerke verwendet. Als Schlüssel kann jede auf dem System vorhandene Datei dienen, aus Sicherheitsgründen sollte diese aber mindestens 16 Byte groß sein. Abschließend generiert Truecrypt als internen Schlüssel ein zufälliges Bitmuster aus Mausbewegungen oder einer Tastatureingabe. Danach ist Ihr verschlüsseltes Laufwerk einsatzbereit.

Einen Schwachpunkt der Truecrypt-Container stellt ihr Header dar: Schon eine Störung einzelner Bits darin macht das Mounten des verschlüsselten Volumes unmöglich. Daher empfiehlt es sich, diesen Header mit dem Befehl truecrypt --backup-header SicherungsdateiVolume zu sichern. Der Aufruf truecrypt --restore-header SicherungsdateiVolume stellen die die Kopfdateien im Schadensfall wieder her.

Laufwerke einbinden

Das Einhängen eines Laufwerks oder Containers vollzieht sich in zwei Schritten: Zuerst legt Truecrypt ein virtuelles Device namens truecryptZahl im Verzeichnis /dev/mapper an. Danach hängt das Programm das Device an eine beliebige Stelle im Dateisystem ein (Abbildung 2).

Abbildung 2: Vor dem Einhängen in das Dateisystem mappt Truecrypt die Datei oder Partition als physikalisches Gerät (Device).

Normalerweise erledigen Sie mit einem Aufruf beides: truecrypt Container/Pfad/zum/Mountpoint mountet das Objekt an der gewünschten Stelle im Dateisystem. Möchten Sie ein Objekt lediglich mappen, ohne es einzuhängen, tippen Sie truecrypt -N ZahlContainer. Das Kommando truecrypt Container mappt die Partition oder den Container mit einer automatisch zugewiesenen, fortlaufenden Devicenummer.

Der Aufruf truecrypt -l zeigt eine Übersicht aller gemappten Container. Um die Zuordnungen aufzuheben, tippen Sie entweder truecrypt -d, um alle gemappten Verbindungen zu lösen, oder truecrypt -d Device, um die Zuweisung eines einzelnen Laufwerks aufzuheben.

Versteckspiel

Als besonderes Feature ermöglicht es Truecrypt, Volumes zu verstecken: Ein Container oder eine Partition enthält am Ende des verschlüsselten Dateisystems ein weiteres, dessen Existenz nicht nachzuweisen ist. Zum Erstellen der versteckten Partition gehen Sie wie folgt vor:

• Erstellen Sie einen normalen Container.
• Rufen Sie im Anschluss das erstellte Objekt mit dem Befehl truecrypt -c Container auf, und wählen Sie als Volume-Type Hidden.
• Der gewählte Zugriffsschutz (Passwort oder Schlüsseldatei) muss sich von dem des äußeren Containers unterscheiden.
• Die gewählte Größe muss kleiner sein als die des Wirtscontainers.

Als Unterscheidungsmerkmal, welches Volume gemeint ist, dient das Passwort oder das Keyfile. Zum Mounten des Wirtscontainers tippen Sie beispielsweise truecrypt hidden.tc /media/tc -p Passwort1 während Sie das geschützte Volume mit truecrypt hidden.tc /media/tc -p Passwort2 einhängen.

Um das versteckte Volume vor dem Überschreiben zu schützen, empfiehlt es sich, das äußere Volume immer mit der Option -P wie protect zu mounten. In diesem Fall fragt Truecrypt zuerst nach dem Passwort des äußeren, und anschließend nach dem des inneren Volumes.

Tägliche Arbeit

Wer seine verschlüsselten Daten lieber auf einer CD oder DVD aufbewahren möchte, braucht nur den erstellten Container zu brennen und kann diesen direkt von der CD aus mounten. Da Truecrypt jedoch sehr empfindlich auf Bitfehler – speziell im Kopf der Datei – reagiert, reichen wenige Kratzer auf dem Datenträger, um den Container unbrauchbar zu machen.

Ein angenehmer Nebeneffekt der Tatsache, dass Truecrypt ursprünglich für Windows entwickelt wurde, ist die Kompatibilität der verschlüsselten Objekte zwischen beiden Plattformen. Lediglich das verwendete Dateisystem stellt unter Umständen ein Hindernis dar. Möchten Sie Ext2/3 verwenden, dann rüsten Sie Windows mit dem entsprechenden Treiber nach ([3],[4]).

Fazit

Wer nach einer stabilen und durchdachten Lösung zum Verschlüsseln seiner Daten sucht, findet sie in Truecrypt. Zwar lässt sich das Programm derzeit nur auf der Kommandozeile bedienen, doch dieses Manko wollen die Entwickler im nächsten Release beheben. Mit einer maximalen Containergröße von 8,5 Petabyte dürfte auch der aktivste Datensammler einige Zeit mit verschlüsseltem Speicher versorgt sein.