Bedeutet das Ändern des Verschlüsselungskennworts, dass alle Daten neu geschrieben werden?

Angenommen, ich habe 1 TB Daten auf einer Partition, die mit BitLocker, TrueCrypt oder VeraCrypt verschlüsselt ist.

Bedeutet das Ändern des Verschlüsselungskennworts, dass alle Daten neu geschrieben werden (dh dauert es Stunden / Tage)?

windows encryption bitlocker disk-encryption Basj
quelle

Für die Aufzeichnung: Windows Bitlocker hat keine Prozedur, um Daten explizit "umzuschreiben". Sie müssen die Festplatte entschlüsseln und neu verschlüsseln

usr-local-ΕΨΗΕΛΩΕΨΗΕΛ

Im Zusammenhang mit dem virtuellen Löschen einer gesamten verschlüsselten Festplatte durch einfaches Löschen des Schlüssels, wie dies bei einigen verschlüsselten Festplatten der

Fall ist

Im Zusammenhang damit (obwohl keine der Antworten dies erwähnt): Vom Benutzer gewählte Passwörter sind sowohl zu kurz als auch furchtbar entropisch (zu leicht zu erraten). Also wird das Laufwerk mit einem guten Schlüssel verschlüsselt ... und dann wird der Verschlüsselungsschlüssel mit einem schrecklichen (na ja) geschützt.

Clockwork-Muse

@ Clockwork-Muse Noch besser als sie mit dem originalen Kurzschlüssel zu verschlüsseln.

gvgramazio

Antworten:

Nein. Mit Ihrem Passwort wird nur der Hauptschlüssel verschlüsselt. Wenn Sie das Kennwort ändern, wird der Hauptschlüssel neu verschlüsselt, aber selbst nicht geändert.

(Auf diese Weise können einige Systeme wie BitLocker oder LUKS mehrere Kennwörter für denselben Datenträger haben: Sie verwenden weiterhin einen einzigen Hauptschlüssel für alle Daten, speichern jedoch nur mehrere Kopien des Hauptschlüssels, die mit unterschiedlichen Kennwörtern verschlüsselt sind.)

Grawity
quelle

Vielen Dank! Hättest du einen Link mit Details dazu? Wird der Hauptschlüssel am Anfang (allererste Bytes) der Partition gespeichert (durch ein Kennwort verschlüsselt)?

Basj

Ich habe keine nützlichen Links zur Hand, aber siehe Twistys Antwort dazu.

Grawity

Dann liegt die nächste Frage auf der Hand: Ist es möglich, den Hauptschlüssel zu ändern?

gvgramazio

@gvgramazio: Möglicherweise, aber das sollte ein separater Thread sein - und Sie sollten erwähnen, welches spezifische FDE-Programm Sie verwenden und auf welchem Betriebssystem. (Es ist technisch möglich, aber möglicherweise sind keine Tools verfügbar, um dies tatsächlich zu tun.)

Nennen

Der Grund könnte fast derselbe sein, warum man das Passwort ändern möchte. Möglicherweise wurde das Kennwort erkannt, und der Hauptschlüssel wurde erkannt. Natürlich sollte man Zugang zu einem verschlüsselten Hauptschlüssel haben, aber vielleicht ist es möglich. Wenn man den Verdacht hat, dass der Hauptschlüssel entdeckt wurde, hat nur das Ändern des Kennworts keine Auswirkung.

gvgramazio

Die Antwort von Grawity ist richtig. Da das Verschlüsseln von Daten ein relativ teurer Prozess ist, ist es sinnvoller, einen einzelnen Hauptschlüssel zu erstellen, der sich während der Lebensdauer der verschlüsselten Daten nicht ändert. Dieser Hauptschlüssel kann dann wiederum mit einem oder mehreren Nebenschlüsseln verschlüsselt werden, die dann flexibel nach Belieben geändert werden können.

Beispiel: BitLocker implementiert dies folgendermaßen (es werden tatsächlich drei "Ebenen" von Schlüsseln verwendet):

Auf ein BitLocker-geschütztes Volume geschriebene Daten werden mit einem Full-Volume-Verschlüsselungsschlüssel (FVEK) verschlüsselt . Dieser Schlüssel wird erst geändert, wenn BitLocker vollständig von einem Volume entfernt wurde.
Das FVEK wird mit dem Volume-Hauptschlüssel (VMK) verschlüsselt und dann (in verschlüsselter Form) in den Metadaten des Volumes gespeichert.
Das VMK wird wiederum mit einem oder mehreren Schlüsselschützern verschlüsselt , z. B. einer PIN / einem Kennwort.

Das folgende Bild zeigt den Zugriff auf eine verschlüsselte Systemfestplatte auf einem Computer, auf dem die BitLocker-Verschlüsselung für vollständige Volumes aktiviert ist:

Weitere Informationen zu diesem Prozess finden Sie im TechNet .

Ich sage Reinstate Monica
quelle

Hinweis: Dies bedeutet auch, dass jeder, der geneigt ist, eine Kopie von entschlüsseltem FVEK zu erhalten, während er über (möglicherweise legitimen) Zugriff verfügt, weiterhin uneingeschränkten Zugriff auf verschlüsselte Daten hat, wenn er mit dieser verschlüsselten Festplatte in Kontakt kommt, unabhängig davon, wie oft Sie Änderungen vornehmen Ihre PIN / Passwort / VMK. Was ziemlich unglücklich ist (IOW, die meisten Male, wenn Sie Ihre Passphrase ändern, sollten Sie stattdessen eine vollständige Sicherung / Löschung / Neuerstellung mit neuer Passphrase / Wiederherstellungszyklus manuell durchführen, wenn Sie Schutz vor solchen Fällen wünschen.)

Matija Nalis

Es ist jedoch richtig, wenn dies der Fall ist, muss entweder ein physischer Zugriff oder ein Remotezugriff mit Administratorrechten erfolgen. Wenn ein Angreifer eines von beiden hat ... nun, genug gesagt.

Ich sage Reinstate Monica

Ja, ich dachte an physischen Zugang. Die vollständige Festplattenverschlüsselung spielt aus Sicherheitsgründen keine Rolle, während der Computer ausgeführt wird und die Festplatte entsperrt ist. Es soll jedoch Ihre sensiblen Daten schützen, wenn die Maschine ausgeschaltet und verloren oder gestohlen ist (denken Sie an einen Laptop im Taxi oder am Flughafen), manipuliert wurde (denken Sie, dass das Dienstmädchen dafür bezahlt wurde, den Zugang zum Hotelzimmer zu gewähren, während der Besitzer nicht da ist), oder wenn ein Hardware-Fehler aufgetreten ist oder kurz vor der Außerbetriebnahme - jetzt müssen Sie die Hardware noch entmagnetisieren, zerkleinern und verbrennen, anstatt sie nur zu recyceln (oder an Mitarbeiter zu geben oder bei eBay usw. zu verkaufen)

Matija Nalis

@TwistyImpersonator Der gesamte Zweck der Verschlüsselung einer Festplatte besteht darin, Ihre Daten zu schützen, wenn jemand physischen Zugriff hat. Das Szenario ist also nicht umstritten. es ist der springende Punkt.

Leichtigkeit Rennen mit Monica

@LightnessRacesinOrbit Das merke ich. Mein Kommentar wurde im Zusammenhang mit der vorgeschlagenen Sicherheitsanfälligkeit des VMK abgegeben, bevor die Verschlüsselung abgeschlossen ist. In diesem bestimmten Zeitfenster schützt die Verschlüsselung nicht vor einem Angreifer mit physischem Zugriff oder Remote-Administratorrechten.

Ich sage Reinstate Monica