[discussie] Implementatie van encryptie in grote organisatie

[gambieter]

topic geplaatst met toestemming van moderator Koffie, mits openingspost en replies van voldoende niveau blijken

Inleiding
Ik ben werkzaam op een Engels overheidsinstituut, en in Engeland zijn ze wakker geworden aangaande beveiliging nadat er allerlei USB-sticks zijn verloren en er CDs met persoonlijke data onbeveiligd zijn verstuurd. Zie hier voor een voorbeeld van die blunders .

Enfin, nu is de tegenreactie van de overheid gekomen (vertaald uit de email, soms wat krom):
- de regering heeft instructies gegeven aan alle overheidsdepartementen dat vanaf vandaag geen enkel apparaat (blackberry, PDA of zo) of computer/laptop welke persoonlijke informatie bevat nog mag worden meegenomen zonder dat de informatie versleuteld is via encryptie.
- alle data die herleid kunnen worden tot een identificeerbare nog levende persoon zijn "persoonlijke data". Als voorbeeld wordt gegeven personeelsbeoordelingen, of zelfs emails waar iemands personeelsbeoordeling wordt besproken. Als er maar een heel klein beetje twijfel is of de data onder deze categorie vallen, dan moeten die data worden versleuteld.

Draconische maatregelen, maar hoe te implementeren, en hoe eventuele onwerkbaarheid te voorkomen?

Waar is onze ICT-afdeling nu naar op zoek?
De ICT is nu op zoek naar een encryptieprogramma dat voldoet aan "FIPS certification", welke werkt op laptops met Windows, MacOS en Linux, en geen fortuin kost. Een wonderprogramma dus. Truecrypt was een zeer behoorlijke keuze geweest, maar voldoet als open source programma blijkbaar niet aan de FIPS standaard (heeft ons hoofd ICT me verteld). Truecrypt wordt wel als tijdelijke oplossing aanbevolen tot ICT een vaste oplossing heeft. Hoe dit met uitgaande emails, webmail etc moet, dat is nog niet duidelijk.

Waar is dit topic voor bedoeld?
Onze ICT weet nog niet welk programma aan de eisen voldoet, zeker niet aangaande removable drives. Zelf denk ik dat er geen volledige beveiliging mogelijk is, maar toch wil men zo goed mogelijk voldoen aan de opdracht van de regering. Echter, het is belangrijk dat er ook nog gewerkt kan worden, dus het vinden van een balans tussen beveiliging en werkbaarheid.

Ik zou graag willen horen (liefst van systeembeheerders) van bedrijven en overheden welke encryptiesoftware en praktijken er worden gebruikt. Beveiligde USB-sticks en laptops zijn mooi, maar er is al teveel "normale" hardware in gebruik, dus het zal softwarematig moeten gebeuren. Al onze PCs zitten in een AD/DC-gecontroleerd netwerk, de meeste mensen zijn standaard user en men kan software pushen indien nodig. Er is een duidelijke policy aangaande wat mag en niet mag, etc.

Ik zou dus graag mensen willen uitnodigen aan te geven welke encryptie-software en -technieken er worden gebruikt in hun organisatie. Paar "regels" om te voorkomen dat het een opsomtopic wordt
(dan gaat het namelijk de verkeerde kant op en zal het worden gesloten):
- Vertel dus welke software/technieken/gebruikersregels er worden gebruikt
- of bekend is of ze FIPS certified zijn
- geef aan wat de voordelen en nadelen zijn, en wat de ervaringen zijn. Zowel goede als slechte ervaringen zijn welkom,
- svp met onderbouwing.

Met dank

[DGTL_Magician]

Volgens de website voldoet Truecrypt aan de volgende standaarden:

http://www.truecrypt.org/docs/?s=compliance-with-standards
Compliance with Standards and Specifications

TrueCrypt complies with the following standards, specifications, and recommendations:

* PKCS #5 v2.0 [7]

* FIPS 197 [3]

* FIPS 198 [22]

* FIPS 180-2 [14]

* ISO/IEC 10118-3:2004 [21]


The correctness of the implementations of the encryption algorithms can be verified using test vectors (click Tools > Test Vectors) or by examining the source code of TrueCrypt.

Ik heb een aantal keer gewerkt met Truecrypt omdat een klant van mij zijn financiele gegevens ermee versleuteld zodat mensen het mee kunnen transporteren. Ik vind het een fijn pakket om mee te werken. Is erg gebruikersvriendelijk ook voor de mensen die er mee moeten werken.

[ Voor 16% gewijzigd door DGTL_Magician op 05-02-2008 07:55 ]

[F_J_K]

Even vooraf: FIPS, betekent dat de basics in Level 1, of meer? Als meer ontkom je niet aan hardware... En als Level 1: voor zo ver ik weet is er helemaal niets tegen opensource, zolang het eenmaal geinstalleerd maar niet is aan te passen. Probleem bij opensource kan wel zijn dat er iemand (in geld en mensuren) moet betalen voor het certificeringsproces. Dan dus de vraag: moet het voldoen aan de FIPS eisen of moet het een FIPS certificering hebben? Da's niet hetzelfde (Als er ergens een papiertje+handtekening is af te geven dan).

Check dus wat er precies is vereist.

Edit:
whehe, dat zeg ik. Zie boven
Overigens zijn er denk ik nog een of twee nummers die relevant kunnen zijn.

[ Voor 14% gewijzigd door F_J_K op 05-02-2008 07:58 ]

[jvanhambelgium]

Wij gebruiken hier en daar SAFEBOOT.(FIPS 140-1 approved)
Kan met password,token werken, integreerbaar met zowat alles (LDAP,AD) en werkt op PC's, laptops, PDA's,

[DGTL_Magician]

jvanhambelgium schreef op dinsdag 05 februari 2008 @ 08:33:
Wij gebruiken hier en daar SAFEBOOT.(FIPS 140-1 approved)
Kan met password,token werken, integreerbaar met zowat alles (LDAP,AD) en werkt op PC's, laptops, PDA's,

http://www.safeboot.com/products/endpointencryption/
Systems Requirements

Note: The following are minimum system requirements only. Actual requirements will vary depending on the nature of your environment.
Desktop, laptop, and tablet endpoints

Operating systems

* Microsoft Vista (all 32- and 64-bit versions)
* Microsoft Windows XP
* Microsoft Windows 2000
* Microsoft Windows 2003 Server SP1 or higher


...

Safeboot is niet dekkend voor de Mac en Linux werkstations dus.

[ Voor 35% gewijzigd door DGTL_Magician op 05-02-2008 17:38 ]

[paulhekje]

ik heb een uitrol van Windows Vista voorbereid inclusief Bitlocker encryptie. ingesteld zodat de TPM chip van de machine wordt gebruikt en recovery info in AD wordt opgeslagen. voor je huidige park is het natuurlijk geen optie, omdat het alleen voor Vista beschikbaar is. Zowel laptops als desktops doen we op deze manier. huidige pilot van ca 100 gebruikers/3 maanden geeft geen problemen.

FIPS: wordt geregeld, zie http://blogs.technet.com/...2006/04/14/apr14fips.aspx

voordeel: transparant voor gebruiker, nauwelijks performance verlies
makkelijk te integreren met uitrol van OS.
nadeel: niet voor removable devices en ander OS dan Vista

goede ervaring met uitrol, performance en beheerbaarheid.
matige ervaring met data recovery; is ondertussen een hotfix voor uitgebracht en zal ook wel in SP1 zitten

[gambieter]

@allen tot nu toe: dank . Ik ga bij het hoofd ICT navragen hoe het precies met de FIPS zit, dwz welk nummer en welke details. Zijn respons op mijn Truecrypt voorstel (gelijk gedaan gisterenmiddag) was dat het niet voldeed aan de eis "certified to FIPS standard". Het lijkt dus inderdaad om de certificering te gaan, maar ik vraag het na.

Even wat specifieke reacties:
- @jvanhambelgium: wat zijn jullie ervaringen met SAFEBOOT? Gebruikersproblemen of -klachten bekend?
- @DGTL_Magician: dank voor de info over Truecrypt en SafeBoot. Zelfs al werkt het alleen maar op Windows, dan nog is nuttig om te weten. Het is namelijk maar de vraag of het Windows/Mac/Linux wonderprogramma bestaat, of dat het hardwarematig zal moeten. (en dank voor edit ).
- @F_J_K: het lijkt er dus op dat certificatie nodig is. Typisch centrale overheid, wel eisen stellen maar niet zelf bekijken waarmee het dan kan
- @paulhekje: alleen Vista is inderdaad te beperkt. We gebruiken namelijk nog geen Vista (gelukkig maar...). Het zal wel een keer geimplementeerd worden in het komende jaar, maar zelfs dan is de mogelijkheid te beperkt.

[ Voor 14% gewijzigd door gambieter op 05-02-2008 19:54 ]

[Qwerty-273]

Het grootste probleem zal inderdaad zijn dat je de huidige hardware meot gebruiken. Nieuwe hardware heeft bijvoorbeeld met de TPM chip meer mogelijkheden om het hele systeem (denk aan je complete laptop etc.) te versleutelen. Oplossingen waar de gebruiker nog kan kiezen waar data wordt opgeslagen (in de Truecrypt container of een tijdelijke map op de lokale hdd bijvoorbeeld) zijn waarschijnlijk niet voldoende omdat je dan 'vertrouwd' op de gebruiker dat deze de data op de juiste plek opslaat (ergo een gebruiker zou er ook voor zorgen dat zijn usb-stick/laptop niet verloren wordt, en iedereen weet hoe dat uitpakt ).
Eigenlijk is er dan slechts 1 'makkelijk' toe te passen oplossing (voor multi-os omgevingen). Iedereen voorzien van een 'thin-client' installatie op werkstation/laptop whatever - usb sticks 'verbannen' en alles via een TS / Citrix / LTSP omgeving doen. De mensen die buiten het kantoor moeten kunnen werken, voorzien van laptop+umts combinatie en alle data binnen je 'eigen' serverpark houden.
Als overheid verwacht ik dat de software inderdaad een certificering moet hebben, en niet alleen de melding heeft dat ze aan de punten voldoen.

[gambieter]

@Qwerty-273: een dergelijke hardware-oplossing betekent het vervangen van het hele hardwarepark. En zal eigenlijk het werken onmogelijk maken voor de wetenschappers...

Even de situatieschets wat uitbreiden: ik werk op een semi-overheidsinstituut, vergelijkbaar met het RIVM in Bilthoven. In Engeland heb je de verschillende Research Councils, waaronder de BBSRC valt. De BBSRC heeft een aantal instituten verspreid over Engeland, en ik werk in een van die instituten als werkgroepleider. Ik ben vaak onderweg voor presentaties, en werk veel onderweg of thuis op mijn werklaptop (een Toshiba Portege R500 ). En er zijn velen zoals ik. TC's zullen dus niet echt een oplossing zijn. USB sticks zijn een noodzaak bij congressen, lezingen, geven van colleges etc.

Daarnaast zie ik nog niet hoe ze kwaadwillend lekken willen voorkomen. Mensen kunnen files emailen, of emails met vertrouwelijke informatie kunnen thuis worden opgehaald. Omdat veel mensen onderweg zijn en de wetenschap niet stil staat als je naar huis gaat, is er een OWA, POP3 and IMAP access van email. Mijn werkemailadres zou zinloos zijn als ik daar niet extern bij kan op congressen of thuis.

Ik zie zelf niet goed hoe ze dit gaan oplossen, maar goed...

[LauPro]

Er is toch wel onderscheid tussen privacygevoelige informatie en niet gevoelige?

Een presentatie over een bepaalde studie is niet privacygevoelig daarintegen een bestand met de medische gegevens van 100 mensen uit een onderzoek wel.

- de regering heeft instructies gegeven aan alle overheidsdepartementen dat vanaf vandaag geen enkel apparaat (blackberry, PDA of zo) of computer/laptop welke persoonlijke informatie bevat nog mag worden meegenomen zonder dat de informatie versleuteld is via encryptie.

Dan kan je volgens mij alle mobiele telefoons weggooien? Want ik ken geen telefoon die smsjes versleuteld opslaat.

[gambieter]

LauPro schreef op dinsdag 05 februari 2008 @ 10:57:
Er is toch wel onderscheid tussen privacygevoelige informatie en niet gevoelige?

Een presentatie over een bepaalde studie is niet privacygevoelig daarintegen een bestand met de medische gegevens van 100 mensen uit een onderzoek wel.

Dan zal iedereen dus per bestand moeten kiezen of het wel of niet privacygevoelig is. Verder zullen daar heel duidelijke regels over moeten komen. En we hebben al zoveel formulieren...

[...]
Dan kan je volgens mij alle mobiele telefoons weggooien? Want ik ken geen telefoon die smsjes versleuteld opslaat.

Op de Blackberry kan je de informatie versleutelen en een password instellen. Maar een mobieltje zal inderdaad een probleem zijn, al heb je daar niet zo snel vertrouwelijke informatie op .

[Diabolical]

Bij ons maken we gebruik van Pointsec for PC. Geen Mac ondersteuning helaas maar wel Linux en Windows. Pointsec is inmiddels overgenomen door CheckPoint security (of firewall fame) en wordt dan ook geintegreerd in hun volledige pakket. Naast PC encryptie doen ze ook veel met mobile data (USB sticks, BlackBerry/Smartphones etc.) wat het wel tot een makkelijke one stop shop maakt.

Ze zijn redelijk prijzig en het opzetten van een goede planning is wel vereist maar ik moet zeggen dat het product me goed bevalt tot nu toe.

Pointsec for PC encrypt de hele disc en heeft een Pre-Boot environment die zomaar opstarten van een disk als slave niet mogelijk maakt. Ze waarschuwen dan ook dat je een goede opzet van je security model moet maken want als je je ww kwijt bent ben je tevens je data kwijt aangezien er geen universele backdoor is in hun producten.

Er zijn verschillende encryptie mogelijkheden (FIPS en non-FIPS).

Je zou het beste zelf even kunnen kijken naar de mogelijkheden want om hier alles neer te pennen is nogal lastig.

[gambieter]

@Diabolical: dank, dat is een mooie tip. Ik ga deze zeker doorgeven aan ons hoofd ICT, die kan zich dan op de details werpen .

[Bl@ckbird]

Truecrypt is mooi voor thuisgebruik en voor kleine organisaties. Het is echter niet geschikt voor grote organisaties, omdat het alleen voor stand-alone deployments geschikt is. Je kunt de security niet als een policy opleggen op gebruikers. Met Safeboot en andere commerciële oplossingen kan dit wel. Met Safeboot Port control kun je bijvoorbeeld gebruikers de policy opleggen dat elke USB stick die aangesloten wordt, encrypt wordt.

Hoe het met andere commerciële pakketten zit weet ik niet, maar Safeboot kent ook een recovery methode. Een gebruikers kan hiermee ( i.s.m. een helpdesk medewerker ) toch bij zijn data. (Bij eenvoudige recovery, bijvoorbeeld password vergeten.) Dit is handig voor mensen in de buitendienst. Bij complexere zaken moet de helpdesk / IT afdeling dit ter plekken (lokaal) oplossen.
Truecrypt heeft dit alles niet. ( Sleutel vergeten = pech hebben. )

Windows varianten worden sowieso ondersteund. PDA's / Smartphones in het verleden ook.
Of Linux / Mac ondersteund worden weet ik zo niet. Safeboot is overgenomen door McAffee. Wat de status van hun product portfolio is weet ik niet. In het verleden hadden ze meer producten, dan wat nu op hun website staat.

Zou je ff moeten mailen / bellen met Safeboot. ( Bijvoorbeeld of er nog meer producten gemigreerd worden naar McAffee label. )

[ Voor 4% gewijzigd door Bl@ckbird op 05-02-2008 19:38 ]

[gambieter]

Dank, Bl@ckbird. Ik ga morgen dingen doorgeven aan het hoofd ICT, heeft hij wat te doen tijdens mijn vakantie .

[BFS]

Bl@ckbird schreef op dinsdag 05 februari 2008 @ 19:34:
Hoe het met andere commerciële pakketten zit weet ik niet, maar Safeboot kent ook een recovery methode. Een gebruikers kan hiermee ( i.s.m. een helpdesk medewerker ) toch bij zijn data. (Bij eenvoudige recovery, bijvoorbeeld password vergeten.) Dit is handig voor mensen in de buitendienst. Bij complexere zaken moet de helpdesk / IT afdeling dit ter plekken (lokaal) oplossen.
Truecrypt heeft dit alles niet. ( Sleutel vergeten = pech hebben. )

PointSec heeft dit niet, daarbij is je data als de PS Recovery file weg/corrupt is ook echt verloren. Daarnaast schijnt deze PS recovery file op een share op je server te staan waardoor deze alleen te beveiligen is met NTFS/Share rechten en is de link naar de share niet versleuteld. McAfee heeft een 512 bits versleuteling naar de SafeBoot server waar de key ook ge-encrypted in de SafeBoot database staat.

[LauPro]

gambieter schreef op dinsdag 05 februari 2008 @ 11:11:
Op de Blackberry kan je de informatie versleutelen en een password instellen. Maar een mobieltje zal inderdaad een probleem zijn, al heb je daar niet zo snel vertrouwelijke informatie op .

Vele telefoons kunnen ook e-mail ophalen. Dat zal dus betekenen dat je die functie al dus niet meer kan gebruiken.

Op zich snap ik de reden van de maatregel wel maar het zit hem echt een paar slagen dieper dan alleen de gebruikers.

Ik denk dat juist veel mensen teveel toegang hebben tot bepaalde informatie. Waarom zou je in godsnaam een volledig klantenbestand mee naar huis moeten nemen, ik zou zeggen geeft remote toegang dan heb je veel meer controle over de data. Technisch is dit absoluut geen probleem meer.

Truecrypt is (helaas) een applicatie op desktopniveau. Als je de sleutels vanuit de IT versterkt (wat volledig te automatiseren is) dan kan je iig het 'wachtwoord vergeten' verhaal voorkomen.

Op zich kan je TC wel zo scripten dat je bijvoorbeeld een integratie maakt met een domein e.d..

[gambieter]

LauPro schreef op dinsdag 05 februari 2008 @ 22:56:
[...]
Vele telefoons kunnen ook e-mail ophalen. Dat zal dus betekenen dat je die functie al dus niet meer kan gebruiken.

Ja, dat bedoelde ik met draconische maatregelen. Als wetenschapper gaat bijna alle communicatie per email, een van de redenen dat ik een Blackberry van het instituut heb gekregen.

Op zich snap ik de reden van de maatregel wel maar het zit hem echt een paar slagen dieper dan alleen de gebruikers.

Dit kan ik even niet volgen, kun je uitleggen wat je bedoelt?

Ik denk dat juist veel mensen teveel toegang hebben tot bepaalde informatie. Waarom zou je in godsnaam een volledig klantenbestand mee naar huis moeten nemen, ik zou zeggen geeft remote toegang dan heb je veel meer controle over de data. Technisch is dit absoluut geen probleem meer.

We hebben een VPN functie, maar ik heb niet altijd internettoegang. Een locale kopie van bestanden waar ik aan werk is zeker van belang, zeker tijdens de reizen die ik voor werk uitvoer. Dit geld voor heel veel van mijn collega's, waarvan zeker niet iedereen een Blackberry heeft.

Het koppelen van alle databestanden aan versleutelde partities moet op zich wel goed te doen zijn. Als het maar transparant is.

Truecrypt is (helaas) een applicatie op desktopniveau. Als je de sleutels vanuit de IT versterkt (wat volledig te automatiseren is) dan kan je iig het 'wachtwoord vergeten' verhaal voorkomen.

Op zich kan je TC wel zo scripten dat je bijvoorbeeld een integratie maakt met een domein e.d..

Sleutels geautomatiseerd toekennen vanuit IT lijkt me niet verstandig. Dan krijg je mensen die briefjes opplakken of de code op de laptop schrijven, want automatische codes zijn meestal niet te onthouden . Ik zou er eerder voor zijn dat gebruikers hun ww aan IT moeten doorgeven, zodat deze een beveiligd bestand bijhouden.
==========================
Is het mogelijk om de encryptie te koppelen aan de AD inlogprocedure? Of doen Safeboot e.d. dat? Ik moet die programma's nog gaan bekijken.

[LauPro]

gambieter schreef op dinsdag 05 februari 2008 @ 23:31:
Ja, dat bedoelde ik met draconische maatregelen. Als wetenschapper gaat bijna alle communicatie per email, een van de redenen dat ik een Blackberry van het instituut heb gekregen.

Zelf ben ik niet op de hoogte van de encryptiemogelijkheden van de Blackbarry. Over het algemeen is het wel zo dat dergelijke draadloze apparaten worden geoptimaliseerd op energiezuinigheid en gemak en niet op veiligheid.

Dit kan ik even niet volgen, kun je uitleggen wat je bedoelt?

Wel, ten eerste hebt je niet altijd alle data nodig maar zijn backups of exports zo ingericht dat ze enkel een databestand in zijn geheel kunnen exporteren. Ten tweede heeft het ook vaak te maken met een bepaalde werkwijze. Als organisatie zou ik gewoon eisen dat grote databestanden (klantenbestand bijv.) niet met een laptop of pda worden bewerkt of opgeslagen. Dat doe je gewoon vanaf een werkplek die volledig in beheer is van de organisatie. Dit soort beslissingen kunnen grote impact hebben. Het gaat betekenen dat bepaalde taken alleen op bepaalde plekken mogen worden uitgevoerd en tevens voegt het extra beveiliging toe.

We hebben een VPN functie, maar ik heb niet altijd internettoegang. Een locale kopie van bestanden waar ik aan werk is zeker van belang, zeker tijdens de reizen die ik voor werk uitvoer. Dit geld voor heel veel van mijn collega's, waarvan zeker niet iedereen een Blackberry heeft.

Zolang je GSM bereik hebt heb je internettoegang in principe. Daarnaast zou je kunnen werken met een versiebeheersysteem. Nu noem ik al 2 dingen die er waarschijnlijk voor zorgen dat je je complete manier van werken moet aanpassen.

Het koppelen van alle databestanden aan versleutelde partities moet op zich wel goed te doen zijn. Als het maar transparant is.

Veel applicaties zetten tijdelijke bestanden weg. Dus om safe te zijn zou ik toch gewoon ook het complete OS meenemen.

Sleutels geautomatiseerd toekennen vanuit IT lijkt me niet verstandig. Dan krijg je mensen die briefjes opplakken of de code op de laptop schrijven, want automatische codes zijn meestal niet te onthouden . Ik zou er eerder voor zijn dat gebruikers hun ww aan IT moeten doorgeven, zodat deze een beveiligd bestand bijhouden.

Je zou kunnen werken met een metakey. Daarmee eis je dan dat men bijvoorbeeld 1 keer per week op kantoor een nieuwe sleutel krijgt die dan een week geldig is. Daarnaast is het op zich al technisch mogelijk dat er contact moet zijn tussen een centrale authorisatieserver en de laptop, dit hoeft maar heel weinig bandbreedte te kosten.

Is het mogelijk om de encryptie te koppelen aan de AD inlogprocedure? Of doen Safeboot e.d. dat? Ik moet die programma's nog gaan bekijken.

Microsoft heeft een soort van pluginstructuur gemaakt voor beveiligingsmethodes. Zowieso kan je al EFS gebruiken, al hoewel dat beperkte zekerheid geeft. Het veiligste zou zijn een VMWare-image in een TC volume, maar dan ga je wel heel ver.

Overigens wil ik (misschien overbodig) wel even melden dat er veel malafide producten op de markt zijn, zie bijv. http://spritesmods.com/?art=secustick . En als je het heel objectief bekijkt, dan ontkom je er eigenlijk niet aan om te zeggen dat een deel van deze onveiligheid in de gehele Microsoft (en consorten) ontwikkelingscultuur zit. GNU/Linux heeft bijvoorbeeld al jaren de mogelijkheid om je complete FS tot de swap/ram aan toe te encrypten. Dit is met Windows enkel met allemaal 3rd party tools en workarounds mogelijk.

Een grappige oplossing die ik heb gezien was een systeem dat eerst GNU/Linux boot met encryptie en daarna bijvoorbeeld Windows in een VMWare image start. Op dat moment vraag ik mij af of je niet gewoon om de bal heen aan het draaien bent.

[ Voor 11% gewijzigd door LauPro op 06-02-2008 01:23 ]

[Qwerty-273]

Trouwens - met de de nieuwe versie van TrueCrypt (5.0) is het mogelijk om een Windows opstart partitie te versleutelen.
meuk: TrueCrypt 5.0

Ability to encrypt a system partition/drive (i.e. a partition/drive where Windows is installed) with pre-boot authentication (anyone who wants to gain access and use the system, read and write files, etc., needs to enter the correct password each time before the system starts).

[ Voor 6% gewijzigd door Qwerty-273 op 06-02-2008 10:05 ]

[gambieter]

Qwerty-273 schreef op woensdag 06 februari 2008 @ 10:04:
Trouwens - met de de nieuwe versie van TrueCrypt (5.0) is het mogelijk om een Windows opstart partitie te versleutelen.
meuk: TrueCrypt 5.0

[...]

Dat is toeval, eerder deze week was ik nog op de Truecrypt site geweest en was 4.3a de laatste versie.

Ik ga vanmiddag alle informatie en tips doorgeven aan de ICT. Ik ben zelf of vakantie van 7-18 feb, en zal maar onregelmatig kunnen reageren in dit topic. Dat is echter niet vanwege gebrek aan interesse, dit is alles zeer behulpzaam!

[Equator]

Persoonlijk zou ik voor een enterprise omgeving toch kijken naar een systeem wat ook Key-recovery kan doen. Je wilt niet weten hoe hard de stront naar beneden stroomt op het moment dat $manager niet meer bij zijn data kan.

Ik werk zelf ook in overheidsland, en Security op de werkplek is mijn vakgebied.

Wij werken met Utimaco Safeguard Easy v4.11 (Dit is een NBV goedgekeurde versie) maar versie 5.2 zijn we mee aan het testen. Dit is SafeGuard Enterprise waarbij alles netjes onder 1 Management Console valt.

Voor 1 van de klanten zijn wij ook bezig met een oplossing voor het versleutelen van data op externe disken (removable Media). Safeguards Removable Media oplossing is daar waarschijnlijk een goede oplossing. Dit is geintegreerd in de SG Enterprise.

In het verleden veel gewerkt met Credant, 1 management console voor zowel PDA's/SmartPhone/BlackBerry/Windows/Symbian. Zeer compleet en werkt goed.

SafeBoot ken ik ook, echter heeft SB wat nukken als het gaat om synchronisatie tussen wachtwoorden als je offline werkt. * Equator zelf ooit titel safeboot engineer gehad..

De hierboven beschreven producten hebben allen de CC (Common Criteria) en FIPS -140 certificering. (Anders mag het niet in overheidsland gebruikt worden) Alleen SGE (4.11) is NBV gecertificeerd. Credant ligt als het goed is ter beoordeling bij de NBV.

Mocht je geinteresseerd zijn, ik heb nog een Contact (uit London) voor je van Credant. Die kan via de telefoon ongetwijfeld een aantal antwoorden geven. Doe maar PM'en indien gewenst.

[gambieter]

Even een korte update: ik ben momenteel op vakantie (wintersport, Oostenrijk, sneeuw en zon ) en denk dus even niet na over encryptie (en tik dit op de werklaptop met Truecrypt ). Ik kom hier zeker op terug!

[AlterEgo]

* AlterEgo roept LUKS.

Ik gebruik LUKS voor volledige systeem encryptie, harddisk, USB, CD/DVD.
Open, transparant en FIPS gecertificeerd (voor wat het waard is).
De lol is, dat je meerdere passwords kan toekennen aan een encrypted partitie, zodat je als admin een achterdeur hebt als de manager zijn wachtwoord kwijt is.
Werkt geweldig onder linux- out-of-the box ondersteuning voor (non-root) gebruikers in Gnome en KDE (in KDE4 standaard, in KDE3 met een wrappertje).
Alles wat ik in LUKS encrypt kan ik lezen, en schrijven onder Windows (mits het filesystem begrepen wordt uiteraard) via FreeOTFE

Ik heb me nooit verdiept in Macs, maar in principe (alles open) kan daar vast ook veel.

[ Voor 0% gewijzigd door AlterEgo op 13-02-2008 20:28 . Reden: layout ]