Partitie beveiligen met wachtwoord

[Verkade89]

Onlangs is een SSD kapot gegaan. Ik dacht dat die dingen vrijwel nooit kapot gingen maar blijkbaar dus wel, ook nog van een betrouwd merk (Crucial MX500 2TB). Daar zat nog garantie op dus ik wilde hem terug sturen. Probleem is dat er geen beveiliging op zat, dus mocht het op een of ander manier weer werken, dan zijn al mijn bestanden zichtbaar en daar maakte ik me zorgen om. Deze zorgen wil ik niet hebben voor de volgende keer.

Dus nu wil ik een partitie beveiligen met wachtwoord. Ik weet dat dit kan, ik heb aantal externe hardeschijven in handen gehad die dit hadden. Maar veel meer dan dat weet ik niet.

Ik heb nu een Samsung 970 Evo Plus 2TB gekocht. Deze SSD is deels gericht voor games maar deels ook andere data die ik wil afschermen.

Vragen waar ik mee zit:
- Welke software is aan te raden om dit te doen? Windows heeft volgende mij bitlocker, maar er zijn ook 3rd party software (VeraCrypt?) die dit doen.
- Is het oke om spellen te spelen vanaf een beveiligde partitie of beter maar niet? Als spellen te spelen zijn zonder performance issues, dan zou ik in principe de hele SSD kunnen beschermen met wachtwoord.
- Hoe zit het met de levensduur van een SSD met een beveiliigde partitie? De externe hardeschijven die ik in handen heb gehad waren allemaal HDDs. SSD werkt toch net iets anders.
- Eventueel andere handige tips? Dingen waar ik op moet letten of zo?

[F_J_K]

Idd Bitlocker of Veracrypt. Als je een TPM hebt, en Windows pro, zou ik voor Bitlocker gaan. Als je Windows Home hebt, ligt Veracrypt voor de hand.

Performance: hangt ook weer van je processor af. Ondersteund die bijv. AES-NI? maar ja het zal vertragen. Al zie ik weinig problemen met het hebben van een nietversleutelde partitie voor executabels. Let op dat je %temp% wel op de versleutelde partitie zal staan en daar wel wat vertraagd. (En die niet versleutelen haalt een deel van de voordelen van versleutelen weg).

Let op: je hebt zelf ook geen toegang meer als iets fout gaat en je geen backup hebt. Heb backups, test die.

[MAX3400]

Beetje lood om oud ijzer want beide genoemde "encrypties" beperken jou direct in bepaalde vorm van data-recovery.

Daarnaast, en doe ermee wat je wil: leuk dat je een password eraan hangt maar hoe veilig is jouw PC verder? Geen keyloggers of andere bagger aan boord? Want zodra een volume "unencrypted" is, heeft alles er natuurlijk toegang toe.

[F_J_K]

MAX3400 schreef op zaterdag 5 februari 2022 @ 11:12:
Beetje lood om oud ijzer want beide genoemde "encrypties" beperken jou direct in bepaalde vorm van data-recovery.

Daarnaast, en doe ermee wat je wil: leuk dat je een password eraan hangt maar hoe veilig is jouw PC verder? Geen keyloggers of andere bagger aan boord? Want zodra een volume "unencrypted" is, heeft alles er natuurlijk toegang toe.

Op werk-apparatuur wil je het wel, is het al snel ook min of meer verplicht tegenwoordig. Op een prive-PC is de noodzaak er een stuk minder ja. Kans op diefstal van de PC-kast is tegenwoordig niet zo groot (en versleutelen heeft dan alleen zin als je ook de backups versleuteld - als een dief al enige interesse zou hebben in de data) en als ik een reparatiedienst niet vertrouw dan gooi ik de SSD maar weg.

Op een laptop vind ik het wel erg prettig dat er 'niets aan de hand is' als ik het ding verlies.

Edit: en natuurlijk helemaal eens met het tweede wat @MAX3400 zegt: een reparatie is zeker niet de grootste dreiging.

[Voor 5% gewijzigd door F_J_K op 05-02-2022 11:34]

[MAX3400]

@F_J_K eens; voor apparatuur die niet van jou is en/of data die niet op straat mag komen te liggen, zijn er allerlei voordelen aan encryptie etc.

Maar inderdaad; kijk naar een random backup. SSD is dan Very-encrypted; en dan gaat iemand een OneDrive-client installeren in een "running unencrypted" sessie. Die kopieert "plain text" data naar onedrive.live.com. En daar kan je dan, in het ergste geval, inloggen met een password van 9 karakters.

Ander nadeeltje van versleutelen, en zeker met aanvullende hardwarematige zaken zoals TPM etc.; bij een recovery / reparatie moet de hele machine op pad; in ieder geval de onderdelen die allen moeten samenwerken om een volume "inzichtelijk" te krijgen. Nee, inderdaad; dan gooi ik ook liever een SSD weg en zet ik een backup terug op een nieuwe

[downtime]

Verkade89 schreef op zaterdag 5 februari 2022 @ 11:00:

Vragen waar ik mee zit:
- Welke software is aan te raden om dit te doen? Windows heeft volgende mij bitlocker, maar er zijn ook 3rd party software (VeraCrypt?) die dit doen.

Ik heb Bitlocker en VeraCrypt (toen het nog TrueCrypt heette) allebei gebruikt en qua performance en ease of use vind ik Bitlocker veruit superieur. Bitlocker kun je aanzetten en vergeten.
Er zijn best wat use cases waar VeraCrypt de betere optie is maar voor de meeste mensen is Bitlocker de beste optie mits je Windows Pro draait en een TPM hebt.
Sowieso vind ik het een voordeel dat Bitlocker een native Windows component is en geen 3rd party software. Weer een stuk software minder om te installeren en te onderhouden.

- Is het oke om spellen te spelen vanaf een beveiligde partitie of beter maar niet? Als spellen te spelen zijn zonder performance issues, dan zou ik in principe de hele SSD kunnen beschermen met wachtwoord.

Ik gebruik al heel lang Bitlocker op mijn machines en merk niets van performance impact. Ik denk ook dat de SSD zelf de performance bottleneck is en niet dat beetje overhead voor de CPU. Maar ik heb nooit A/B-vergelijkingen gedaan en ik kijk niet op een procentje performance meer of minder (zolang een systeem snel aanvoelt geef ik niet om gemeten performance).

- Hoe zit het met de levensduur van een SSD met een beveiliigde partitie? De externe hardeschijven die ik in handen heb gehad waren allemaal HDDs. SSD werkt toch net iets anders.

Een SSD "slijt" en heeft een levensduur van een beperkt aantal schrijfoperaties. In de praktijk kun je die SSD waarschijnlijk tientallen jaren gebruiken voordat die levensduur ooit een probleem wordt.
Encryptie op een (deels) gevulde disk houdt in dat alle data eenmalig encrypted moet worden. Maar op een hele levensduur van een SSD heeft dat nog steeds niet veel impact. Ik zou me daar dus helemaal geen zorgen over maken.

- Eventueel andere handige tips? Dingen waar ik op moet letten of zo?

Neem encryptie heel serieus. Zorg dat je backups van passwords, pincodes en/of recovery keys hebt en print die ook uit. Bewaar ze heel goed. En maak ook regelmatig backups van je data. En denk na of je die backups ook wilt encrypten.
Encryptie tools willen een datalek voorkomen. Ze doen niets om dataverlies te voorkomen. Integendeel: Bitlocker zal je bijvoorbeeld om de recovery key vragen als er een hardware wijziging is geweest, je netwerkkaart vervangen is al genoeg, en heb je de recovery key dan niet dan is je data gewoon weg. Foetsie. En dat is by design. En dat principe geldt voor elke goede encryptie tool. Dus zorg dat je backups heel serieus neemt.

F_J_K schreef op zaterdag 5 februari 2022 @ 11:11:
Let op dat je %temp% wel op de versleutelde partitie zal staan en daar wel wat vertraagd. (En die niet versleutelen haalt een deel van de voordelen van versleutelen weg).

Ik wil me niet hoeven afvragen waar applicaties misschien gevoelige data neerzetten. Dus ik encrypt gewoon de hele C: schijf en werk al jaren niet meer met aparte partities.

[MAX3400]

downtime schreef op zaterdag 5 februari 2022 @ 16:37:
[...]

Ik wil me niet hoeven afvragen waar applicaties misschien gevoelige data neerzetten. Dus ik encrypt gewoon de hele C: schijf en werk al jaren niet meer met aparte partities.

Dit is sowieso een goed idee om verder in te lezen; TRIM gebeurt op "de volledige storage" en niet per partitie. Dus als je bijvoorbeeld 1 partitie maakt van 100GB waar nog 15GB vrij is en 1 partitie van 400GB waar maar 10GB vrij is, kan je best wel eens issues gaan krijgen in de "performance" van trimming en andere optimalisaties.

Afgezien van de (letterlijk) logische drive-letter voor een partitie, is er eigenlijk sinds de overgang naar SATA-300 geen echte reden meer geweest om te partitioneren; de spindle-snelheid is sindsdien voldoende om sectoren overal op de disk bijna even snel in te kunnen lezen.

[Verkade89]

Dank je wel voor de reacties.

Ik gebruik een Ryzen 9 5900X, dus mijn systeem heeft een TPM en ondersteunt ook AES-NI. Dus ik kan bitlocker gebruiken, en ik neem dan ook aan dat het wel snel genoeg is voor spellen waardoor ik eigenlijk de hele SSD kan encrypten. Hoef ik ook niet met verschillende partities te werken. Doe ik al sinds 2006 niet meer.

Ik heb me net een beetje verdiept in bitlocker. Ook in verband met TPM, waar ik onzeker over ben. Ene kant handig, de drive word automatisch geopend bij het opstarten van de PC tenzij er iets veranderd is. Andere kant lastig, aangezien de drive dan gelinkt word met de hele systeem. Maar dit geld volgens mij alleen voor de operating system drive, klopt dat? De SSD die ik gebruik, daar komt geen Windows op, dus het word gezien als een fixed data drive en dan word TPM niet toegepast, klopt dat? Beetje zoals Bitlocker To Go voor removable data drives, als ik het goed begrijp.

[Thralas]

Verkade89 schreef op zondag 6 februari 2022 @ 10:35:
Ene kant handig, de drive word automatisch geopend bij het opstarten van de PC tenzij er iets veranderd is. Andere kant lastig, aangezien de drive dan gelinkt word met de hele systeem.

Je hebt altijd nog de recovery key waarmee je BitLocker kunt unlocken. Het linken met het systeem is niet 'lastig', het is slechts een handigheidje om niet iedere keer een key in te hoeven tikken.

Je kunt BitLocker verder gewoon aanzetten, betere alternatieven zijn er niet en performance is de discussie niet waard.

Één maar: het advies van @downtime herhaal ik nog een keer

Neem encryptie heel serieus. Zorg dat je backups van passwords, pincodes en/of recovery keys hebt en print die ook uit. Bewaar ze heel goed.

Waarom? Omdat BitLocker altijd een recovery key aanmaakt, maar deze tegenwoordig standaard in je Microsoft-account zet ipv. hem weergeeft.

Hetzelfde Microsoft account dat je mogelijk niet eens actief gebruikt maar enkel hebt ingevuld toen je Windows installeerde omdat Microsoft dat graag wilde. En dan loop je het risico dat je niet kunt inloggen omdat je het wachtwoord kwijt bent, of Microsoft je een maand laat wachten met inloggen omdat je je 2FA tokens kwijt bent.

Zorg dat je recovery codes op papier hebt.

Je kunt ze ieder moment nodig hebben. Door een hardwarewijziging, of een softwareupdate die je automatisch kreeg maar die de TPM checks ongeldig maakt.

[downtime]

Verkade89 schreef op zondag 6 februari 2022 @ 10:35:

Ik heb me net een beetje verdiept in bitlocker. Ook in verband met TPM, waar ik onzeker over ben. Ene kant handig, de drive word automatisch geopend bij het opstarten van de PC tenzij er iets veranderd is. Andere kant lastig, aangezien de drive dan gelinkt word met de hele systeem. Maar dit geld volgens mij alleen voor de operating system drive, klopt dat?

Als je de C: partitie encrypt met Bitlocker wordt de key in de TPM opgeslagen. Van alle andere partities die je automatisch laat unlocken wordt de key op de C: partitie bewaard. Daarom is automatisch unlocken van partities ook alleen beschikbaar als C: encrypted is.