data op harde schijf beveiligen

[Verwijderd]

Beste Tweakers,

Voor mijn stage moet ik een rapport schrijven waarin ik vertel hoe wij data op harde schijven van laptops optimaal kunnen beveiligen. Het worden laptops met Windows XP en een los databasepakket, elke laptop zal beschikken over een eigen database, waar de werknemer in werkt. Deze database bevat gegevens waarvan de privacy ten aller tijde gewaarborgd dient te blijven. Het grootste risico lopen we als er een laptop wordt ontvreemd. Zelf heb ik gedacht aan de volgende opties:

- Data encryptie van Win XP (hoe veilig is dit?)
- BIOS password (valt wel te omzeilen als je de harde schijf fysiek in handen hebt, en bijv. in een andere laptop plaatst)
- Externe harde schijf die de werknemer bij zich houdt (icm met data encryptie van XP, kan wel makkelijker ontvreemd worden)
- Een programma dat de HD wist na 3 mislukte inlogpogingen.

Hebben jullie meer ideën en hoe denken jullie dat het met bovenstaande punten beveiligd is?

Bedankt

Mvg Jan

[TF]

Kijk eens naar safe guard...prima encryptie pakket.... niet te omzeilen

[Nitai]

tsja, met NTFS rechten kom je al een heel eind. Verder heb je Smartcard oplossingen zodat toegang tot het systeem wordt geblokkeerd. Werken met een database lijkt me eerlijk gezegd een beetje krom, maar goed.

Heb je er aan gedacht om de data op een server te dumpen en dat er vanuit daar gewerkt wordt? Dan heb je het risico dat het wordt ontvreemd aanzienlijk verkleint en hoef je je alleen nog maar met netwerkbeveiliging en fysieke beveiliging bezig te houden.

*Edit: Trouwens, bios password kan je gewoon omzeilen door het batterijtje op de moederbord even weg te halen en terug te zetten.

[ Voor 19% gewijzigd door Nitai op 14-01-2004 13:34 ]

[Verwijderd]

een programma dat iets kan coderen met encryptie na een soort zip-bestand en een key genereerd die je bijv op een diskette of usbkey zet en als je het wil lezen dat je de diskette of usbkey moet hebben.

[Verwijderd]

Bedankt voor het snelle antwoorden!

Safe Guard ben ik nu aan het bekijken en ziet er goed uit. Er is ook een optie met vingerafdrukken zie ik... gaaf!

Database op de server installeren is geen optie. Het betreffende pakket is Commence, deze werkt met gedistribueerde databases, zodoende heeft elk werkstation een eigen database nodig en zullen de laptops dus beveiligd moeten worden. Deze optie is uitgebreid onderzocht maar zal te hoge investeringen met zich meebrengen.

[Nitai]

Heeft de database geen security systeem? Dan hoef je dus alleen de db te beveiligen.

[MADG0BLIN]

Kijk anders eens naar Best Crypt. Gebruiken mensen die ik ken en die hebben er goede ervaringen mee. Hier te vinden: http://www.jetico.com/

[Verwijderd]

De database is tot zover ik weer beveiligd met een wachtwoord. Toch wil ik het systeem zo veel mogelijk dichttimmeren. Elke hindernis voor de hacker is er 1, zeker omdat hij in het erste geval fysiek de laptop in handen heeft.

Heeft iemand wel eens gehoord van dat pakket waar ik het net over had, dat na 3 keer fout wachtwoord de HD wist?

[Verwijderd]

oow ik had ut verkeerd begrepen...

[ReallyStupidGuy]

Ik heb me er nooit echt in verdiept omdat ik niet zoveel geheime gegevens heb
Maar volgens mij is een ntfs schijf heel goed en makkelijk te beveiligen onder windowxp. Misschien geen spectaculaire oplossing maar wel de meest voordelige

Of natuurlijk een beveiliging die er voor zorgt dat je na 3 foute inlogpogingen te horen krijgt:"This laptop will selfdestruct in 10,9.." Gevolgd door een harde knal

[Verwijderd]

ReallyStupidGuy schreef op 14 januari 2004 @ 13:45:
Ik heb me er nooit echt in verdiept omdat ik niet zoveel geheime gegevens heb
Maar volgens mij is een ntfs schijf heel goed en makkelijk te beveiligen onder windowxp. Misschien geen spectaculaire oplossing maar wel de meest voordelige

Of natuurlijk een beveiliging die er voor zorgt dat je na 3 foute inlogpogingen te horen krijgt:"This laptop will selfdestruct in 10,9.." Gevolgd door een harde knal

Weet iemand hoe veilig de versleuteling van XP is? Op een ander forum heb ik gelezen dat met een tooltje het admin wachtwoord te wijzigen is, maar ik weet dat als je vanuit de admin account een wachtwoord van een andere account wijzigt, de versleutelde data verloren gaat.

Het zou leuk zijn als de computer na 3 foute pogingen stilletjes de harde schijf met data formatteert... of de map verwijderd, of de complete schijf, o.i.d....

[Mr_Blobby]

Verwijderd schreef op 14 januari 2004 @ 13:59:
[...]
Weet iemand hoe veilig de versleuteling van XP is? Op een ander forum heb ik gelezen dat met een tooltje het admin wachtwoord te wijzigen is, maar ik weet dat als je vanuit de admin account een wachtwoord van een andere account wijzigt, de versleutelde data verloren gaat. ...

Lees dit knowledge base artikel eens van MS over "Best Practices for the Encrypting File System". Windows XP sp1 gebruikt overigens standaard AES (Ryndael) als encryptie algoritme

[Verwijderd]

Bedankt, ziet er goed en duidelijk uit dat artikel.

Dus... met een verwisselbare harde schijf, met daarop ge-encrypte data, zou ik over een optimale beveiliging beschikken?

[Verwijderd]

Nog een vraagje, dit kan ik niet terug vinden op de site van Microsoft. Beschikt XP Home over dezelfde encryptie mogelijkheden als Professional?

[Verwijderd]

Nitai schreef op 14 januari 2004 @ 13:32:
tsja, met NTFS rechten kom je al een heel eind.

Fout, stop je erd commander cd maar eens in je machine. Voila, alle data toegankelijk. Dat is volgens mij niet de scope van de opdracht.

Data encryptie van windows 2000 en hoger is wel een goede optie. Maar ik zou verschillende zaken eens proberen te kraken. Op die manier kom je er het beste achter wat de beste beveiliging is. Als je in je opdracht je kraakpogingen vermeld dan ben je m.i. goed bezig.

[kamerplant]

Verwijderd schreef op 14 januari 2004 @ 14:33:
Nog een vraagje, dit kan ik niet terug vinden op de site van Microsoft. Beschikt XP Home over dezelfde encryptie mogelijkheden als Professional?

quote: http://www.microsoft.com/windowsxp/whichxp.asp

Do you need to protect sensitive data in files and folders that are stored on your computer?
The Encrypting File System (EFS), found in Windows XP Professional but not Windows XP Home Edition, allows you to encrypt your files and folders for added security of sensitive data against theft or hackers. Restricted File Access, also found only in Professional, allows you to restrict access to selected files, applications, and other resources. More about EFS.

Ik ben dus bang van niet. Zonder encrypten is de beveiliging overigens niks hè.

[Wekkel]

Ik heb laatst data op een laptop weg weten te schrijven via een netwerk op mijn eigen pc. Met de normale install op de laptop zat het netwerk potdicht (niet te configureren voor eigen gebruik). Met een bootable Win PE cd'tje zag ik het netwerk wel, maar kon er niets van kopiëren. Met knoppix op de laptop geboot zag ik ook het netwerk, maar kopiëren, werkend vanaf de laptop richting PC gaf ook fouten. Toen ben ik via de PC (met XP) gaan inloggen op de (aangezette) samba server op de laptop. Toen ik daar eenmaal binnen was, kon ik wel werkend op mijn pc de laptop leeg trekken. Dag dag, beveiliging.

Linux

_{Inderdaad, encrypten is pas echt veiligheid}

[ Voor 6% gewijzigd door Wekkel op 14-01-2004 14:42 ]

[Gé Brander]

Wekkel schreef op 14 januari 2004 @ 14:42:
Ik heb laatst data op een laptop weg weten te schrijven via een netwerk op mijn eigen pc. Met de normale install op de laptop zat het netwerk potdicht (niet te configureren voor eigen gebruik). Met een bootable Win PE cd'tje zag ik het netwerk wel, maar kon er niets van kopiëren. Met knoppix op de laptop geboot zag ik ook het netwerk, maar kopiëren, werkend vanaf de laptop richting PC gaf ook fouten. Toen ben ik via de PC (met XP) gaan inloggen op de (aangezette) samba server op de laptop. Toen ik daar eenmaal binnen was, kon ik wel werkend op mijn pc de laptop leeg trekken. Dag dag, beveiliging.

Linux

_{Inderdaad, encrypten is pas echt veiligheid}

Inventief mannetje ben jij! Geweldig. Daarom is een extra programma met encryptie op schijfniveau het beste. Ik heb in mijn tijd bij de WU Hypotheekbank gewerkt met een programma voor de laptops wat de gehele harddisk versleutelde en alleen via een wachtwoord en code toegankelijk was. Ben alleen de naam kwijt.

[Verwijderd]

Dan wordt het XP Prof op de laptops. Jammer, want ik had een leuke aanbieding gezien (laptopplus.nl). Misschien dat ze bij een grotere afname wel Prof erbij willen geven.

Wekkel, de beveiliging van XP Prof ís toch encryptie? Dus in principe zou je zonder het wachtwoord te weten (of toevallig hetzelfde wachtwoord te gebruiken) de data met geen mogelijkheid kunnen lezen?

[Nitai]

Verwijderd schreef op 14 januari 2004 @ 14:38:
[...]

Fout, stop je erd commander cd maar eens in je machine. Voila, alle data toegankelijk. Dat is volgens mij niet de scope van de opdracht.

De 'scope' van een opdracht wordt mee bedoeld, de omvang oftewel reikwijdte van een afgebakend terrein. Niet het 'doel' zoals jij hier impliceert. Anyway, ERD Commander, tuurlijk is dat daarmee mogelijk, alleen niet voor jan en alleman beschikbaar, verder schreef ik...'een heel eind...' en niet 'niemand meer in je sys.'

Je kan natuurlijk wat artikelen lezen op http://neworder.box.sk daar las ik vandaag nog een interessant artikel over xp security voor m'n scriptie.

*Update: Het was dus EFS waar ik over las, zoals Databeest al noemde. Hier is een artikel dat daar ook over gaat. http://www.windowsecurity...o_your_Security_Plan.html

[ Voor 16% gewijzigd door Nitai op 14-01-2004 22:49 . Reden: linkje toegevoegd ]

[Ook]

Verwijderd schreef op 14 januari 2004 @ 14:48:
Wekkel, de beveiliging van XP Prof ís toch encryptie? Dus in principe zou je zonder het wachtwoord te weten (of toevallig hetzelfde wachtwoord te gebruiken) de data met geen mogelijkheid kunnen lezen?

Nee, sterker nog, EFS gebruikt een certificaat (net zo als bij https) wat per user wordt aangemaakt. Als je dit certificaat vergeet te backuppen bij een format c:, kan je fluiten naar je data, maar als je van te voren keurig dat certificaat exporteert en dan op het nieuwe systeem weer importeert, dan kun je ook (zonder wachtwoord) weer bij de files.. Als je dus jeXP inlognaam+password 'laat raden', dan is daarmee ook direct de EFS over want als je eenmaal ingelogd bent vraagt ie niet meer om een wachtwoord.

Edit:
Ik zie dit ook net op die microsoft site staan; klopt dus iid wel met wat ik zei over dat als iemand op jouw naam inlogd (en het certificaat is nog geinstalleerd bij die user)s, dat diegene dan gewoon bij de EFS files kan:

Teach users to export their certificates and private keys to removable media and store the media securely when it is not in use. For the greatest possible security, the private key must be removed from the computer whenever the computer is not in use. This protects against attackers who physically obtain the computer and try to access the private key. When the encrypted files must be accessed, the private key can easily be imported from the removable media.

[ Voor 33% gewijzigd door Ook op 15-01-2004 06:11 ]