[xp] Windows encryptie en wachtwoorden.

[leuk_he]

Ik wil mijn PC beveiligen tegen data diefstal en wel tegen de volgend scenario's:

1. PC gestolen. -> In mijn (thunderbird) mail staan veel wachtwoorden van sites. Iemand die mijn pc meeneemt heeft daar niet mee te maken.
2. PC in beslag genomen. -> wachtwoord moet worden afgegeven, anders laadt je je de verdenking op wellicht op je. ("rubberhose scenario")

Voor het eerste geval kan wellicht gewoon de "encrypt" optie gebruikt worden van XP :
http://www.microsoft.com/...earnmore/encryptdata.mspx

Voor het 2e geval vraag ik het me af. En bijna oplossing daarvoor is [url=truecrypt.tk]truecrypt[url] (gevonden via Software voor verbergen direcory's / mappen) Die heeft echter als nadeel dat je niet meer mag schijven op het outer volume na het aanmaken.

Nu waarschuwt XP altijd dat encrypted files verloren kunnen gaan als je als administrator het wachtwoord van andere gebruikers veranderd. Is dit feit bruikbaar? Dan zou je het wachtwoord van administrator kunnen afgeven, en die kan dan niet bij bepaalde files, tenzij hij het wachtwoord veranderd, waarna de files verloren zijn (acceptabel in dit scenario). Ook kan het administrator wcht woord veranderd worden met tools? heb je daar beveilging tegen?

Tools als Folder protect zijn geen optie omdat niet te bepalen is of hier wellicht niet een heel grote achterdeur in zit. Linux ook niet (tenzij in de vmware doos, maar die botst helaas weer met mijn firewall software, ander verhaal)

Ik wil zoveel mogelijk onduidelijk maken dat er content encrypted is dus data verbergen is ook een aardige optie, een boel access denied meldingen bij het opstarten van bepaalde software geeft uiteraard meteen aanleiding verder onderzoek te doen, vragen te stellen. In feite moet het veilig zijn tegen iemand die weet wat hij doet en een uurtje door mijn overvolle mappen bladerd (Ik heb 2 jaar lang zooi geinstalleerd, program files is rete vol)

( todo: hoeveel performance kost encrypty ( P2400, 512 MB)?)

Samengevat: Hoe veilig is XP sp2 pro encryption. En is het mogelijk het redelijkerwijs te beveiligen na afgeven/kraken van een password.

[ Voor 8% gewijzigd door leuk_he op 17-12-2004 13:55 ]

[leuk_he]

1 x een kick. Ik heb het wel aan de gang, maar het is zo moelijk te beoordelen hoe veilig het is.

[YouKnow]

Heb jij gekeken naar de PGP oplossing? Die is een betaalde, je kan je mail ermee encrypten. De GnuGP kan dit ook, is open source én gratis. Ook is het encrypten van bestanden er mee mogelijk!

Zelf ben ik aan het proberen het nu werkend te krijgen. Nou ja, eigenlijk werkt het al wel, met een enkele foutmelding, die ik uiteraard ook weg wil hebben.

www.openpgp.com
www.gnupg.org

[leuk_he]

YouKnow schreef op maandag 20 december 2004 @ 17:10:
Heb jij gekeken naar de PGP oplossing? Die is een betaalde, je kan je mail ermee encrypten. De GnuGP kan dit ook, is open source én gratis. Ook is het encrypten van bestanden er mee mogelijk!

Zelf ben ik aan het proberen het nu werkend te krijgen. Nou ja, eigenlijk werkt het al wel, met een enkele foutmelding, die ik uiteraard ook weg wil hebben.

www.openpgp.com
www.gnupg.org

Maar geeft het een oplossing voor degen die "acces denied" ziet? En het wachtwoord wil hebben. Dan wil ik 2 opties hebben:
-foutwachtwoorden = er lijkt niets te zijn.
-admin wachtwoord,=> mogelijkheid wachtwoordveranderen resulterd in data die weg is. bijeffect heeft dat de data nu echt beschermt is.

Recht toe-aan encrypte via een keyphrarse alleen is niet genoeg garantie. (dat doet pgp toch?)

[F_J_K]

Tegen optie2 is niets te doen. Het verkeerde wachtwoord geven is niet een oplossing die verdenking minder maakt Hoe dan ook lijkt het me dat er een image van je HDD wordt gemaakt voor er iets mee wordt geprobeerd. Dus wachtwoorden wijzigen kan geen kwaad: als men dan ziet dat er iets niet meer leesbaar is wordt gewoon de kopie teruggezet

offtopic:
Kleine titeledit, encryptie schrijf je met 1 y.

edit:

Trouwens is verdenking geen probleem. Obstructie misschien wel maar voor zover ik weet is niemand verplicht mee te werken met een aanklacht tegen jezelf. Maar ik kan er natuurlijk erg naast zitten: IANAL

[ Voor 26% gewijzigd door F_J_K op 20-12-2004 18:15 ]

[YouKnow]

leuk_he schreef op maandag 20 december 2004 @ 17:40:
[...]


Maar geeft het een oplossing voor degen die "acces denied" ziet? En het wachtwoord wil hebben. Dan wil ik 2 opties hebben:
-foutwachtwoorden = er lijkt niets te zijn.
-admin wachtwoord,=> mogelijkheid wachtwoordveranderen resulterd in data die weg is. bijeffect heeft dat de data nu echt beschermt is.

Recht toe-aan encrypte via een keyphrarse alleen is niet genoeg garantie. (dat doet pgp toch?)

Wat jij wilt is dit:

http://stegfs.sourceforge.net/

Helaas is dat niet echt van start, voor zover ik nu kan zien.

[Verwijderd]

een rubberhose scenario lijkt me juridisch niet houdbaar (ianal echter), je verdacht maken is niet hetzelfde als schuldig zijn en gebrek aan bewijs is niet een bewijs van schuld, dus in welke omstandigheden zou je ooit in scenario 2 terecht kunnen komen? het achterhouden van een paswoord in een werksituatie zou hoogstens tot ontslag kunnen leiden, maar zeker niet tot vervolging me dunkt. als je toch je paswoord moet geven, denk ik (maar ik weet het niet zeker), is het verwijderen (na het eerst eventueel geëxporteerd te hebben) van de private sleutel nog steeds voldoende om de encryptie z'n werk te laten doen en de gegevens ontoegankelijk te houden, maar je doet best iets steganografisch (versleuteling & verberging van gegevens) als je ook in scenario 2 veilig wil blijven.

[leuk_he]

Ok, het rubberhose scenario krijg je niet aan de gang onder NT/XP

Maar windows encrypty? is dat veilig voor gestolen hardware? Kan iemand het admin wachtwoord resetten en er dan bij? daar is verdomd weinig over te vinden.

[Verwijderd]

tenzij iemand me tegenspreekt, het verwijderen van de private key is voldoende, bij xp met lokaal gebruik (niet in domain) is er standaard geen EFS recovery agent aangeduid, dus kunnen ook na het resetten van het admin wachtwoord geen versleutelde gegevens gerecupereerd worden.

[leuk_he]

Verwijderd schreef op vrijdag 24 december 2004 @ 11:20:
tenzij iemand me tegenspreekt, het verwijderen van de private key is voldoende, bij xp met lokaal gebruik (niet in domain) is er standaard geen EFS recovery agent aangeduid, dus kunnen ook na het resetten van het admin wachtwoord geen versleutelde gegevens gerecupereerd worden.

Heb je nog wat meer zoektermen hoe dit werkt? Na jouw opmerking over private key vondit ik dit:
http://support.microsoft.com/kb/241201/EN-US/

Echter uit dit artikel(en waar het naar verwijst) wordt me niet duidelijk hoe de private key aan het wachtwoord gekoppeld is .

[Verwijderd]

wanneer je mappen of bestanden encrypteert, wordt er een sleutelpaar aangemaakt dat gekoppeld wordt aan je logingebruikersnaam. je kan deze gegevens bekijken (en de pk verwijderen of exporteren) door certmgr.msc uit te voeren.
certificaten-huidige gebruiker->certificaten->persoonlijk->je login gebruikersnaam in de rechterkolom dubbelklikken en de certificate wizard gebruiken (certificaat->details->naar bestand kopiëren->persoonlijke sleutel exporteren, .pfx, zware beveiliging, persoonlijke sleutel verwijderen aanvinken)

als je geen certmgr.msc hebt, moet je deze even zelf aanmaken door mmc uit te voeren en dan de plugin toe te voegen in mmc:bestand->module toevoegen->zelfstandige module->toevoegen->certificaten uit lijst kiezen->toevoegen.
tussen haakjes, de encryptie op zich is krachtig genoeg volgens de huidige standaarden.

[ Voor 21% gewijzigd door Verwijderd op 24-12-2004 12:20 ]

[leuk_he]

Ik maak me ook niet zozeer ongerust dat hij te brute forcen is ( hoewel windows daar verdomd weinig over zegt. tot zo ver vertrouwen & MS).

Maar meer over andere manieren om aan de private key te komen, Het is me namelijk niet duidelijk hoe het werkt

b.v. Als ik certmgr.msc opstart krijg ik "the certificate stores could no be enumerated, the system cannot find the file specified". Dan rijst bij mij de vraag meteen, zijn dus mijn geencrypte files wel geencrypt? (de rest van je verhaal werkt dus ook niet, maar dat probeer ik thuis nog wel eens op een vmware...kloot maar raak... pc )

Uit de MS linksjes blijkt ook dat de domain adminstrator (bijna) altijd bij de private keys kan. Wil ik dat?

[Verwijderd]

leuk_he schreef op vrijdag 24 december 2004 @ 12:27:
Uit de MS linksjes blijkt ook dat de domain adminstrator (bijna) altijd bij de private keys kan. Wil ik dat?

nee, dat wil je inderdaad juist vermijden.

de fout die je krijgt geeft aan dat je op w2k bezig bent ipv. xp. opgelet aimgh, de admin is in 2k standaard een efs recovery agent en kan dus altijd bij de pk, dit zal je dan moeten aanpassen.

[MrBarBarian]

Ehm, zonder verder inhoudelijk te reageren:

Vanuit security point of view is het al rete fout om wachtwoorden op te schijven (al dan niet op papier of in een file)... wachtwoorden zijn gemaakt om te onthouden!