Verschlüsselung von Daten(trägern) mit TrueCrypt
                               “PRIVACY IS NOT A CRIME”
                       (letzte Überarbeitung by TM: 07.07.2008 anlässlich Version 6.0)

9.1 Verschlüsselung eines versteckten Betriebssystems

Haben Sie Ihr Betriebssystems-Partition vollverschlüsselt (siehe Kapitel 9.), könnten Sie u.U. gezwungen werden (Bedrohung, Beugehaft etc.), Ihr Pre-Boot-Authentication-Passwort herausgeben, mit welchem dann über den TrueCrypt-Pre-Boot-Loader das verschlüsselte Betriebssystem gestartet werden könnte. Ab Version 6.0 bietet TrueCrypt für diesen Fall die Möglichkeit eines (zusätzlichen) versteckten Betriebssystems (Vista/XP), dessen Existenz nicht nachweisbar und auch nicht vermutbar ist, sofern Sie einige Tipps (siehe folgend) beherzigen.

Bevor Sie hier jedoch weiterlesen, sollten Sie sich dem vorherigen Kapitel “Arbeitsweisen von TrueCrypt bzgl. versteckter Volume” vertraut machen und verstanden haben, was ein TrueCrypt-Volume, im besonderen ein verstecktes Volume, ist.

9.1.1 Hintergründe/Architektur:

Das bisher verwendete, unverschlüsselte Betriebssystem (Win Vista/XP) wird vollverschlüsselt und zum Alibi-Betriebssystem. Dies sollte lediglich vermeintlich sensible Daten enthalten bzw. zum normalen Betrieb verwendet werden und keine schützenswerten Spuren hinterlassen. Dieses Betriebssystem sollte auch regelmässig gestartet und damit gearbeitet werden, weil ansonsten die glaubhafte Bestreitbarkeit (plausible deniability) des versteckten Betriebssystems leidet. Ein Ermittler/Fahnder/Angreifer könnte vermuten, dass ein verstecktes Betriebssystem vorhanden ist (wenngleich er es nicht beweisen kann), wenn das preisgegebene Alibi-Betriebssystem nie oder wenig verwendet wurde.

Das versteckte Betriebssystem wird bei Erstellung (nur zu Anfang) eine exakte Kopie des aktuell verwendeten (Alibi-)Betriebssystems sein, indem es in ein verstecktes Volume (Grösse=Systempartition) innerhalb eines normalen TrueCrypt-Volume auf einer eigenen Partition, die der Systempartiton folgen muss, kopiert wird. Das versteckte Betriebssystem wird bei diesem Vorgang mit einem eigenem Encyption-Key on the fly verschlüsselt und erhält ein eigenes Pre-Boot-Authentication-Passwort, d.h. dieses muss different zu dem des Alibi-Betriebssystems und möglichst sicher sein sowie geheim bleiben. Mit der Eingabe des entsprechenden Passworts erkennt der TrueCrypt-Bootloader, welches Betriebssystem er starten soll.

Bei erzwungener Herausgabe* des Passworts für die offensichtlich vorhandene Vollverschlüsselung des Systems (ein Angreifer erkennt dies sofort am vorhandenen Pre-Boot-Loader), wird natürlich das Kennwort für das Alibisystem angegeben. Nun sieht der Ermittler jedoch, dass eine zweite verschlüsselte Partition vorhanden ist und erzwingt erneut die Herausgabe* des Passworts hierfür. Jetzt kommt das Passwort Nr. 3 zum Einsatz: Mit diesem wird das Outer-Volume mit den weiteren Alibi-Dateien gemountet/eingebunden (z.B. vom Alibi-System aus), während das enthaltene versteckte Volume mit dem geheimen Betriebssystem nicht ersichtlich und nachweisbar ist.

*Selbstverständlich sollte der kluge TrueCrypt-Anwender auch mit der Herausgabe der Alibi-Passwörter geizen, damit die Sache realistisch bleibt. Für einen Angreifer/Ermittler/Fahnder soll es ja so aussehen, als wenn man das Geheimste preis gibt.

Für einen ”erfolgreichen” (lol) Ermittler böte sich dieses Bild:

• Sie unterhalten als sicherheitsbewusster Anwender ein vollverschlüsseltes Betriebssystem (das Alibi-Betriebssystem auf Partition 1 :-)
  
  Hinweis: Die Glaubhaftigkeit, dass es sich um das einzige und “echte” Betriebssystem handelt, steht und fällt (wie oben schon erwähnt) mit der Häufigkeit der Benutzung!

• Sie haben als sicherheitsbewusster Anwender die Daten vom Betriebssystem wie üblich in einer eigenen Partition getrennt und zudem ebenso zum Schutz in einem normalen TrueCrypt-Volume verschlüsselt (Alibi-Dateien im Outer-Volume auf Partition 2 :-)
  
  Hinweis: Um auch bzgl. der Alibi-Dateien, die sich im Outer-Volume auf Partition 2 befinden, glaubhaft zu machen, dass dieses die “echten”, schützenswerten Daten sind, sollte mit diesem Container unbedingt regelmässig gearbeitet werden. Dabei ist beim Mounten darauf zu achten, dass die Überschreibschutz-Option für das versteckte Volume aktiviert ist, weil dieses ansonsten beschädigt wird, wenn der (nur intern freie) Speicherplatz (siehe obige Grafik zu Partition 2) ausgereizt wurde.

Fazit:
Alle freuen sich; der Ermittler, weil er sich (aus seiner Sicht erfolgreich) Zutritt zu den verschlüsselten - vermeintlich sensiblen - Daten verschafft hat und der TrueCrypt-Anwender, weil das Vorhandensein der wirklich schützenswerten Daten und Spuren erfolgreich verheimlicht werden konnte. Denn die Existenz eines versteckten Betriebssystems (versteckten Volume) ist für den Ermittler/Angreifer verschleiert und absolut unmöglich nachzuweisen, auch nicht bei Öffnung des äusseren (Outer-)Volume , da es sich inkl. seines Header im freien Speicher desselbigen befindet, perfekt! Siehe zur näheren Erläuterung obige Grafiken.

9.1.2 Vorgehensweise bei der Erstellung eines versteckten, verschlüsselten Betriebssystems:

a. Zuerst muss für das versteckte Betriebssystem Platz geschaffen werden, indem eine weitere Partition, die sich auf dem Systemdatenträger (System-Festplatte) und direkt hinter der Systempartition befinden muss (!), gebildet wird. Windows Vista hat ein solches Feature mit an Bord (siehe Datenträgerverwaltung: Partition verkleinern, anschliessend Bildung neue Partition mit freiem, ungenutzten Speicher), für WinXP muss Zusatzsoftware (wie z.B. PartitionMagic) bemüht werden. Die Grösse der neu zu bildenden Partition muss mind. 105 % (NTFS 110 %) der Systempartition betragen bzw. so ausreichend bemessen sein, dass das Betriebssystem 1:1 geklont werden kann sowie zusätzlich genügend Speicherplatz für die (Alibi-)Dateien im Outer-Volume vorhanden ist.

b. Starten Sie TrueCrypt und wählen Sie “Volume erstellen” -> Encrypt the system partiton or entire system drive / Hidden:

Der Wizard prüft nun, ob die Voraussetzungen zur Erstellung eines versteckten Betriebssystems gegeben sind, sprich ob Punkt a. erledigt wurde. Wenn ja, wird im folgenden das TrueCrypt-Volume (Outer- und verstecktes) auf der neuen Partition (direkt hinter der Systempartition) erstellt. Die Grösse des versteckten Volume entspricht dabei exakt derer der Systempartition; was übrig bleibt, ergibt den freien Speicherplatz für das Outer-Volume.

c. Im weiteren Verlauf müssen Sie nun drei Passworte festlegen (siehe obige Grafik):
Zum einen zwei verschiedene Pre-Boot-Authentication-Passwörter für das aktuelle Betriebssystem (spätere Alibi-System) und das versteckte Betriebssystem, damit der Pre-Boot-Loader später erkennt, welches Betriebssystem er starten soll. Zum anderen ein Passwort für das Outer-Volume zum späteren Einbinden. Das System startet nun neu (Reboot).

Anschliessend kopiert/klont TrueCrypt die Systempartition in das versteckte Volume der weiteren Partition in der Pre-Boot-Umgebung, d.h. bevor Windows gestartet ist. Währenddessen werden die Daten mit eigenem Encryption-Key on the fly verschlüsselt. Der Vorgang kann, abhängig von der Grösse der Systempartition, der Performance des verwendeten Computers und des gewählten Verschlüsselungs-Algorithmus (vor allem bei Kaskadierung), sehr lange dauern, d.h. von ein paar Stunden bis zu ein paar Tagen (Alternative: Erstellung herkömmliches verstecktes Volume mit frei wählbarer Grösse von Outer- und Hidden Volume).
Der Prozess sollte nicht unterbrochen werden, da er ansonsten wieder von vorne begonnen werden muss (Hintergrund: Da es sich um ein Klon des Systems handelt, darf sich die Systempartition währenddessen nicht verändern). Nach Beendigung, startet das System neu.

Zuletzt verschlüsselt TrueCrypt noch die Systempartition (Alibi-System) im laufenden Betrieb (wie in Punkt 9. beschrieben), d.h. es kann mit dem Computer währenddessen wie gewohnt gearbeitet werden. Der Prozess kann auch jederzeit unterbrochen werden (z.B. Herunterfahren); TrueCrypt wird dort weiter machen, wo es zuletzt aufgehört hat.

d. Nach Fertigstellung aller Arbeitsgänge und Neustart, entscheidet allein die Eingabe des individuellen Passworts im Pre-Boot-Loader darüber, welches Betriebssystem (Alibi- oder verstecktes System) gestartet wird. Anfänglich handelt es sich beim versteckten Betriebssystem um einen Klon des ursprünglichen Systems (dies verändert sich natürlich ab diesem Zeitpunkt). Sie sollten das Alibi-System und das Outer-Volume (siehe nächsten Punkt e.) fortan für Ihre “normale” Arbeit verwenden; das versteckte Betriebssystem hingegen für die Speicherung von sensiblen Daten und Verschleierung von Datenspuren (Systemlogs, lokale Internetspuren, Dateifragmente im Freispeicher...).

e. Das Outer-Volume sollte regelmässig über das Alibi-System eingebunden werden*, um in diesem entsprechende Alibi-Dateien zu speichern bzw. um regelmässig damit zu arbeiten. Siehe dazu obigen Hinweis zur glaubhaften Darlegung eines Arbeitsverzeichnisses bzw. zur glaubhaften Bestreitbarkeit weiterer verschlüsselter Daten (nämlich das versteckte Betriebssystem betreffend).

*siehe unbedingt die Anmerkung zum Einbinden äusserer (Outer-)Volume

Anmerkung:
Man könnte- um die Verwirrung komplett zu machen - noch einen “drauf” setzen und in das versteckte Betriebssystem weitere versteckte Volumes “einbauen” oder innerhalb des versteckten Betriebssystems virtuelle Maschinen aufsetzen (z.B. um diese jederzeit zurücksetzen zu können --> Verhinderung Infiltrierung/Virus&Co.). Der Phantasie und Kreativität sind keine Grenzen gesetzt, so lange Sie selbst den Überblick behalten...:-)

• 1. Verschlüsselungs- und Hash-Algorithmen von TrueCrypt
   
• 2. Arbeitsweisen von TrueCrypt
• 2.1.0 Verschlüsselung einer gesamten Partition
• 2.1.1 Verschlüsselung einer Systempartition
• 2.2.0  Verschlüsselung in einem Container (auch Volume genannt)
• 2.2.1 Normales Volume
• 2.2.2 Verstecktes Volume
   
• 3. Unterstützte Systeme, Download und Installation von TrueCrypt
   
• 4. Arbeiten mit TrueCrypt-Containern (inkl. Screenshots)
• 4.1 Normales Volume erstellen (am Beispiel eines Containers)
• 4.2 Verstecktes Volume erstellen
• 4.3 Verschlüsseltes Volume einbinden und öffnen
• 4.4 Volume trennen (vor dem Zugriff schützen)
   
• 5. Volume-Optionen von TrueCrypt
   
• 6. TrueCrypt Traveller Disk erstellen (am Beispiel eines USB-Stick)
   
• 7. TrueCrypt Volume auf CDs und DVDs
   
• 8. Risiken bei Verwendung des Dateisystems NTFS (Host) und der Funktion Defragmentieren
  
  9. Vollverschlüsselung einer Systempartition (neu seit Version 5.x)
• 9.1 Verschlüsseln eines versteckten Betriebssystems (neu seit Version 6.x)
• 9.1.1 Hintergründe/Architektur
• 9.1.2 Vorgehensweise bei der Erstellung <-- Sie befinden sich hier
   
• 10. Deinstallation von TrueCrypt
   
• 11. Verwendungsmöglichkeit im Hinblick auf die heimliche Online-Durchsuchung (Bundestrojaner)

Siehe auch den Beitrag:
“Warum und weshalb verschlüsseln” (Hintergründe zur heimlichen Online-Durchsuchung von Datenträgern)

Home | Angebot | IT-Forensik | IT-Risiken | WWW | Sicherheit | Tipps | Aktuelles | Kontakt | Links | Newsletter | AGB | Impressum | Sitemap |