SSD/HDD Encrypten: strategie & achterdeurtjes

[VuurVosje]

TL;DR:
Is het encrypten van alleen /home wel veilig, of zijn er achterdeurtjes?


Omdat ik binnenkort een verse install wil doen denk ik na over wat de beste manier is om mijn gegevens te beschermen.
(niet tegen NSA&Co, maar voor het geval dat mijn computer/SSD zoekt raakt of gestolen wordt)

1. De makkelijkste manier lijkt mij een SSD/HDD met HW encryptie icm een drive password in het BIOS (zoals bv Lenovo en Toshiba gebruiken).
+ Veilig; lastig te omzeilen
+ Geen performance verlies
+ Eenvoudig uit te voeren
- Je schijf overzetten bij een kapotte computer is niet altijd mogelijk; dan ben je je gegevens kwijt... 
- Budget SSD's hebben niet altijd HW encryptie


2. Een andere optie is SW full disk encryptie: maar volgens mij is dit niet mogelijk bij een dual boot Win/Linux setup.
(correct me if I'm wrong)


3. Encryptie van /home
Hier kom ik niet helemaal uit of dit nu echt veilig is, het root password resetten is bij Linux erg makkelijk:
http://wiki.ubuntu-nl.org/community/WachtwoordVergeten
https://help.ubuntu.com/community/LostPassword
In hoeverre is dit een achterdeurtje om op deze manier toch een een encrypted /home te kunnen lezen?
Zie ook:

Als een gebruiker op deze manier een nieuw wachtwoord voor zijn versleutelde gegevens (de ~/Private map bijvoorbeeld) niet beschikbaar zonder dat opnieuw de wachtwoordzin is opgegeven. Kijk op deze wiki voor verdere instructies.

Of via dit:
http://wiki.ubuntu-nl.org/community/VersleuteldePrivateMap#Handmatig
http://wiki.ubuntu-nl.org/community/VersleuteldePrivateMap#Terughalen_wachtwoordzin
https://help.ubuntu.com/community/EncryptedPrivateDirectory
https://help.ubuntu.com/community/EncryptedPrivateDirectory#Recovering_Your_Mount_Passphrase

Terughalen wachtwoordzin
De wachtwoordzin is met het inlog wachtwoord versleuteld opgeslagen in het bestand 'wrapped-passphrase'. Het is van belang deze wachtwoordzin goed en veilig te bewaren. Voor het geval de wachtwoordzin toch niet veilig is bewaard kan deze alsnog worden uitgelezen door gebruik te maken van het inlogwachtwoord.

Ik begrijp niet goed hoe het precies zit en of dit achterdeurtjes zijn: wie helpt mij?
(de voorkeur gaat uit naar iemand die het weet ipv iets vermoedt.... )


Ook algemene tips qua encryptie en het beveiligen zijn welkom. 
Nogmaals: hier aub geen discussie over de perfekte beveiliging tegen profi hackers (Goed moet immers niet het slachtoffer worden van Perfekt... ), het gaat mij er vooral om dat mijn gegevens igv HW diefstal/verlies beschermd zijn tegen 'de lokale naarling die handig is met computers'.

[EZ-man]

Neem dan ook de maatregelen mee tegen "suspend to disk" (slaapstand) en de kwetsbaarheid van de swap:
  http://blog.kapsobor.de/archives/2008/01/09/encrypted_swap_and_suspend_to_disk/
    ...of zie helemaal af van de slaapstand.

Voor de rest zal ik luisteren, ik weet hier te weinig van.

[redmar]

1. Ik zou hardware encryptie niet snel vertrouwen, hoe weet je of daar geen fouten in zitten, en hoe moet de fabrikant fouten rechtzetten als ze ontdekt worden?

2. Je kan gewoon 'full disk' encryptie doen als je dualboot, alleen is het dan niet echt full disk omdat windows niet versleuteld is, maar meer 'full ubuntu' .

3. Alleen je persoonlijke map versleutelen is veilig genoeg tegen mensen die je pc jatten, tenzij je een heel zwak wachtwoord gebruikt (korter dan 12 tekens ofzo), dan zouden ze het kunnen kraken met brute force. Zelfs de root gebruiker kan niet bij je persoonlijke bestanden als die versleuteld zijn.  Er zijn wat theoretische zwakheden in de versleuteling van je persoonlijke map, maar niks wat een laptopdief zou kunnen misbruiken.

Let wel, als iemand 2x toegang tot je laptop heeft zou diegene het systeem aan kunnen passen om je wachtwoord af te vangen, maar dat kan bij zowel home als full disk versleuteling.

Algemeen: lock altijd je pc als je weggaat, en automatisch na 5 min, de beste encryptie helpt niks als je aangemeld bent

[Ronaldus]

Ik zorg voor een versleutelde 'home' en haal uit Grub de herstelmogelijkheid weg door het hekje voor de desbetreffende zin weg te halen en daarna 'sudo update-grub'.

Volgens mij zijn er dan geen achterdeurtjes meer en merk je er gedurende het gebruik niets meer van.

[testcees]

Bij normaal gebruik wordt de wachtwoordzin versleuteld met behulp van het inlogwachtwoord. Log je in met je wachtwoord wordt hiermee de wachtwoordzin ontcijfert en zijn je gegevens toegankelijk.

Verander je je wachtwoord op de normale manier, moet je ook het huidige wachtwoord opgeven. De wachtwoordzin zal dan opnieuw worden versleuteld met het nieuwe wachtwoord.

Reset je het wachtwoord (bijvoorbeeld via een Linux livecd) kan de wachtwoordzin niet worden ontcijfert (met het reset wachtwoord) en blijven de gegevens in /home versleuteld. Om toegang te krijgen tot je gegevens moet opnieuw de wachtwoordzin worden gegeven of worden ontcijfert met behulp van het oude inlogwachtwoord.

Van belang is dus dat je een sterk inlogwachtwoord gebruikt, zodat na diefstal/verlies de wachtwoordzin, en daarmee je gegevens, niet is/zijn te ontcijferen.

De opmerking over swap is terecht, als je alleen /home versleuteld worden gegevens leesbaar in swap worden opgeslagen door de slaapstand. Het uitlezen van swap is wel lastiger dan het instellen van een nieuwe wachtwoord en je kan je afvragen of ‘de lokale naarling die handig is met computers’ de moeite zal nemen gegevens te zoeken in de swapruimte.

Optie 2, volledige disk encryptie is geen standaard optie voor een dual boot Windows/Linux. Het is wel mogelijk gebruik te maken van LVM en het LVM volume (geheel, dus inclusief swap) te versleutelen. Zie How to install Ubuntu 11.04 on an encrypted LVM file system.