Full Disk Encryption mit TPM2 - Anleitung benötigt

[jmaitra]

Moin Zusammen,

ich möchte auf aktueller Hardware, die bei mir zuhause steht, ein PROXMOX VE - System neu aufsetzen (Ersatz eines Windows 20216 HYPER-V Hosts). Aus Gründen der Datensicherheit sollen die Daten verschlüsselt gespeichert werden (habe ich auf dem Windows-HOST mit Bitlocker realisiert).

Wo finde ich eine Anleitung wie man das zusammenbaut (idealerweise ohne Eingabe eines Kennwortes nach dem Booten - das habe ich bereits hinbekommen, kommt für mich aber im Betrieb nicht in Frage) ? Wer hat sowas ggfs. schon gemacht und kann mir entsprechende Tipps geben ?


Vielen Dank für Eure Unterstützung und viele Grüße
Jens

 

[Dunuin]

Moin Zusammen,

ich möchte auf aktueller Hardware, die bei mir zuhause steht, ein PROXMOX VE - System neu aufsetzen (Ersatz eines Windows 20216 HYPER-V Hosts). Aus Gründen der Datensicherheit sollen die Daten verschlüsselt gespeichert werden (habe ich auf dem Windows-HOST mit Bitlocker realisiert).

Wo finde ich eine Anleitung wie man das zusammenbaut (idealerweise ohne Eingabe eines Kennwortes nach dem Booten - das habe ich bereits hinbekommen, kommt für mich aber im Betrieb nicht in Frage) ? Wer hat sowas ggfs. schon gemacht und kann mir entsprechende Tipps geben ?


Vielen Dank für Eure Unterstützung und viele Grüße
Jens

Sehe nicht wie das der Datensicherheit förderlich wäre ohne Passworteingabe, mal abgesehen von RMA von defekten Platten die sich nicht mehr wipen lassen. Ist immer die Frage wogegen du dich schützen willst. Vor Hackern hilft es nicht, da die Daten ja im Betrieb entschlüsselt vorliegen.
Gegen physischen Zugriff bzw Einbruch hilft es nicht, wenn jemand den Server klaut, woanders wieder anschließt und sich die Platten dann von selbst entschlüsseln weil der Schlüssel im TPM oder auf einem USB-Gerät gespeichert ist.

 

[jmaitra]

Sehe nicht wie das der Datensicherheit förderlich wäre ohne Passworteingabe, mal abgesehen von RMA von defekten Platten die sich nicht mehr wipen lassen. Ist immer die Frage wogegen du dich schützen willst. Vor Hackern hilft es nicht, da die Daten ja im Betrieb entschlüsselt vorliegen.
Gegen physischen Zugriff bzw Einbruch hilft es nicht, wenn jemand den Server klaut, woanders wieder anschließt und sich die Platten dann von selbst entschlüsseln weil der Schlüssel im TPM oder auf einem USB-Gerät gespeichert ist.

Danke für die Rückmeldung. Eigentlich wollte ich genau diese Diskussion nicht führen; idealerweise hättest Du mir einfach auf meine Frage geantwortet. Es ist nicht so, dass ich große Geheimnisse aufzubewahren hätte - andererseits möchte ich, sofern sich ein Einbrecher der Systeme bemächtigt, es ihm aber auch nicht zu einfach machen, an meine persönlichen Daten zu gelangen. In der Literatur ist von einem "angemessenen Schutzniveau" zu lesen. Und genau dieses wäre aus meiner Sicht mit einer Full Disk Encryption incl. Hinterlegung des Schlüssels im TPM2 erreicht.

==> Die Platte ist nicht einfach auszulesen indem man sie einfach nur in ein anderes Gerät einbaut.

a) gegen professinelle Hacker kann ich mich damit nicht schützen - das ist mir bekannt
b) die einzelnen LINUX-VMs sind insofern geschützt, als dass der root-Zugriff nur schlüsselbasiert funktioniert - brute force dürfte damit schwierig werden

Also nochmal zu meiner aktuellen Frage: Wo finde ich eine Anleitung ?


Vielen lieben Dank für die Unterstützung und viele Grüße
Jens

 

[zikkz]

Ich wäre auch an der Anleitung interessiert

 

[ubu]

Suchst du sowas?

https://www.my-it-brain.de/wordpress/network-bound-disk-encryption-im-ueberblick

 

[jmaitra]

Moinsen,

ich habe es für meine Windows-Systeme mittlerweile anders gelöst (erfordert zusätzliche Hardware). Hier nutze ich einen Share auf eine verschlüsselte Netzwerk-Festplatte; auf diesem speichere ich dann die EFI-Partition und die TPM-Partition. Die Systeme selbst werden mit Windows-Bordmitteln (Bitlocker) verschlüsselt. Das sorgt zwar für eine (manchmal unschöne) Abhängigkeit bei Updates, ist aber auch ohne tiefgreifende LINUX-Kenntnisse zu implementieren.

Für mich ist das so ausreichend - trotzdem danke für den Tipp.