RAID, Verschlüsselung und Mini-PC

[Alexander (HH)]

Moin Moin!

TC ist gerade fürchterlich am Sterben.
Du hast meinen Link nicht angeklickt, oder?

Nö.

Meinst Du ein Festplattengehäuse mit integrierter Verschlüsselung? Die hat Heise vor einiger Zeit massenhaft verrissen. Nur mit Kenntnis der generellen MBR-Strukturen konnten die Heise-Leute die gesamte Festplatte entschlüsseln, weil die Verschlüsselung so unterirdisch schlecht implementiert war / ist.

Ich will ja gerade nichts von der Stange kaufen.

Warum nicht? Such mal bei Heise nach verschlüsselten Platten, und fische die paar Exemplare raus, die die Heise-Leute nicht binnen Minuten geknackt haben. Die gibt es, aber sie sind in der Minderheit.

* HW-RAID (mit eigener CPU auf dem Controller) gibt's nur gegen viel Geld.

Der Umstand war mir von vor Jahren bekannt, ich wußte nur nicht, ob sich das vielleicht geändert hat.

Nö, warum sollte sich das Ändern? Amateure kaufen sich billige Fake-RAID-Controller, und Profis interessiert der Aufpreis für einen HW-RAID-Controller bei ernsthafter Server-Hardware kaum. Also kann man mit HW-RAID nach wie vor gut Geld verdienen.

B: Wie kann ich die Festplatten dem Arbeits-PC zugänglich machen ohne die Crypto-Maschine zugänglich zu machen? Mit einem entsprechenden ASIC wäre für dieses Teilproblem absolute Sicherheit auf elektronischer Ebene möglich (physischer Zugriff soll hier meinerseits* ausgeklammert werden) aber welche Möglichkeiten gibt es mit käuflich erwerbbarer Hardware?

Was willst Du? Willst Du einen RAID-Server oder ein externes RAID-Gehäuse?

Öhm? Wenn man dem Arbeits-PC nicht einfach eine (entschlüsselte) Festplatte vorgaukeln kann, dann wird es wohl über eine Netzwerkverbindung laufen (mit Netzwerken kenne ich mich bisher auch nur begrenzt aus).

Warum willst Du dem PC eine unverschlüsselte Festplatte vorgaukeln? Bei den autonom verschlüsselnden externen Platten mag das ja sinnvoll sein, da ist der einzige Angriffspunkt das Kabel zwischen PC und Platte (USB, eSATA, Firewire(?), Lightning(?)), und den hat man halbwegs im Blick. Und insbesondere bei via USB gespeisten Platten ist im Notfall durch Ziehen des USB-Steckers erst einmal alles dicht. So lange die Platte samt Crypto-Adapter Strom aus anderer Quelle bekommt, kann man sie auch an einen "feindlichen" Rechner umstecken und hat damit Vollzugriff auf alle Daten.

Wenn Du zwischen Platte und PC irgendetwas servermäßiges aufbaust, laufen Deine Daten erst einmal im Klartext über das Netzwerk, im blödsten Fall noch über eine Funk-Strecke, bei der quasi jeder Idiot mitschneiden kann. Du brauchst also erst einmal ein verschlüsseltes Übertragungsprotokoll, oder du nutzt ein gut funktionierendes Klartext-Protokoll über einen VPN-Tunnel zum Server. Und Du mußt verhindern, dass jemand einen Man-in-the-Middle-Angriff durchzieht oder Dir einen bösartigen Clone Deines Servers unterschiebt.

Ein RAID-Server kann über Protokolle wie iSCSI einem anderen Rechner Plattenkapazität zur Verfügung stellen, so wie ich Linux kenne, muß die Plattenkapazität wahrscheinlich nicht auf physikalischer Hardware liegen, sondern kann ein beliebiges Block-Device sein. Z.B. auch ein TC-Container.

iSCSI ist mir zwar neu aber grundsätzlich hört sich das gut an (Internet-Funktionalität ist aber nicht nötig). Werde ich mir anschauen.

Das "Internet" in iSCSI kommt nur daher, dass iSCSI auf TCP/IP aufsetzt. iSCSI setzt man in der Regel auf kurzen Strecken in lokalen Netzen ein.

Angriffspunkt auf dieses System wäre natürlich die Verbindung zwischen den Rechnern, die muß mindestens so gut geschützt sein wie der TC-Container.

Die sollen im selben Gebäude stehen. Falls es darum ging mit Server oder kein Server, es geht nirgends übers Internet. Das SATA-Kabel mit dem meine jetzigen Platten am Mainbord hängen sind nicht speziell geschützt, was ich in Grenzen für vertretbar halte.

Ein ganzes Gebäuse zwischen Server und Arbeitsrechner. Wie viele Meter Kabel und wie viele Switches und Router sind da wohl zwischen den beiden Maschinen, an denen man Daten abgreifen oder umleiten kann? Wie gut ist das Gebäuse abgeschottet? Sprich: Kommt jeder Depp ins Haus oder stehen neben jeder Tür zwei freundliche Kleiderschränke, die nur den einen Satz "Du kummst hier net rein!" kennen?

Du willst doch keine Backdoor durch NSA-verseuchte Chip-Design-Software haben. Dann baust Du Dir einen Assembler, einen Compiler, und schließlich das Betriebssystem. Ohne bei irgendwelchen anderen, NSA-verseuchten Leuten (ALLE!) abzuschreiben.

Man nehme einen FPGA (einen einmalig beschreibbaren, wenn man will), von dem man halbwegs sicher ist, daß er nicht haufenweise heimlich mit mehr Volumen verkauft wird als zur Nutzung freigegeben ist. Man setze die gewünschte Funktion um und fülle die freien Ressourcen mit Füllfunktionen. Man prüfe Funktion und Füllfunktion. Wenn alles geht, ist physisch nichts mehr da, was Schadfunktionen ausfuhren kann.

Und wie programmierst Du den FPGA? Mit selbstgeschriebener Software? Oder kontrollierst Du jedes einzelne Gate im Binary, das schließlich in den FPGA geschrieben wird?

Und mal so am Rande: Die Backdoor kann auch in Algorithmen stecken, siehe z.B. Dual EC DRBG.

Alexander