Verschlüsselte Datenträger unter NetBSD
Zusammenfassung
Ende 2005 stellte ein Interview bei ONLamp den Cryptographic Device Driver von NetBSD vor, kurz CGD. Es legt eine verschlüsselte virtuelle Festplatte an, die sich wie ein normales Dateisystem nutzen lässt, und richtet sich vor allem an Notebook-Besitzer, die Diebstahl fürchten. Entwickler Roland Dowdeswell verglich CGD dabei mit Loop-AES unter Linux, GBDE unter FreeBSD und svnd unter OpenBSD.
Was CGD macht
CGD ist ein Treiber, der zwischen Dateisystem und echter Festplatte sitzt. Alles, was auf das virtuelle Gerät geschrieben wird, landet verschlüsselt auf der Partition darunter. Ohne den Schlüssel sieht ein Dieb nur Zufallsdaten. Für Programme und Nutzer verhält sich das entschlüsselte Gerät dagegen wie eine ganz normale Festplatte.
Damit schützt CGD die Daten, wenn der Rechner ausgeschaltet ist oder gestohlen wird. Gegen Angriffe auf das laufende System hilft es nicht, denn dann ist die Platte bereits entschlüsselt eingebunden.
Warum das 2005 wichtig war
Notebooks wurden damals zum Massengerät, und mit ihnen verschwanden Kundendaten, Quellcode und Zugangsdaten in Zügen und Hotels. Festplattenverschlüsselung war aber noch keine Standardfunktion der Betriebssysteme. Jedes BSD und Linux hatte eine eigene Lösung mit eigenen Stärken, und der Vergleich im Interview half, die Unterschiede einzuordnen.
Was daraus wurde
Unter Linux setzte sich später dm-crypt mit dem Format LUKS durch, Windows brachte BitLocker und macOS FileVault mit. Heute ist Festplattenverschlüsselung auf Notebooks bei den meisten Betriebssystemen Standard oder mit wenigen Klicks eingeschaltet. CGD ist weiterhin Teil von NetBSD.
Ideen
- Ein virtuelles Blockgerät verschlüsselt alles transparent, was darauf geschrieben wird.
- Verschlüsselung unterhalb des Dateisystems schützt alle Dateien, ohne dass Programme angepasst werden müssen.
- Vergleiche zwischen Systemen machen Stärken und Schwächen einzelner Lösungen sichtbar.
Einsichten
- Festplattenverschlüsselung schützt ausgeschaltete oder gestohlene Geräte, nicht das laufende System.
- Was 2005 eine Spezialfunktion war, ist heute Grundausstattung jedes Notebooks.
Fakten
- CGD steht für Cryptographic Device Driver und ist Teil von NetBSD.
- Verglichen wurden Loop-AES (Linux), GBDE (FreeBSD) und svnd (OpenBSD).
Referenzen
Bemerkungen
- Unter Linux ist heute dm-crypt mit LUKS der übliche Weg; die im Interview genannten Lösungen spielen dort kaum noch eine Rolle.
Empfehlungen
- Schalte auf Notebooks die Festplattenverschlüsselung ein und bewahre den Wiederherstellungsschlüssel getrennt auf.
- Sperre oder fahre das Gerät herunter, bevor du es unbeaufsichtigt lässt; im laufenden Betrieb sind die Daten entschlüsselt.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.