Verschlüsselung

Beitrag von JR » Sonntag 9. Dezember 2007, 15:44

Mich würde interessieren, ob jemand aus dem Forum seine Daten (praxisdb, dokument-Ordner) auf seinem Server verschlüsselt und mit welchem System; Geschwindigkeitseinbußen? Kritsche Einwände gegenüber der Zugänglichkeit der Daten bei Hardwaredefekten? Ich könnte mir eine Lösung mit Truecrypt und Schlüsseldateien auf externem verschlüsselten Medium vorstellen.

MfG - JR

Hallo,

Truecrypt kenne ich auch, verwende es für private Daten auf dem heimischen Rechner schon lange und hatte noch nie Probleme.

Mit TurboMed habe ich es noch nicht probiert; wäre vielleicht sehr interessant. Man kann ja entweder nur eine Datei oder auch eine ganze Partition als verschlüsseltes Laufwerk mounten.

Ich könnte mir aber vorstellen, dass die Geschwindigkeit leidet, obwohl ich in meinem privaten Bereich keine Geschwindigkeitsnachteile bemerken kann.

Bin gespannt, ob jemand Erfahrungen damit hat.

Viele Grüße
A. Geigenberger

http://www.truecrypt.org/

Beitrag von **Kasimir** » Sonntag 9. Dezember 2007, 19:33

"Dokumente" habe ich mit Steganos-Safe auf einem Rechner, mit Truecrypt auf den anderen Rechnern verschlüsselt. Geschwindigkeitsverluste habe ich keine bemerkt.
Die teuerere Steganos-Save-Version ist netzwerkfähig, die einfache nicht, d.h. dass bei dieser Version das Freigeben und die Lese-und Schreibberechtigungen für den Dokument-Ordner nach jedem kompletten PC-Ausschalten wieder verschwindet.
Wie das bei Truecrypt ist, weiß ich nicht, da ich dort die Netzwerkfähigkeit nicht brauche.

Hi
es ist nicht unvorstellbar, dass jemand in die Praxis einbricht und die PCs mitgehen lässt.
Ob er auf die Turbomed-Datenbank zugreifen kann, wenn man ein halbwegs sicheres Paßwort benützt, weiß ich nicht. Aber die Dateien im Ordner "Dokumente" sind in jedem Fall zugänglich. Da wir eine papierlose Praxis haben und alles einscannen, sind hier eine Menge vertraulicher Daten gespeichert.
Ich habe den Ordner "Dokumente" mit TrueCrypt verschlüsselt.
Eine Geschwindigkeitsnachteil habe ich bisher nicht bemerkt.

Kleiner Nachteil: ich muss morgens beim PC-Start auf dem Server die verschlüsselte Datei mounten, damit der Ordner "Dokumente" zur Verfügung steht. Das dauert einige Sekunden.
Bei sicherem Passwort sind die Daten aber im Falle eines PC-Klaus sicher.

Was mich interessieren würde: wie sicher ist die Turbomed-Datenbank. In der Regel hat man für das Programm Turbomed ja doch ein eher einfacheres Paßwort, das sich auch die Helferinnen leicht merken können.

T.B.

Danke für die Tips für die Verswchlüsselung, habe mir Truecrypt bereits heruntergeladen und werde es zwischen Weihnachten und Neujahr ausprobieren...
Für mich ist das Thema Datenverschlüsselung deshalb aktuell, weil vor kurzem in einem Braunschweiger Stadtteil eine Arztpraxis nahezu komplett inklusive PC's ausgeraubt wurde.
Übrigens, auch wenn es kein PC-Problem ist, kann jemand eine einfache aber gute und effektive Alarmanlage empfehlen?

Grüße
Wolfgang Borchert

Beitrag von JR » Mittwoch 19. Dezember 2007, 17:18

Hat jemand das encrypted file system von Windows in Betrieb (auf dem Server)?

Bei mir schon beim ersten Test Probleme: Trotz Zertifikat Ex-/ Import konnten Probedateien auf dem Client zunächst nicht geöffnet werden.

MfG - JR

Hallo JR,

was für Probleme hatten Sie denn mit dem "Encrypting File System" ?

Vor ca. 2 Jahren - also schon ein bißchen her - hatten wir uns damit
beschäftigt bzw. beschäftigen müssen - allerdings nicht im Zusammenhang
mit TM.
Unter der Voraussetzung daß die EFS-Zertifikate des Benutzers (oder
der Benutzer) stimmen bzw. die Zertifikate über die Benutzerverwaltung
richtig sind (privater Schlüssel in verschlüsselter Form in der Datei
abgelegt u. damit zur Wiederherstellung nutzbar) - sollte das gehen.

Ich würde die grafische Oberfläche nicht verwenden sondern mit
"cipher" arbeiten - also z.B. der Befehl
<< cipher /e/s:c:\turbomed >>
verschlüsselt das Verzeichnis C:\turbomed u. alle darunter liegenden
Verzeichnisse und Dateien.
Der Befehl
<< cipher /d/s:c:\turbomed >>
entschlüsselt die Dateien wie vorgenannt.

Es gibt Anwendungen (ob TM dazu gehört weiß ich allerdings nicht) die
Zertifikate zusätzlicher Benutzer beim Schreiben in die Datei zerstören !!
Zumindest die Office Pakete 2003 und 2007 gehören nicht dazu.
Natürlich konnten nicht alle Programme/Anwendungen getestet werden
(ich habe da aber auch noch ältere Unterlagen drüber).

EFS funktioniert auch nur unter NTFS. Es ist nicht möglich eine verschlüsselte Datei auf eine CD-ROM zu brennen oder auf eine Diskette
zu kopieren, ohne die Verschlüsselung zu verlieren, da hier i.d. Regel ja
UDF als Dateisystem eingesetzt wird.

EFS kann man übrigens mit ein bißchen PC Kenntnis relativ leicht
aushebeln. Man muß den Rechner nur mit einer Linux-Boot-CD starten...
oder die Festplatte in einen anderen PC einbauen u. anders konfigurieren.

Besser ist "BitLocker" - das ist dann eine Laufwerks- und keine Datei-
verschlüsselung. Steht ab Server 2008 und in Vista Enterprise und
Ultimate zur Verfügung !
In einen solchen Server kann noch ein zusätzlicher Mikrochip (TPM
genannt - googeln Sie ggf. mal) eingebaut sein. Dadurch sind weitere
Sicherheitsfeatures möglich. TPM gibt eim booten einen Schlüssel aus,
der für die Entschlüsselung der Festplatte benötigt wird. Der Verschlüsselungsschlüssel (Anmerkung: komisches Wort) wird durch einen
eigenen TPM Speicherstammschlüssel ersetzt. Dieser ist nicht auf der
Festplatte sondern im TPM-Chip.
EFS u. BitLocker können zusammen arbeiten. BitLocker schützt nur die
Windows System Partition - also nicht die gesamte Festplatte
wenn man mehrere Partitionen angelegt hat. Zusätzliche Partitionen kann
man mit EFS sichern - und die EFS Schlüssel liegen normalerweise ja
immer auf der Systempartition. Diese ist ja wiederum von BitLocker
dann geschützt - somit also EFS von BitLocker geschützt.

Na ja - ich wollte noch was schreiben über den Datenschutz - ich lasse
es aber besser in diesem öffentlichen Forum u. gehe jetzt essen

Frdl. Grüße

Cramer

Beitrag von JR » Sonntag 23. Dezember 2007, 14:41

Wie gesagt, ich habe das Zertifikat des Servers exportiert und auf einem Client importiert. Dennoch konnte ich eine verschlüsselte Probedatei vom Client aus nicht öffnen (beides XP pro). Es mag viel Gründe geben, zum Beispiel dass die Benutzernamen identisch waren, aber das macht mir die Sache von vornherein suspekt. Dass EFS einfach auszuhebeln sei, wundert mich. Die Rechteverwaltung unter NTFS vielleicht schon. Aber für EFS ist wohl höchstens der Weg, die Anmeldedaten zu erschleichen, einfach. Und das ist wohl auch ein großer Schwachpunkt bei EFS.
Wie oben gesagt, ich würde eher mit Truecrypt liebäugeln und eine Schlüsseldatei auf einem externen verschlüsselten Medium verwenden. Das verwende ich schon seit Jahren für Backups und auf einem Laptop, nur eben nicht auf dem Server. Wollte mal hören, ob jemand schon Erfahrungen hat.
Schöne Feiertage
MfG - JR

EFS ist auch unter Linux nicht zu knacken..
Die Dateien lassen sich zwar kopieren, aber der Inhalt ist trotzdem noch verschlüsselt..

Hallo Echter Freund anonymus,

ich habe noch mal ein paar threads von mir nachgelesen u. alte Skripte
gewälzt. Sollte ich was nicht richtig dargestellt haben ?

Also: EFS arbeitet mit einem symmetrischen sog. DESX-Algo zur Datei-
verschlüsselung und einem sog. RSA-Algo zur Verchlüsselung der
privaten Schlüssel. Wenn man nun den privaten Schlüssel wiederherstellen
kann, ist eine Entschlüsselung von Dateien durch sogenannte
Wiederherstellungs-Agenten möglich.

Kopiert man eine verschlüsselte Datei, wird diese während des Kopierens
im Hauptspeicher des PC entschlüsselt. Am Zielordner tritt nur dann wieder einer Verschlüsselung ein, wenn der Zielordner ebenfalls das
Zertifikat "Verschlüsselt" besitzt.

Man kann übrigens auch nicht gleichzeitig verschlüsseln u. komprimieren
(hat aber auch keiner behauptet). Wenn jemand die erforderlichen
Zertifikate besitzt, wird eine verschlüsselte Datei beim Komprimieren
automatisch entschlüsselt.

Ergo: mit der Option /g des Befehls xcopy kann man eine verschlüsselte
Datei auf Laufwerke kopieren, die keine Verschlüsselung unterstützen.
Die Dateien werden nach dem Kopiervorgang entschlüsselt gespeichert.

Siehe diesbzgl. meine Ausführungen in der MS knowledge-base bzw. technet forum (Englisch) als auch im forum www.experts-exchange.com.

Freundliche Grüße

Otmar Cramer

Hallo,

da haben wir aneinander vorbei geredet.
ich habe es so verstanden, dass Sie meinten das wenn ich mit Linux auf ein EFS-Verzeichnis zugreife die Dateien lesbar wären.. dem ist nämlich nicht so.

Beitrag von JR » Freitag 28. Dezember 2007, 19:55

sind nach meinen jetzigen Erkenntnissen für unser Problem nicht gut geeignet. Truecrypt unterstützt den Netzwerkzugriff auf gemountete Container nicht (oder mache ich etwas falsch?). Es würde mich interessieren, wie Timo Beil das genau macht.

Mit WinXP EFS kann man nicht im LAN arbeiten.

Ich habe nur ein vernünftiges Tool gefunden, mit dem man den Dokumentenordner verschlüsseln und im LAN multiuserfähig verwenden könnte (Sharecrypt von Securstar). Hier steht noch Testbedarf an, das Programm selbst ist einfach zu bedienen und scheint stabil.

Die PraxisDB ist kein Problem, die kann man leicht mit Truecrypt auf dem Server verschlüsseln. Der Zugriff der Clients erfolgt über den fastobjects-Server quasi lokal, das funktioniert.

Das größere Problem ist wie gesagt der Dokumente-Ordner.

Beitrag von hw » Freitag 28. Dezember 2007, 23:50

@ JR

Truecrypt unterstützt den Netzwerkzugriff auf gemountete Container nicht (oder mache ich etwas falsch?).

Wenn ich die englischsprachige Anleitung http://www.truecrypt.org/docs/ unter "Sharing over Network" richtig verstanden habe, dann sollte das gehen.
Dazu müsste das TrueCrpyt-Volumen auf dem Server gemountet sein und nur der Inhalt (= das Filesystem innerhalb des TrueCrypt-Volumens) wird über das Netzwerk freigegeben.

Die Anleitung bezieht sich auf die aktuelle Version 4.3 a von 3/2007.

Ob es damit klappt, konnte ich noch nicht ausprobieren.

Gruß
HW

Beitrag von hw » Samstag 29. Dezember 2007, 00:12

@ JR

Truecrypt unterstützt den Netzwerkzugriff auf gemountete Container nicht (oder mache ich etwas falsch?).

Wenn ich die englischsprachige Anleitung http://www.truecrypt.org/docs/ unter "Sharing over Network" richtig verstanden habe, dann sollte das gehen.
Dazu müsste das TrueCrpyt-Volumen auf dem Server gemountet sein und nur der Inhalt (= das Filesystem innerhalb des TrueCrypt-Volumens) wird über das Netzwerk freigegeben.

Die Anleitung bezieht sich auf die aktuelle Version 4.3 a von 3/2007.

Ob es damit klappt, konnte ich noch nicht ausprobieren.

Gruß
HW

HW hat recht.
Es wird auf dem Server eine verschlüsselte Datei erstellt, die als eigenes Laufwerk gemountet wird. Dieses Laufwerk wird im Netzwerk freigegeben.
Auf diesem Laufwerk ist der Ordner "Dokumente".
In den Turbomed-Grundeinstellungen auf jedem Arbeitsplartz muss natürlich auf dieses Laufwerk verwiesen werden.
Etwas umständlich ist, dass bei jedem Start des Servers (zumindest 1x morgens) dieses verschlüsselte Laufwerk gemountet werden muss. Dazu habe ich eine Batchdatei geschrieben, die automatisch startet und ich dann nur noch das Passwort eingeben muss.
Gruß TB

Beitrag von JR » Samstag 29. Dezember 2007, 18:42

fast hätte ich das mit Truecrypt aufgegeben.
Die Fehlermeldung "... nicht genügend Serverspeicher vorhanden ...", die den Zugriff auf das gemountete TrucryptVolume verhinderte, lag an einer Malkonfiguration des Serversystems durch Fehlen des Parameters IRPStackSize für den Lanmanager in der Registry.
[url=http://support.microsoft.com/?kbid=177078]
Jetzt kann ich auf den gemounteten Container zugreifen. Timo Beil, haben Sie evtl. Erfahrungen mit gleichzeitigem Zugriff durch mehrere Benutzer?

MfG - JR

Hallo JR,
ich denke nicht, dass es einen Unterschied macht, ob ein oder mehrere Benutzer gleichzeitig auf einen Ordner auf einem normalen Laufwerk zugreifen, oder ob es sich um einen Ordner in einem von Truecrypt erzeugten Laufwerk handelt.
Konkret ausprobiert habe ich es noch nicht, da aber bei uns das schon einige Monate so läuft, haben sicherlich auch meine Helferinnen schon mal zeitgleich mit mir auf den Dokumentenordner zugegriffen.
Bisher habe ich keinerlei Probleme feststellen können.

Was mich in diesem Zusammenhang interessiert ist, wie einfach ist es für einer PC-Dieb, Turbomed zu knacken und an die Patientenakte zu kommen?
Solle man die Praxis-DB lieber auch in einen verschlüsselten Container legen?

Gruß
T.B.

Beitrag von JR » Sonntag 30. Dezember 2007, 23:26

ich glaube, die PraxisDB ist gar nicht verschlüsselt. Früher, als sie bei mir noch kleiner war, habe ich sie mal mit Word geöffnet und alles war im Klartext zu lesen, dazwischen stand in endloser Wiederholung etwas von Musterman und Musterwoman, was erklären kann, daß die gesicherte, komprimierte PraxisDB so viel kleiner ist. Jetzt kann ich die PraxisDB nicht mehr in einem Editor öffnen, da zu groß. Ich kann sie aber z.B. tw. in Excel öffnen und sehe sehr viele Einträge im Klartext. Ich würde sie also möglichst mit absichern.

MfG - JR

VonDoczuDoc.de