SSD mittels TrueCrypt vollverschlüsseln

[deleted_24196]

Moin,

habe auf Arbeit eine crucial M4 128GB im Laptop und möchte diese jetzt mittels TrueCrypt vollverschlüsseln. Gibt es dabei irgendwas zu beachten? Ist das schädlich für die SSD? Hat jemand Erfahrung damit (Shi?)?

 

[Shihatsu]

Joa, is eigentlich einfach. Wenn man ein paar Dinge beachtet ists auch genauso schnell (spürbar - messbar natürlich VIEL langsamer, statt 200ms 400ms Blockzugriffszeit, Verschlechterung um 100%!!!!!!!!!!!1elfzwölf).
Damit es nicht langsamer wird sind jedoch je nach Chipsatz (des Mainboards und der SSD) und des OS bestimmte Dinge zu beachten. TRIM muss voll unterstützt werden. Festplatte partitionieren, dabei 10% unpartitioniert lassen, wenn man was anderes als Intel nutzt (also bei Marvel wie in diesem Fall 10% freilassen). Finger weg von Sandforce! Platte erst verschlüsseln, dann Daten drauf! Sonst landen unter Umständen Daten wegen dem wla auf dem unpartitionierten Bereich, dort dann unverschlüsselt. Nur wenn das vorher verschlüsselt ist tauscht der wla dann auch die Partitionierungszuordnung nach nem TRIM (möglicher Angriffsvektor wenn man es nicht genau so macht).
Meine 4Ks sind stärker eingebrochen als man es im Netz lesen kann, aber nach 6 Monaten immer noch auf dem selben Wert. Rattenschnell ist die Platte immernoch, aber bei mir bremst eh alles mögliche andere (ist das Arbeitsnotenbuch, da läuft soviel crap im hintergrund, eieieiei), insofern übersehe ich manche Möglichkeit die Platte als Flaschenhals zu "entdecken".
Ach, schneller als ne Intel Postville ist sie natürlich ohne Probleme, obwohl die nichtmal die 10% braucht weil deren Garbage Collection einfach um Welten besser ist. Will mal wieder nen Intel controller

 

[deleted_24196]

Also die SSD auf einem lauffähigen System partitionieren, 10% der Platte unpartitioniert lassen, dann Win installieren um dann die System-Verschlüsselung anzustoßen? Weil vorher verschlüsseln bringt ja nichts.

 

[Shihatsu]

A, den Punkt hatte ich vergessen zu erwähnen, ich wusste, da war doch noch was. Doch, vorher! Sonst landen Daten unverschlüsselt in dem freien Bereich. Das heisst aber auch das du nicht installieren kannst, sondern ein Image rüberbügeln musst und dann den Bootsektor "reparieren" musst. Ich weiss nicht genau wie unsere Jungs das machen, ist wie gesagt mein Arbeitsnotebook. Ich vermute mal alte Installation als Imgae ziehen, Platte partitionieren, Image kopieren, in nen Fehler booten, Windows PE starten, Bootkrams richtig schreiben lassen, fertig - in der Theorie

 

[deleted_24196]

Uff. Vielleicht probiere ich auch erstmal die Standardmethode mit Installieren und nachher Verschlüsseln.

 

[Shihatsu]

Damit schaffst du dir aber nen Angriffsvektor - imho ganz oder garnicht.

 

[deleted_24196]

Auch wenn ich die Festplatte zu 100% verschlüssele?

 

[Shihatsu]

Dann natürlich nicht, aber ich weiss nicht wie weit der Leistungsabfall dann sein wird. Dann stehen sich ja WLA und GC als "Feinde" gegenüber.

 

[deleted_24196]

Hm, ja, werde ich dann mal testen. Wird schon irgendwie. Solange es die SSD nicht schädigt, ist mir ein bisschen Leistungsverlust ziemlich egal.

 

[Zweifeuerkraut]

Wenn du schon Windows rennst, wieso nicht einfach Bitlocker?

Gegen Truecrype spricht imho: Unbekannte Entwickler und bisher kein Codereview eines namhaften Cryptoexperten. Aber gut, spielt für dich wohl eine untergeordnete Rolle...

Ansonsten:

I do not know if what applies to Truecrypt applies to bitlocker, but on SSDs, Truecrypt has a hugely negative impact on performance if you encrypt the entire disc.

The root cause of the problem is that you can no longer tell the difference between free space and usable space because encrypted data and encrypted free space are both treated as data. This defeats both TRIM and any wear-leveling optimizations.

The performance on reads is negligible, but on average you are cutting your write performance by half or more. There is some evidence that leaving a free empty partition (i.e. giving the wear leveling algorithms, which factor into performance, room to work with) has a huge positive benefit, but TRIM does leak data and can theoretically be used to compromise an encrypted partition by someone with enough resources.

EDIT: This might no longer be true because of "TRIM Passthrough" features that now exist, but there is a lot of very tangled information out there when googling exactly how this behaves. I would love to see some actual benchmarks with TrueCrypt 7.0 and FDE (older versions of TC will display the problems I talked about above), but I cannot find any!

 

[Shihatsu]

Das habe ich doch alles auch schon erwähnt hinter deinem ansonsten - wie gesagt, minimal fühlbare Veränderungen zum Negativen hin.

 

[deleted_24196]

Wenn du schon Windows rennst, wieso nicht einfach Bitlocker?

Hm, guter Einwand. Habe ich noch gar nicht drüber nachgedacht. Danke für den Tipp.