Kryptographie unter Windows \ weiteres laufwerk einbinden

[Lok33]

Hi @ Community,

ich bin gerade erst neu hier eingestiegen und habe absolut keine Ahnung von VMware, da ich bisher keine praktische Erfahrung mit dem Produkt gemacht habe.

Es geht um... tja, eigentlich eine ganze Menge:

Mein Vorhaben: Ich habe eine kleine praktische Vorführung zur Verschlüsselung eines Laufwerks über den Windows bitocker vor, da ich einen Vortrag zum Thema "praktische Kryptographie unter Windows" zu erstellen habe. Da ich allerdings als student nur Zugang zu Windows 7 Professional habe und der bitlocker nur in der Enterprise/Ultimate Version zur Verfügugn steht, kann ich den bitlocker leider nicht so einfach starten. Da wir allerdings ebenfalls eine freie Lizenz für Windows server 2008 haben, ich diesen aber nicht direkt auf meine Platte installieren wolle, habe ich mir gedacht, dass ich das vorhaben im vmplayer durchziehe. Habe dazu auch eine anleitung gefunden: http://www.christowles.com/2010/10/how- ... nning.html

Mein Problem: Naja, eigentlich habe ich da mehrere, aber mein erstes ist das Folgende: Ich habe den Player installiert und mir auch ein vmdk mit laufendem win server 2008 erstellt. Laut der Anleitung, welche ich oben postete sollte ich allerdings neben dem systemlaufwerk ein weiteres laufwerk einfügen, auf welchem ich dann den schlüssel speichere. Ob das nun überhaupt nötig ist, ist die andere Frage (Da ich den schlüssel eigentlich auch auf einem USB-Stick speicher wollte - ich lese das jetzt gleich nochmal zum xten Mal um zu verstehen, warum ich dieses Laufwerk wirklich brauchen sollte...). Die sache hierbei ist, wenn ich im vmplayer die laufwerke editieren will, kann ich ein weiteres laufwerk hinzufügen, ich gebe an, dass es SCSI sein soll und gebe ihm 2GB, beispielsweise. Das Laufwerk wird dann in der Liste des win Server 2008 "images" auch angezeigt, allerdings wird beim "Mapping" angezeigt, dass das laufwerk nicht erkannt wird und es wird mir "Error reading volume information. Please select another disk file" angezeigt. Das Laufwerk wird somit auch nicht in der laufenden winserv 2008 instanz aufgeführt. Ich weiss nicht genau, woran es liegt, aber ich habe auch gelesen, dass das neu erstelle Laufwerk auch erstmal nach NTFS formatiert werden sollte, damit es überhaupt in windows angezeigt wird.

Frage ist nun: Wie kann ich das Gerät formatieren, oder habe ich einen ganz anderen Schritt übersehen? Ist mein Vorhaben an dieser Stelle aus eurer Sicht überhaupt möglich und wenn ja, gibt es vielleicht Vorschläge, ob ich das nicht viel einfacher umsetzen könnte?

Da ich das ganze schon in einer Woche zumindest als Doku abgeben muss, drängelt die Zeit leider etwas ( für alle, die jetzt ein /facepalm durchführen: ja, ihr habt ja Recht, sowas sollte man nicht kurzfristig umsetzen... aber nun ists ja leider doch Fakt -.- )

Ich danke im Vorraus über Antworten!

€: Ich habe soeben nochmal eine Minute einen Blick auf die oben gelinkte Anleitung geworfen und gerade erkannt, dass er das Laufwerk nur deshalb anlegt, damit der Key immer auf derselben Platte liegt und ein USB stick nicht dauerhaft gemountet sein muss... Es ist also scheinbar gar nicht nötig, dieses Laufwerk zu erstellen, oder? Wenn ich den Key auf einen USB-Stick schmeisse, den ich vor dem Bootvorgang des Systems mounte, müsste das eigentlich auch klappen...

€2: Es tut mir leid, dass ich hier so rapide Update, aber ich arbeite gerade unter Vollstress ^^' sorry... Sache ist: WENN ich den Schlüssel und das Zertifikat auf den USB-Stick speichern kann, muss ich diesen natürlich immer mounten um das system überhaupt hochfahren zu können. Dazu muss das Ding aber immer unter demselben Laufwerkbuchstaben zu finden sein (...Frage mich gerade wie das mit Laufwerksbuchstaben funktioniert, EHE das system hochgefahren ist.... aber in der Beschreibung steht ja : "Be sure that the that the encryption Key volume Letter is correct and will always be there when the machine is mounted." ). Ist das zu bewerkstelligen? Wenn ja - wie?

[Lok33]

Ich hab's absolut nicht geschafft .... Hat niemand mögliche Lösungsansätze? Oder kennt sich mit kryptographie unter windows aus? ich weiss ehrlich gesagt nicht ganz, wie ich 20 minuten praxisteil vorführen will, wenn ich nicht einmal den bitlocker irgendwie richtig hinbekomme

[Dayworker]

Die sache hierbei ist, wenn ich im vmplayer die laufwerke editieren will, kann ich ein weiteres laufwerk hinzufügen, ich gebe an, dass es SCSI sein soll und gebe ihm 2GB, beispielsweise. Das Laufwerk wird dann in der Liste des win Server 2008 "images" auch angezeigt, allerdings wird beim "Mapping" angezeigt, dass das laufwerk nicht erkannt wird und es wird mir "Error reading volume information. Please select another disk file" angezeigt. Das Laufwerk wird somit auch nicht in der laufenden winserv 2008 instanz aufgeführt. Ich weiss nicht genau, woran es liegt, aber ich habe auch gelesen, dass das neu erstelle Laufwerk auch erstmal nach NTFS formatiert werden sollte, damit es überhaupt in windows angezeigt wird.

Frage ist nun: Wie kann ich das Gerät formatieren, oder habe ich einen ganz anderen Schritt übersehen? Ist mein Vorhaben an dieser Stelle aus eurer Sicht überhaupt möglich und wenn ja, gibt es vielleicht Vorschläge, ob ich das nicht viel einfacher umsetzen könnte?

Was willst du denn da editieren?
Du sagst im VMware-Player in den Einstellungen deiner W2k8-VM einfach nur, daß er eine weitere HDD anlegen soll, vergibst einen aussagekräftigeren Namen und als Speicherort beläßt du es bei der Voreinstellung. Dann wird die neue vDisk mit im Ordner deiner W2k8-VM gespeichert. Danach mußt du logischerweise in der W2k8-VM den neuen, aber noch leeren Datenträger partitionieren und formatieren. Also genau so, wie du es auf jedem anderen Rechner auch machen würdest.

Gab es eigentlich einen Grund dafür Bitlocker und nicht Truecrypt einzusetzen
Truecrypt hätte dabei auch den Vorteil, daß es für fast jedes OS verfügbar ist...

[Lok33]

Hey, vielen Dank für die Antwort! Inzwischen habe ich es irgendwie hinbekommen, wenigstens die Platteneinstellungen so hinzubekommen, dass die "Vorraussetzungen für Bitlocker" erfüllt sind. Allerdings will das alles immer noch nich so recht...


Warum ich Bitlocker nehme: Das ist mein grosses grosses grosses Problem. Ich darf einen Vortrag zum Thema "Praktische Kryptographie unter Windows" halten... mit einem 20 minütigen Praxisteil (den ich vermutlich nie erreichen werde)...

Warum dann nich trotzdem TrueCryt? Ich habe die Ehre, eine Wochen nach dem Vortrag zum Thema "Praktische Kryptographie unter Linux" zu halten. Ich finds persönlich nicht so sinnvoll, da zu unterscheiden, da die Algorithmen hinter den Verschülsselungen mathematisch gesehen dieselben sind, no matter the OS. Die Kollegin, die das Linux-Referath hält, wird truecrypt vorstellen.... Ausserdem: Da - wie du schon sagst - TrueCrypt OS-Unabhängig ist, wollte ich krampfhaft!!!! nach Windowsspezifischen Dingen suchen.

Mit EFS und Bitlocker hatte ich dann gehofft, was zu finden, allerdings sind die praktisch angewandt (wenn sie denn dann funzen - bei EFS kein problem) eher etwas mau, man sieht ja nicht wirklich was....

Tja und nun steh' ich immer noch etwas ratlos in der Gegend und habe vor, morgen mal den Dozenten nochmal anzusprechen, mich in seinen Augen vermutlich etwas dämlich anzustellen und zu fragen, ob es wirklich nötig ist, das aufzuteilen und was er sich dann darunter NOCH genauer vorstellt oder ob ich nich kurzerhand was neues nehme... Fällt euch noch IRGENDWAS sinnvolles dazu ein??? Ja, das hier ist ein vmware-forum aber ich frage ja auch nur plz...

[Dayworker]

Inzwischen habe ich es irgendwie hinbekommen, wenigstens die Platteneinstellungen so hinzubekommen, dass die "Vorraussetzungen für Bitlocker" erfüllt sind. Allerdings will das alles immer noch nich so recht...

Was heißt das jetzt genau? Woran scheiterst du?

[Lok33]

Ich bin dieser Anleitung hier gefolgt:

http://www.christowles.com/2010/10/how- ... nning.html

wo erklärt wird wie man in vm mit einer win server 2008 maschine die Systempartition verschlüsselt. Ich scheitere dort am letzten Schritt, der manuellen Verschlüsselung über den manage-bde befehl. Die erste Aktion wird durchgeführt ("External Key"), bei der zweiten hakt er dann ("numerical password") und spuckt aus : "fehler beim hinzufügen des numerischen kennwortschutzes bitlocker" ... Das ist nun vermutlich nicht mehr vm-abhängig... suche gerade auch noch danach, wie ich das richten kann...

[Dayworker]

Den Link hattest du in deinem ersten Posting schon genannt...

Bis wohin funktioniert es denn genau?
Den Hinweis mit: "Since we want to tell Bitlocker to use a disk we cannot use a Normal BitLocker GUI to start it. Instead open an elevated Administrative Command Line and running the following to tell Bitlocker to encrypt the drive." hast du hoffentlich auch gelesen.

[Lok33]

Tschuldigung, das habe ich wohl übersehen....

Ja, das habe ich gelesen, wie gesagt ich starte also die administrative kommandozeile und führe aus: Cscript c:\windows\system32\manage-bde.wsf -on C: -rp -sk G:

ich kenne den zusammenhang nicht, aber mit "c:\windows\system32\manage-bde.exe -on C: -rp -sk G:" checkt ers nicht, darum der abgewandelte befehl bei mir. Die Volumenbezeichnungen spielen ja auch nichts zur Sache. Ich mach also nix mit ner GUI, ich befolge weiter die anleitung.
Und wie ich bereits sagte, er führt den Befehl aus, kommt aber bei der erstellung des numerischen kennworts nicht weiter....


€: Die Sache ist allerdings auch die: DAS hat keinen wirkliche Vorführeffekt, denn wie er schon schreibt ist der SChlüssel auf derselben Platte. Ich wollte das allerdings auf nen USB-Stick schmeissen um diesen Effekt zu kriegen, dass das System gar nicht mehr hochfährt, wenn der Stick nich steckt. Habe ich allerdings ebenfalls schon probiert, ausserdem müsste man dann vm noch sagen, dass der Stick immer den Laufwerkbuchstaben <Buchstabe> bekommt, oder? Kein plan mehr...

[Dayworker]

Schau dir das Bild genauer an:


Starte mal bitte die Umwandlung direkt so wie dort aus dem Verzeichnis: c:\Windows\System32 und ohne "cscript" davor.

[Lok33]

Genau DAS habe ich mir anfangs auch gedacht, aber das habe ich bereits probiert, hier nochmal n Beweis:



läuft nicht. wie gesagt, den zusammenhang kenne auch ich nicht, aber ich bin irgendwie auf dieses cscript gekommen durch rumprobieren.

[Dayworker]

Dann such mal bitte nach dem Tool und schau in der Path-Anweisung nach, ob der Fundort überhaupt im Such-Pfad aufgelistet ist.

Mir ist noch aufgefallen, daß es einen Versionsunterschied bei euch gibt. Der Link listet Version 6.1.7600 (müßte W7/W2k8 noch ohne SP1 sein) auf und bei dir ist Version 6.0.6001 (müßte noch Vista mit SP1 sein) am versagen.

[Lok33]

DAS könnte wohl der Fall sein, ich habe bisher keine windows updates gefahren - wohl wahr. Ja, das sollte man tun, aber ganz ehrlich - einen ganzen Tag hinter dem Kram mit Panik im Nacken und 0 Plan lässt einen sowas auch mal vergessen. Ich hoffe, das wird mir verziehen. Windows Updates sind auf dem Vormarsch.

Ich bin mir jetzt allerdings bezüglich deiner ersten Anweisung nicht ganz sicher, ob ich sie richtig verstanden habe. Ich soll mir das Bitlocker configuration tool anschauen *halt ne referenz, denk ich mal* und soll dann ... was genau tun?

€: achso, du möchtest wissen, ob der die .exe deshalb nicht findet, weil sie bei mir vllt anders liegen könnte???

[Dayworker]

Eventuell funktioniert Bitlocker bei dir auch deshalb nicht wie gewünscht, weil du kein Release 2 im Einsatz hast.
Passen dazu würde deine Build-Nummer 6001/2.18005.090410-1830 für Windows Server 2008 Service Pack 1/2 und Build-Nummer 7600.16385.090713-1255 für Windows Server 2008 R2 im Link...

[Lok33]

DAS ist weiterhin eine mögliche Fehlerquelle... Checke dann nur nicht, warum da nochmal explizit R2 bei uns im MSDNAA Portal steht.... aber bei der Installation habe ich das befürchtet ... Jo, das' gut möglich... Bitlocker selbst als feature liess sich allerdins so hinzufügen wie auch sonst... Keine ahnung.. heute abend checke ich eh nichts mehr. Und ich muss mir gedanken machen, wie ich 20 minuten irgendwas praktisches mit kryptographie mache. 1TB verschlüsseln und dem ladebalken zusehn geht wohl nicht -.-

Erstmal gutes nachtle. Und turbovielen Dank, dass du dich mit mir hier mit dem Kram auseinander gesetzt hast!!!!

[Lok33]

So, habe nochmal ne vm aufgetzt, diesmal die richtige version @ R2. Jetzt klappt im grunde auch alles GENAU so, wie in dem artikel beschrieben (auch der befehlssatz mit "manage-bde.exe").
Sache ist jetzt nur noch, dass der Schlüssel leider nicht gespeichert wird und ich mich frage, woran es liegt. Also die konsole zeigt mir mir die erstellung des numerischen schlüssels GENAU so an wie im artikel, aber ich finde hinterher nichts auf dem USB-Stick und bei einem erneuten start kriege ich dann auch die fehlermeldung, dass der bitlocker nicht aktiviert wurde und das sysmtem nicht vefschlüsselt wurde. Hat an dieser Stelle womöglich jemand eine idee?

[Dayworker]

Hattest du für den Schlüssel nicht extra noch eine weitere vDisk eingerichtet oder bringe ich jetzt mehrere Threads durcheinander?
Das du danach Rebooten und die HW-Tests durchlaufen lassen sollst, hattest du auch gelesen?

[Lok33]

Hi,

nein, das hattest du nicht falsch verstanden. Ich wollte es erstmal genau so nachbauen wie ers gemacht hat - und er hat den schlüssel auf denselben physischen datenträger geschmissen, ist wohl richtig. Das hat nur weniger Effekt, als wenn ichs aufn usb-stick packe, welcher dann benötigt wird um ÜBERHAUPT das system hochzufahren und auf die platte zugreifen zu können.

Ich lese zwar auch hwtests, aber da steht "Now reboot the VM and it should pass all the hardware tests. Log back in and working from “C:\Windows\System32” directory from elevated Administrative Command Line run:"

klingt für mich nicht wir eine aktivität, sondern mehr als eine information zur kontrolle, ob auch alles geklappt hat. Nach dem reboot allerdings bekomme ich dann wieder die Meldung "Bitlocker wurde nicht aktiviert. ..blablabla, die entschlüsselung wurde aufgehoben". Und ein "manage-bde -status" liefert mir dann auch genau das ergebnis. nix is verschlüsselt.

[Dayworker]

Ich würd dir ja gern weiterhelfen, aber mangels W2k8-R2...
Du kannst nur versuchen, den ganzen Kram nochmal von vorne zu beginnen und dabei auch sämtliche Bilder mit auszuwerten.
Den Link in M$-Technet wegen Active Directory Domain Services (AD DS) und Recovery Keys hast du hoffentlich auch gelesen.

[Lok33]

Alles klar, kann ich natürlich verstehen. Hinzu kommt, dass ja nicht mehr wirklich ein vm-problem ist. Zumindest nehme ich das an.

Vielen Dank trotzdem für die Hilfe, waren ja doch einige Offensichtlichkeiten, auf die man mich erstmal hinweisen musste ._. ...

Also Vielen lieben Dank noch einmal!!!

[Dayworker]

Alles klar, kann ich natürlich verstehen. Hinzu kommt, dass ja nicht mehr wirklich ein vm-problem ist. Zumindest nehme ich das an.

Ich würd dir schon gern weiterhelfen, auch wenn es über den VMware-Teil hinausgeht.
Mich wurmt es nämlich nicht zu knapp, daß wir das nicht gebacken bekommen.

Mit etwas Glück habe ich am WE noch Zeit und freien RAM zum Frickeln. Das 3Gig ISO will dazu auch erstmal geladen sein...

[Dayworker]

Hast du mal ne VMX-Datei für mich? Dann hätte ich zumindest schon mal eine Vorlage.
Das ISO hat es inzwischen auch schon auf den Rechner geschafft...

[Lok33]

Hey!

Ja, die vmx kann ich dir gerne schicken.

Ich habe es jetzt soweit hinbekommen, dass das Laufwerk verschlüsselt wird, ich habe also wirklich alles genau SO gemacht wie in dem blog beschrieben. Es klappt also. Nur habe ich jetzt noch das Problem, dass ich vm beibringen muss *obs geht, weiss ich eben nicht*, dass er beim booten auch schon USB-Sticks beachten soll. Die vm ist allerdings entweder SO schnell, dass F2 nichts nutzt oder es gibt andere Gründe, warum ich nicht in das "BIOS" komme. Ich lese zumindest immer, dass ich F2 für ein Setup drücken soll...

Ich schicke dir die vmx per PN

€: Reminder: Warum wollte ich das nochmal mit dem USB stick machen? ich finde es irgendwo eine etwas seltsame art der verschlüsselung, wenn der schlüssel zum tresor direkt daneben liegt und nicht davon getrennt werden kann ( Systempartition ist C: , schlüssel liegt auf D: ... selber datenträger )

[Dayworker]

Trag mal in die VMX noch folgendes ein:

Code: Alles auswählen

bios.bootDelay = "5000"

Dann solltest du 5sec Zeit haben, um ins Bios zu kommen.
In jedem Fall mußt du nach VM-Start erst in das Fenster klicken und dann erst ist die Tastatur im Gast aktiv, da die VMware-Tools noch nicht laufen.

PS: Die PM ist da...

[Dayworker]

€: Reminder: Warum wollte ich das nochmal mit dem USB stick machen? ich finde es irgendwo eine etwas seltsame art der verschlüsselung, wenn der schlüssel zum tresor direkt daneben liegt und nicht davon getrennt werden kann ( Systempartition ist C: , schlüssel liegt auf D: ... selber datenträger )

Den Schlüssel trennen kannst du, wenn du eine separate vDisk (VMDK) dafür angelegt hast.
Im Normalfall nutzt du ja für den Schlüssel auch das TPM deines Mainboards, wenn es ein TPM in der virtuellen Welt geben würde...

[Lok33]

Wohl wahr, wohl wahr.

Vielen Dank für den Tipp mit BIOS, das teste ich auch gleich mal!

Ich habe allerdings mal versucht, eine weitere vmdk zu erstellen. Bin dabei im vmpalyer auf "Edit virtual machine settings" gegangen und habe dort unter "add" eine weitere hdd ( SCSI) hinzugefügt. Diese wurde allerdings nicht im System gefunden. Das wird einen recht trivialen Grund haben... allerdings weiss ich nicht, welchen!

Ich werde dazu nochmal die nötigen Informationen posten!

*probiert mal den bios-spass aus*

Danke!