Ordnerverschlüsselung

[Beff]

Hallo meine lieben SDC'ler ^^

Ich habe folgendes Problem zu lösen (ungünstigerweise bis ca. morgen mittag ^^):

Ich will Ordner (in einem Firmennetzwerk) samt Unterordnern und Dateien verschlüsseln
- Netzwerkadmins sollen da NICHT rankommen können!
- alte Ordnerstruktur soll erhalten werden
- möglichst mehrere mögliche Passwörter für gleiche Ordner (*)
- Session-Login wäre super
- Ordner sollen synchronisierbar bzw. zumindest kopierbar sein


Bisher habe ich folgendes im Blick:
Truecrypt: Das kann (versteckte) Partitionen anlegen, in die die betreffenden Ordner reingeschoben werden müssen (Darin können sie dann per Passwort und diversen Keyfiles gesichert werden). Da die Ordnerstruktur nicht verändert werden sollte, fällt es hier schon raus.
Von EGIS soll es noch eins geben, das Ornder durch ein Rechtsklickmenü mit Passwort versehen kann. Ebenfalls ist hier das Session-Login möglich, allerdings keine Passwortvielfalt für die gleichen Berechtigungen. Es könnte also zu einem aufwändigeren PW-Verwaltungsakt kommen (Die Hälfte der Leute bekommt ein PW, ein Viertel davon bekommt ein weiterführendes PW, die obersten 3 Leute bekommen das für noch tiefere Einblicke usw...

Meine Frage jetzt: Kennt ihr euch mit diesen Programmen aus bzw. wisst über ihre Knackbarkeit bescheid? Oder kennt ihr noch andere Programme, die besseres/ähnliches leisten können?


Grüße ^^
Beff



*) z.B. sieht die Ordnerstruktur so aus: C:\Mitarbeiter\Beff und C:\Mitarbeiter\Rici. Da wäre es schön, wenn ich mit meinem Passwort in den "Mitarbeiter"ordner käme, dann aber nicht auf Ricis Unterordner zugreifen kann, wohl aber auf meinen.

 

[Redwolf]

Du willst also einen Netzwerkpfad im Firmennetzwerk umbiegen.

SMB Pfad:

\\pcname\firmennetzwerk\mitarbeiter\geheim

Netzwerklaufwerk:

Z:\pcname\firmennetzwerk\mitarbeiter\geheim

Eine Möglichkeit wäre z.B.:

Truecryptdateicontainer auf dem Netzwerklaufwerkt zu speichern.

Dein Rechner

Dann mit Truecrypt den Container als lokales Laufwerk einbinden. z.B. Laufwerk Y:. Dieses Laufwerk per SMB freigeben. Jetzt Lokale Benutzer definieren die Zugriff auf die Freigabe haben haben.

Rechner der anderen Nutzer

Netzwerklaufwerk zu deiner Freigabe anlegen.

Mountpoint des Firmennetzwerksordners (geheim) auf deine Freigabe umlenken.

*cut*

Das ist es zumindest grob theoretisch. Nachteil ist, dass dein Rechner angeschaltet sein muss und wenn ein Netzwerkadmin auf die Laufwerke deines Rechners (z.B. in Domäne) zugriff nehmen kann kommt er auch auf das Truecryptlaufwerk.

 

[Beff]

Das ist es zumindest grob theoretisch. Nachteil ist, dass dein Rechner angeschaltet sein muss und wenn ein Netzwerkadmin auf die Laufwerke deines Rechners (z.B. in Domäne) zugriff nehmen kann kommt er auch auf das Truecryptlaufwerk.

Und genau das soll verhindert werden. Außerdem geht das wieder mit einer Orderumstrukturierung einher.
Idealfall wäre, wenn alles so bliebe, wie es jetzt ist, aber dem Netzwerkadmin gezielt Zugang zu einigen Ordnern verwährt bliebe!

 

[Redwolf]

Das Problem beginnt doch schon dabei, dass du lokalen Zugriff auf die Daten hast. Wenn du über dein Dateisystem Zugriff hast, hat es der Administrator auch. Das kann man höchstens verhindern, indem man dem Netzwerkadmin die Rechte auf deinem Rechner entzieht. Ich schätze mal die Situation stellt sich für dich so dar: Netzwerkadmin hat vollen Zugriff auf dein System; Deiner ist nur eingeschränkt.

Dein Hauptproblem ist nicht die nicht vorhandene Verschlüsselung, sondern die Macht des Netzwerkadmins auf deinem Betriebssystem. Verschlüsselung bringt dir nichts, wenn du gerade Zugriff auf die Daten nimmst, da dieser zwangsweise unverschlüsselt erfolgen muss. Sonst könntest du die Daten nicht lesen. Programme können dann ein Mitlesen höchstens erschweren, theoretisch aber nicht verhindern.

Hier hast du dann mehrere Möglichkeiten:

* Ein zweites Betriebssystem installieren und diese bei Bedarf zu booten.
* Über einen USB-Stick oder Live-CD ein alternatives Betriebssystem booten.
* Per VNC oder Teamviewer über Internet auf einen entfernten Rechner außerhalb des Netzwerks zugreifen.
* Zweitrechner auf dem ein Fileserver läuft und eine Wache mit einer Machete davor, welche die Netzwerkadmins abwehrt. Kann auch im Internet stehen, dann entfällt der Mann mit der Machete. Achtung! SFTP verwenden, sonst zu unsicher.
* iSCSI über Internet verwenden.
* Netbook oder einen Laptop mitbringen und nur über USB-Stick Daten austauschen.
* Irgend einen Dienst im Internet benutzen der Https-Verbindungen zulässt und der es ermöglicht Dateien hochzuladen.
* Setz deinen eigenen Server (Extra PC mit z.B. Linux und SAMBA installiert) auf, gib den Netzwerkadmins keinen Zugriff und schreibe "Spread Anarchy" an die Wand. Streiche es direkt danach durch und schreibe "Don't tell me what to do" darunter.

Einige dieser Möglichkeiten haben aber den Nachteil, dass sie sich in das Dateisystem integrieren. Das ist direkt fatal, denn wie schon erwähnt, hat der Netzwerkadmin bei dir dann auch Zugriff. Zusammengefasst heist das: Alles was du lokal anschaust, bearbeitest, zwischenspeicherst kann der Netzwerkadmin überwachen.

Ein "böser" Weg wäre es Aufrufe des Betriebssystems umzubiegen über ein Rootkit, welches dann entsprechend dem Netzwerkadmin den Zugriff verbietet. Dies müste so ähnlich wie im ersten Beispiel erklärt installiert werden und auf allen Clients die Zugriff nehmen wollen vorhanden sein. An deiner Stelle würde ich sowas aber unterlassen, da kann es schnell und berechtigter Weise eine Kündigung für hageln.

Die einfachste Variante mit Abstichen an Sicherheit wäre es einfach einen Trucryptcontainer als Datei auf das Firmenlaufwerk zu legen und dann nur bei Bedarf den Container als Laufwerk zu mounten. Benutzerrechte lassen sich minimalistisch über Container abdecken, die in dem Container als Datei abgelegt werden.

Beispiel:

Firmenlaufwerk:

\\Firmenserver\Mitarbeiter\Beff\MyVault.crypt

Wird diese Datei als Laufwerk gemountet befindet sich in diesem folgende Dateien:

Y:\Rici.crypt
Y:\Beff.crypt
Y:\Beff.crypt
Y:\Benutzer1.crypt
Y:\Benutzer2.crypt
Y:\Benutzer3.crypt

Diese sind wieder Container die man als Laufwerk mounten kann und haben alle ein unterschiedliches Passwort.

Tausenprozent sicher ist das nicht und hilft auch nicht gegen Keylogger oder Zugriff auf dein Dateisystem aber besser als nichts .

Alternativ musst du den Truecryptcontainer jedesmal lokal laden, Netzwerkkabel abziehen, mounten. Dann hast du Zugriff auf deine Dateien. Danach wieder dismounten, Netzwerk dran, hochladen und aktualisieren. Wenn du lokal berechtigt bist den Netzwerkadapter zu deaktivieren kann man das auch automatisieren.