Skip to content

VeraCrypt - Schneller Bootvorgang trotz Zwei-Faktor-Authentifizierung mit Passwort und PIM

Das Verschlüsselungstool VeraCrypt hat sich mehr oder weniger als inoffizieller Truecrypt-Nachfolger etabliert.
Seit der Version 1.13 (aktuell ist 1.16) verlangt VeraCrypt neben dem Verschlüsselungspasswort beim Booten eine PIM. Doch was ist das eigentlich genau?

VeraCrypt

Was ist PIM und wofür wird es benötigt?

PIM steht für Personal Iterations Multiplier und bezeichnet die Iterationen der sogenannten Header Key Derivation Funktion.

Diese Funktion ist für die Ver- und Entschlüsselung der VeraCrypt Volumen Header zuständig.
Ist der PIM Wert nicht gesetzt, wird automatisch ein Standardwert im Hintergrund gesetzt, dieser liegt bei 98. Beim Booten ist hier keine Eingabe nötig.
VeraCrypt berechnet die Wiederholungen mit PIM x 2048. Beim Standardwert für Systemplatten wären das 200 000 Durchläufe.

98 x 2048 = 200 000

Bei normalen Partitionen ist dieser PIM Wert mit 485 sogar noch höher.

15000 + (485 x 1000) = 500 000

Gerade bei alten Rechnern oder schwachbrüstigen Maschinen kann dies bei einer verschlüsselten Systemfestplatte den Bootvorgang ausbremsen.

Einerseits besteht durch PIM und Passwort eine Zwei-Faktor-Authentifizierung und somit auch ein Brut Force Schutz, allerdings ist der Startvorgang auch ohne die Verwendung eines selbstgewählten PIM Wertes durch den Standardwert verzögert, dies kann jedoch geändert werden.

Bootvorgang verkürzen, System dennoch sicher halten

Eine Verschlüsselung ist immer nur so stark, wie das Passwort, welches dafür verwendet wird. VeraCrypt erlaubt es den PIM Wert anzupassen. Voraussetzung dafür ist aber ein Passwort länger als 20 Zeichen. Ansonsten wird der Standard von 98 (entspricht 200 000 Durchläufen) für Systempartitionen und für sonstige Platten von 485 (entspricht 500 000 Durchläufen) verwendet.

Für einen schnelleren Bootvorgang kann bei einem langen Passwort durchaus eine PIM Wert von 10 oder 20 verwendet werden, aber auch 3 oder 5. Wichtig ist eben die ausreichende Länge der Passworts und ein PIM Wert über 1!

Um einen festen PIM Wert zu hinterlegen, muss die gewünschte Partition markiert werden.

Danach einfach den Menüpunkt System und den Bereich Kennwort ändern öffnen.

Passwort-Veracrypt

Nun sollte der Haken bei PIM verwenden gesetzt werden. Ebenso wird ein Wert unter Volume PIN benötigt. In diesem Beispiel habe ich 3 verwendet. Dies klingt nicht sonderlich hoch, reicht aber bei einem Passwort über 20 Zeichen und dem Hausgebrauch aus.

PIM-Veracrypt

Beim nächsten Neustart oder Mounten müsst ihr die PIM in jedem Fall angeben, sonst wird die Festplatte nicht geladen, also besser nicht vergessen. Kleiner Tipp, im Vergleich zu Truecrypt, erlaubt VeraCrypt beim Windows Bootvorgang mit F5 das Anzeigen des eingetippten Passworts (auf eigene Gefahr). 

Linux Nutzer müssen momentan noch auf eine Verschlüsselung der Systemplatte mit VeraCrypt verzichten. Container sind jedoch möglich.

Nun sollte einer sicheren und schnellen Festplattenverschlüsselung in Post Truecrypt Zeiten Nichts mehr im Wege stehen.

veracrypt download

Post Truecrypt - Windows Bitlocker Verschlüsselung ohne TPM freischalten und verstärken

Nach dem etwas dubiosen Ende der Verschlüsselungssoftware Truecrypt, muss nicht gleich über eine Alternative nachgedacht werden. Das Tool wird zwar nicht mehr aktualisiert, große Sicherheitslücken sind der Öffentlichkeit dennoch bis jetzt nicht bekannt.

In Zukunft wichtiger ist jedoch die Unterstützung für GPT (GUID Partition Table). Der Nachfolger des MBR (Master Boot Records) wird zurzeit nur von wenigen Programmen unterstützt. Truecrypt befand sich ebenfalls nicht darunter. Das heißt, es bleiben nur Tools wie Bitlocker zur Verschlüsselung solcher Systeme übrig. 

Bitlocker 

Das Microsoft Verschlüsselungsprogramm Bitlocker ist in Windows 8 fest integriert und unterstützt Windows 7 Enterprise bzw. Ultimate.

In einer letzten Meldung wurde das Programm von den Truecrypt Entwicklern empfohlen, obwohl es keinen allzu guten Ruf genießt. Im Rückblick auf die NSA Enthüllungen und Microsoft ist das kaum verwunderlich.

Bitlocker-TPM

Bitlocker Verschlüsselung ohne TPM freischalten

Von Haus aus unterstützt und verlangt Bitlocker TPM (Trusted Platform Module), einen Sicherheitschip auf dem Mainboard, um die Festplatte zu verschlüsseln. Ist dieser Chip nicht vorhanden, muss Bitlocker ohne TPM freigeschaltet werden.

Dazu kann die weiter unten aufgeführte Reg Datei heruntergeladen oder die GPO Regel

  • Start --> Ausführen
  • gpedit.msc
  • Computerkonfiguration\Administrative Vorlagen\Windows-Komponenten\BitLocker-Laufwerkverschlüsselung\Betriebssystemlaufwerke
    • BitLocker ohne kompatibles TPM zulassen aktivieren

freigeschaltet werden.

Danach ist es möglich das System ohne TPM zur verschlüsseln.

Wie bereits erwähnt kann auch einfach ein Registry Eintrag angepasst werden.

Windows Registry Editor Version 5.00


[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE]

"UseAdvancedStartup"=dword:00000001

"EnableBDEWithNoTPM"=dword:00000001

"UseTPM"=dword:00000002

"UseTPMPIN"=dword:00000002

"UseTPMKey"=dword:00000002

"UseTPMKeyPIN"=dword:00000002

"EncryptionMethodNoDiffuser"=dword:00000004

"EncryptionMethod"=dword:00000002

Um euch Arbeit zu ersparen, könnt ihr den fertigen Reg Schlüssel hier herunterladen. Danach entpacken und ausführen und TPM ist deaktiviert.

Bitlocker Verschlüsselungsmethode stärken

Festplattenverschluesselung-Bitlocker

In den Standardeinstellungen arbeitet Bitlocker mit einer 128Bit Verschlüsselung. Diese Methode kann ebenfalls über die Gruppenrichtlinien auf 256Bit verstärkt werden.

Hier kann ähnlich wie im ersten Schritt vorgegangen werden.

  • Start --> Ausführen
  • gpedit.msc
  • Computerkonfiguration\Administrative Vorlagen\Windows-Komponenten\BitLocker-Laufwerkverschlüsselung\Betriebssystemlaufwerke
    • Verschlüsselungsmethode und Verschlüsselungsstärke für Laufwerk auswählen
    • Verschlüsselungsmethode auswählen
    • AES 256-Bit mit Diffusor

Für die stärkere Verschlüsselung habe ich euch ebenfalls einen Registryschlüssel erstellt.

Einfach herunterladen, entpacken, ausführen und schon seid ihr auf der sicheren Seite.

Download Reg Schluessel Bitlocker_Verschluesselung_AES_256-bit_mit_Diffuser