Bitlocker in Server 2019

[daabm 1.366]

vor 4 Stunden schrieb Dukel:

Sobald man gebootet hat und das System ist entschlüsselt (bzw. der Key im Ram) gibt es Möglichkeiten (wenn auch nicht ganz so einfache als komplett ohne Verschlüsselung) an die Daten heranzukommen. Es sollte reichen, wenn man den Server ans Netzwerk hängt und mittels Brute Force oder ausnutzen von Sicherheitslücken an die Daten oder an einen Zugang kommt.

Wenn man ein Passwort braucht um zu booten für Bitlocker hat der Dieb keine Chance (es sei denn er klaut die USV gleich mit und hällt den Server am Leben).

Damit machst Du Dir halt das Leben auch extrem schwer - wenn zum Boot eine PIN erforderlich ist, rennst dann bei jedem Patchday stundenlang (virtuell) auf den ILOs rum und tippst die überall ein? Ich würd ja sagen "nicht praktikabel"...

[Dukel 457]

10 hours ago, daabm said:

Damit machst Du Dir halt das Leben auch extrem schwer - wenn zum Boot eine PIN erforderlich ist, rennst dann bei jedem Patchday stundenlang (virtuell) auf den ILOs rum und tippst die überall ein? Ich würd ja sagen "nicht praktikabel"...

Ich habe eh kein Problem, wenn dann meine Kunden.

Bei denen verschlüsselt keiner seine Server. Viele haben den Zugang zu Serverräumen eingeschränkt.

Was verschlüsselt wird, sind Notebooks.

[zahni 558]

Lustig wird  es, wenn jemand fordert, trotz sehr sicherem Serverraum, den Storage zu verschlüsseln. Klar bieten Netapp & Co da nun auch an. Sinn macht es nicht wirklich. 

1. Muss man prüfen, wie und wo der Storage den Schlüsseln speichert / verwaltet, 2. lassen sich von einer einzelnen geklauten HDD kaum sinnvoll zusammenhängende Daten restaurieren.

Bei Defekten kann man ich "ich behalte die alte Disk" buchen und die defekte HDD dann shreddern (lassen).

[dormi98 15]

Nachdem es in diesem besagten Fall an diesem Standort keine Möglichkeit für einen sicheren Serverraum gibt, macht Verschlüsselung in jedem Fall Sinn. Seitens des Kundens gibt es auf jeden Fall den Wunsch dass die Daten verschlüsselt sind. 

Ich habe jetzt einmal die Daten Partition verschlüsselt und finde mich mal damit ab, dass ich diese immer nach einem Neustart manuell entsperren muss. 

Einen anderen TPM Chip einbauen ist bei dem Server jedenfalls nicht möglich. Wenn ich das richtig gesehen habe ist der fix am Mainboard drauf. 

Bleibt nur zu hoffen, dass es nicht zu unvorhergesehenen Neustarts kommt. 

 

Falls natürlich jemand doch mit dem im ersten Beitrag genannten Fehler etwas anfangen kann und Ideen hat wie ich das doch zum Laufen bekomme - nur her mit den Vorschlägen.