FREE CompuSec
FREE CompuSec war eine kostenlose Software zur transparenten Verschlüsselung von Festplatten und Wechseldatenträgern, die von der Firma CE-Infosys mit Sitz in Singapur und Deutschland entwickelt wurde. Sie war für Windows XP bis Windows Server 2008 verfügbar. Neben der Festplattenverschlüsselung sind weitere Kryptographieprogramme im Paket enthalten, etwa für VoIP oder IP Netzwerkverschlüsselung.
Schon 2012 bezweifelte Heise die Seriosität der Firma.[1] Das Firma ist seit 2019 durch das Ordnungsamt abgesperrt und insolvent.[2][3]
Funktionsweise
[Bearbeiten | Quelltext bearbeiten]FREE CompuSec verschlüsselt Sektor für Sektor die gesamte Festplatte, inklusive des Betriebssystems. Damit sind, im Gegensatz zu datei- oder containerbasierten Verschlüsselungsprogrammen, auch alle Daten des jeweiligen Betriebssystems, wie z. B. die Windows-Registrierungsdatenbank, Auslagerungsdatei bzw. Swap-Partition, Daten der Benutzerkonten und der Programmcode des Betriebssystems und installierten Programme, sowohl gegen unberechtigtes Auslesen als auch gegen Manipulation geschützt, solange niemand am System angemeldet ist. Gegen Trojaner und andere Malware, die während des regulären Betriebes ausgeführt werden, existiert systembedingt kein Schutz.
Wegen der Verschlüsselung kann das Betriebssystem ohne weitere Maßnahmen nicht geladen werden. Um den Computer zu booten, wird mittels Master Boot Record das Ver- bzw. Entschlüsselungsmodul geladen, das dem Betriebssystem eine unverschlüsselte Sicht auf die Daten gibt. Dazu muss sich der Nutzer mit Benutzername und Passwort anmelden, damit das Programm auf den durch das Benutzerpasswort verschlüsselten Festplattenschlüssel zugreifen kann (Pre-Boot Authentication bzw. PBA). Bei Unkenntnis der Anmeldeparameter nützt Diebstahl oder Ausbau der Festplatten nichts, um an die Daten zu gelangen.
Eine Manipulation der Pre-Boot Authentifizierung ist bei verschlüsselter Festplatte nicht möglich. Der Verschlüsselungs-Key liegt zufällig in einem beliebigen Speicherbereich auf der Festplatte. Für Zugriff und Freigabe dieses verschlüsselten Schlüssels ist die Eingabe des dazugehörigen Anmeldenamens und Passwortes (Pre-Boot Authentifizierung) erforderlich. Erst dann ermöglicht FREE CompuSec mit Hilfe das Schlüssels die verschlüsselten Sektoren in Klartext zu lesen und das Betriebssystem zu starten. Die Pre-Boot Authentifizierung ist Teil der FREE CompuSec Lösung und wird als eigenständiger, unverschlüsselter und lesbarer MBR (Master Boot Record) im System hinterlegt. Eine Veränderung des FREE CompuSec MBR wird kryptographisch geprüft und bewirkt eine Fehlermeldung nach dem Einschalten des Computers. Mit verändertem FREE CompuSec MBR ist, auch bei richtigem Anmeldenamen und Passwort, der Start des Systems nicht möglich. Alle sicherheitsrelevanten Informationen werden bei Installation von FREE CompuSec in einer Sicherheitsdatei „securityinfo.dat“ gespeichert. Diese ist auf einem externen Datenträger sicher zu verwahren. Ein Zugriff auf den geschützten und verschlüsselten Rechner ist nur mit Hilfe dieser Sicherheitsdatei möglich. Dazu ist es notwendig einen zweiten Rechner mit genau der gleichen FREE CompuSec Version und der Sicherheitsdatei des geschützten Systems zu installieren. Somit haben beide Computer die gleichen Schlüsselinformationen und durch die Anbindung der geschützten Festplatte direkt an den Festplattencontroller des Zweitsystems ist ein Zugriff auf die verschlüsselten Informationen möglich. Weder Veränderung des MBR, noch Trojaner noch spezielle Programme zur Aufzeichnung der Tastatureingabe (letztere zwei funktionieren nur wenn das Betriebssystem bereits gestartet ist) können die Sicherheitslösung aushebeln. Wenn die Sicherheitsdatei nicht extern gesichert wurde und auf dem verschlüsselten Rechner liegt, kann auch der Hersteller nicht mehr helfen.
Sicherheitsmängel
[Bearbeiten | Quelltext bearbeiten]Free Compusec, in der Version 5.1, wurde von Computer Bild in den Ausgaben 9/2008 und 7/2009 zweimal getestet und jeweils mit der Note mangelhaft (5,0) bewertet. Beim Test in der Ausgabe 9/2008 wurde kritisiert, dass „beim Abmelden des Nutzers der Container offen“ bleibe und „Kennwörter im Klartext im Hauptspeicher auffindbar“ seien sowie das Programm eine „komplizierte Bedienung“ erfordere. Beim Test in der Ausgabe 7/2009 wurde das Programm „wegen grober Sicherheitsmängel abgewertet“. Bemängelt wurde außerdem, dass „keine Verschlüsselung kompletter Festplatten“ möglich sei.[4]
Einschränkungen
[Bearbeiten | Quelltext bearbeiten]Der Verschlüsselungsalgorithmus kann nicht frei gewählt werden. Innerhalb der aktuellen Version 5.3 wird stets AES 256 bit eingesetzt[5], ältere Versionen verwendeten AES 128 bit. Auch ist keine partitionsweise Verschlüsselung möglich, sondern es wird stets eine gesamte Festplatte verschlüsselt.[6] Das setzt voraus, dass alle auf der Festplatte installierten Betriebssysteme zwangsläufig von Free CompuSec unterstützt werden müssen, da ansonsten kein Zugriff auf nicht unterstützte Systeme mehr möglich ist.
Die Benutzung des Programms ist kostenlos, aber es ist keine freie Software. Eine Überprüfung des Quellcodes auf Programmfehler oder Backdoors kann also nicht von jedermann vorgenommen werden. Im Gegensatz zu einigen kommerziellen Programmen aus dem Bereich der Festplattenverschlüsselung ist Free CompuSec auch nicht durch eine externe Instanz geprüft worden, z. B. anhand der Common Criteria. Damit lassen sich keinerlei Aussagen zur Sicherheit treffen und man ist auf die Vertrauenswürdigkeit des Herstellers angewiesen.
Rezeption
[Bearbeiten | Quelltext bearbeiten]- Free Compusec, in der Version 5.1, wurde von Computer Bild in den Ausgaben 9/2008 und 7/2009 zweimal getestet und jeweils mit der Note mangelhaft (5,0) bewertet. Für die Begründung der schlechten Note siehe #Sicherheitsmängel.
- Free Compusec wurde in der c’t 10/2006 getestet und positiv beurteilt: „Free Compusec ist eine komfortable Lösung für Anwender, die unterwegs schützenswerte Dateien bearbeiten. Notebook-Diebe können zwar durch die Formatierung der Festplatte wieder mit dem Gerät arbeiten, vertrauliche Informationen sind jedoch hinreichend vor dem Zugriff geschützt.“[7]
- Chip Online schrieb über das Programm: „Die Sicherheitsfanatiker unter Ihnen werden hellauf begeistert sein über die Masse an Informationen die Sie verschlüsseln können. Aber auch Normalsterbliche profitieren von dem Programm, das ein wenig Privatsphäre in der großen unpersönlichen Datenwelt schafft.“[8]
- Das PC Magazin nahm das Programm 2009 in seine Sammlung der besten Tools für Notebooks und Netbooks auf und empfahl das Programm mit folgendem Worten: „Mit CompuSec verschlüsseln Sie Ihre Daten auf einfache Weise.“[9] und veröffentlichte das Programm in den Ausgaben 3/2009 und 5/2009 zweimal auf seiner Heft-CD/DVD.[10]
Weblinks
[Bearbeiten | Quelltext bearbeiten]Quellen
[Bearbeiten | Quelltext bearbeiten]- ↑ heise online: heise online. Abgerufen am 17. August 2021.
- ↑ Thomas Bremer: CE-Infosys GmbH - Insolvent. In: Diebewertung. 25. März 2021, abgerufen am 17. August 2021 (deutsch).
- ↑ CE Infosys-Gebäude, Mainz-Bodenheim. Abgerufen am 17. August 2021.
- ↑ Computerbildtests auf testberichte.de
- ↑ Free CompuSec. 2010, archiviert vom (nicht mehr online verfügbar) am 23. Oktober 2021; abgerufen am 3. Juli 2010. Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.
- ↑ FREE CompuSec FAQ. 2010, archiviert vom (nicht mehr online verfügbar) am 8. Juli 2011; abgerufen am 3. Juli 2010.
- ↑ Artikel aus c’t 10/2006 zu Free Compusec ( vom 17. Februar 2013 im Webarchiv archive.today)
- ↑ Test auf Chip Online
- ↑ Die besten Notebook- und Netbook-Tools ( des vom 19. Dezember 2012 im Internet Archive) Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.
- ↑ PC Magazin: Inhalt der Heft-CD/DVD 3/2009 (Seite nicht mehr abrufbar, festgestellt im April 2018. Suche in Webarchiven) und PC Magazin: Inhalt der Heft-CD/DVD 5/2009 (Seite nicht mehr abrufbar, festgestellt im April 2018. Suche in Webarchiven)
