Hier hat caschy sehr schön beschrieben, wie man sich einen passenden USB-Stick bootfähig macht und mit einem Minimalsystem versieht. So sah meine leicht angepasste Kurzfassung aus, für die ich natürlich keine Gewähr übernehme:

• meinen eigenen Windows 7 Rechner starten
• Internetsuche nach passender Anleitung
• Rumkramen nach einem unbenutzten USB-Stick
• Internetrecherche, mit welchem Tastenkommando man das BIOS eines Dell Lattitude erreicht (F2)
• Windows Automated Installation Kit (AIK) herunterladen (ca. 1,6 GB)
• 7Zip herunterladen und installieren
• Mittels 7Zip das AIK in ein Verzeichnis entpacken
• per wAIKAMD64.msi aus dem entpackten Verzeichnis das AIK auf meinem Rechner installieren
• CMD öffnen und zu c:\Program Files\Windows AIK\Tools\PETools\ wechseln
• in der Kommandozeile copype.cmd x86 c:\pe eingeben
• nach c:\pe wechseln und dort winpe.wim in boot.wim umbenennen und in das Unterverzeichnis c:\pe\iso\sources verschieben
• in CMD diskpart eingeben, um damit zu beginnen, den USB-Stick bootfähig zu machen
• in diskpart gibt man jetzt list disk ein, um die Liste der verfügbaren Laufwerke angezeigt zu bekommen
• Die Nummer des USB-Sticks raussuchen und merken. Bei meinem System war es die 3
• Nochmal genau überprüfen, bevor es ans Formatieren geht. Hat man wirklich die richtige Nummer? Sonst formatiert man sich am Ende kostbare Daten weg!!!
• Jetzt die folgenden Befehle der Reihe nach eingeben:
• select disk 3 (natürlich gibt man hier die Nummer des eigenen USB-Sticks an!!!)
• clean
• create partition primary
• select partition 1
• active
• format fs=fat32
• assign
• exit
• jetzt müssen noch die nötigen AIK-Dateien auf den Stick, das passiert mit xcopy C:\pe\iso\*.* /s /e /f E:\

Damit hat man einen bootfähigen USB-Stick mit einem Windows-Rettungssystem. Jetzt schnappe ich mir das Notebook, dessen Admin-Passwort ich zurücksetzen will.

• Beim ersten Booten gehe ich mittels F2 ins BIOS und ändere die Bootreihenfolge so, dass zuerst vom USB-Stick gebootet wird.
• Beim nächsten Booten steckt der Stick schon in einem der USB-Anschlüsse des Notebooks und so bootet das Rettungssystem bis zur Kommandozeile durch.
• jetzt wechsele ich auf die Partition, auf der sich das Windows versteckt, beim fraglichen Dell ist das D:
• copy d:\windows\system32\sethc.exe d:\ (zuerst mache ich eine Sicherheitskopie von sethc.exe)
• copy /y d:\windows\system32\cmd.exe d:\windows\system32\sethc.exe (dann kopiere ich cmd.exe über sethc.exe)
  

Jetzt ist das Notebook so eingerichtet, dass man beim nächsten Booten ohne Stick eine Kommandozeile mit Admin-Rechten erreicht.

1. Notebook ohne Stick booten und bis zum Anmeldebildschirm warten
2. fünfmal hintereinander die Shift-Taste drücken, bis die Kommandozeile erscheint
3. mit net user bekommt man eine Liste der eingerichteten Benutzer
4. net user Benutzer siebhirn setzt das Passwort für Benutzer auf siebhirn
5. Einloggen als Benutzer

Nachdem ich mich gebührend habe bewundern lassen, kopiere ich natürlich die originale sethc.exe wieder über die gefakte. Das ging bei dem Dell nicht ohne Probleme, denn die Sicherheitskopie war kaputt. Also nahm ich einfach die sethc.exe meines Rechners, kopierte sie auf den USB-Stick, bootete nochmal das Rettungssystem auf dem Notebook und kopierte von dort die sethc.exe wieder in d:\windows\system32\ .

Vielen Dank nochmal an caschy für den Tipp.

Und nochmal der Hinweis, dass ich natürlich keine Gewähr übernehme, dass die beschriebene Prozedur woanders funktioniert. Wer sich dabei Daten zerschiesst, tut das auf eigene Verantwortung und Gefahr!

Motorola Xoom

Lange habe ich darauf gewartet, Linux auf einem Touchscreen-Gerät zu finden. Nach einem Ausflug ins Android-Land mit dem Samsung Galaxy und ein paar Spielereien im Technikmarkt mit dem WeTab war die Zeit reif für ein Linux-Tablet.

Hardware
Ich habe mich für das Motorola Xoom entschieden, nachdem ich am Erstverkaufstag eins in der Hand hatte. OK, gegenüber dem iPad2 ist es einen Tick schwerer, aus meiner Sicht aber ebenso wertig verarbeitet.
Die Hardware ist gefühlt schnell genug für den angepeilten Zweck. Das Booten benötigt ca. 60 sec. und ist damit in etwa auf dem Niveau aktueller Smartphones. Die Akkulaufzeit liegt mit 10-12 Stunden bei Nutzung von UMTS im erwarteten und praktikablen Bereich. Nach zwei Stunden an der Steckdose ist der Akku wieder voll.
Das Display hat eine angenehme Größe und ist hell genug. Zumindest, solange man nicht versucht, das Xoom draußen bei Sonnenschein benutzen zu wollen. Die Auflösung ist gut und ermöglicht bei 1200×800 Pixeln auf 10.1 Zoll ein scharfes Bild.
Die Hardware-Nachteile will ich nicht verschweigen. Die vorhandene Micro-USB-Buchse dient nur zum Datenaustausch, laden kann man das Xoom damit nicht. Das geht nur über ein separates Netzteil mit einem extrem fitzeligen Stecker, der förmlich nach Verbiegen schreit.
Der MicroSD-Kartenslot liegt mit dem SIM-Kartenslot unter der gleichen Abdeckung. Zieht man das eine Kärtchen raus, kommt das andere unweigerlich mit. Das spielt derzeit aber keine Rolle, weil Motorola die MicroSD-Kartenunterstützung erst mit dem Update auf Android 3.1 bereitstellen will und das Update noch nicht in Deutschland ausrollt.
Das Display spiegelt stark, eine Unsitte, die fast alle heutigen Rechner mitbringen und immer wieder absolut unverständlich.
Dadurch, dass das Xoom derzeit noch nicht als USB-Host verwendet werden kann, kann man auch keine Kamera anschliessen, um Bilder auf das Tablet zu übertragen. Die USB-Host Funktion soll ebenfalls mit Android 3.1 kommen.

Software
Wie schon erwähnt, gibt es das OS-Update auf Android 3.1 derzeit noch nicht in Deutschland. Aber auch Android 3.0 macht Spass mit dem Xoom. Und es bringt gegenüber dem iPad2 einen großen Vorteil mit, man ist bei der Wahl der zu installierenden Software nicht an iTunes gebunden.
Unverständlich finde ich, dass der Android Market nur im Querformat darstellbar ist. Darüber tröstet die Auswahl an installierbaren Apps aber gut hinweg. Es mag sein, dass es derzeit noch weniger Android-Apps als iOS-Apps gibt, mir hat bislang bis auf wenige Ausnahmen nichts gefehlt.
Vorinstalliert sind der Chrome-Browser, Google Maps, Google Mail und Google Talk. Multimedial wird es etwas dünn mit der Galerie und dem Musik-Programm. Videos spielt Xoom frisch aus dem Karton nur in der Galerie und nur als mp4. Will man DIVX-Filme ansehen, muss man sich eine Player-App dazu installieren.
Die installierte Kamera-App verführt zwar nicht zu Spielereien a la Instagram, bietet aber ausreichend Einstellmöglichkeiten, um die 5 Megapixel-Kamera auszureizen. Extrem störend finde ich das extrem laute Auslösegeräusch, das sich scheinbar weder variieren noch abstellen lässt.

Einrichtung und Erweiterung

Daraus sollte sich doch irgendwie ein Multimedia-Rechner für’s Wohnzimmer machen lassen, selbst von einem Apple-Kritiker wie mir.

Problem Nummer 1: Das Netzwerk

Der alte Mac Mini gehört zur letzten Generation der PowerPC-Apples. Da er früher direkt neben dem DSL-Router stand, wurde bei der Anschaffung auf das extra zu bezahlende WLAN-Modul verzichtet. Das rächt sich jetzt. Der in der Teilekiste gefundene AVM-Fritz-Stick arbeitet mangels Treiber leider gar nicht. Eine kurze Vergleichsmessung mit einem Windows-Netbook am späteren Mac Mini Standort zeigt aber auch, dass WLAN zum Abspielen von Filmen direkt vom Linux-Server nicht genug Bandbreite besitzt, jedenfalls nicht durch einen lichten Meter Stahlbeton.

In diesem Fall ist Devolo DLAN die Lösung des Problems. Das DLAN 200 AVplus Starterkit (115 €) verhilft dem MiniMac zum Anschluss ans LAN. Und das out-of-the-box. Und ohne Steckdosen zu blockieren.

Problem Nummer 2: Tastatur und Maus

Das Sofa ist ca. vier Meter vom Mac entfernt, die sehr elegante Apple-Alu-Tastatur kann ihr Kabel aber leider nicht so lang strecken. Und eine Maus auf der Sofalehne rumschubsen kann auch nicht Ziel der Aktion sein. Am besten sollte eine Kombitaion aus Tastatur und Touchpad her.

Logitech bietet da was cooles an, leider aber nur für die PS3. Eine längere Recherche fördert schliesslich eine Apple-taugliche Wohnzimmertastatur von Keysonic zutage, die ACK-540 MAC-RF (54 €). Nach kurzer Anpassung an den Mac funktioniert sie einwandfrei. Zumindest für’s Wohnzimmer reicht das.

Problem Nummer 3: Media Center Software

Sowas gibt’s zu Hauf für Windows. Für Linux gibt’s auch sehr nette Lösungen. Für Mac Minis mit Mac OS 10.4 gibt es nichts. Bei Mac OS 10.5 gibt es “Front Row” dazu. Außerdem wollte der Mac Mini schon lange von Tiger auf Leopard umfrisiert werden.

Interessanterweise sind Updates von 10.4 auf 10.5 immer noch wesentlich teurer als von 10.5 auf 10.6. Dummerweise wird Snow Leopard auch gar nicht mehr für PowerPC-Macs angeboten (Danke, Steve). Also bleibt nur die Leopard-Option. Bei eBay wurde ich fündig (69 €) und gefühlt ging der Versand schneller als die Installation. Mittags ersteigert, am nächsten Tag in der Post gefunden.

Nach ungefähr einer Stunde Update von DVD war der Mac zum Reboot bereit. Jetzt will Apple diverses über mich wissen. Was bei mir die Frage aufwirft, warum Apple eigentlich nicht mit Name und ggf. eMail-Adresse zufrieden ist. OK, jetzt hat Apple meine Telefonnummer (1337) und meinen Wohnort (Entenhausen). Ob Steve Jobs jetzt glücklicher ist?

Kaum läuft die Raubkatze, schon geht’s ans Aktualisierungsupdate übers Netz. Das dauert nochmal eineinhalb Stunden (30 min. Download, eine Stunde Installation).

Und das führt gleich zu…

Problem Nummer 4: Symbolische Links im Samba-Share werden nicht korrekt erkannt

Das Phänomen habe ich gleich nach der Inbetriebnahme des neuen Macbooks beobachtet. Alte Macs stellen Verzeichnisstrukturen mit symbolischen Links “normal” dar, man kann über die symbolischen Links einfach weiter in der Verzeichnisstruktur arbeiten. Neue Macs ignorieren symbolische Links.

Tja, zur Ehrenrettung der Jungs aus Cupertino muss man sagen, eigentlich haben sie sich an Standards gehalten, jedenfalls seit Mac OS 10.5. Seitdem werten sie bei Samba-Shares die Rechte korrekt aus. Tut zwar sonst keiner, tat auch Mac OS 10.4 nicht, aber man kann sich ja verbessern. Wäre auch gar nicht problematisch, wenn man den Mac wenigstens in einen etwas duldsameren 10.4-Mode schalten könnte. Kann man aber nicht! Wirklich sehr benutzerfreundlich, tolle Sache.

Die Lösung findet sich im Internet, wie so oft. Man muss auf dem Samba-Server die smb.conf editieren und in der [Globals] Sektion eine Zeile einfügen:

unix extensions = No

Korrekt erkannt hat das mein Mac erst, nachdem ich ihn einmal durchgebootet habe, aber sowas kennt man ja von Nicht-Linuxen

Problem Nummer 5: Front Row ist doof

Und wie doof. Als Linux-Kenner denkt man sich, hier gibt’s doch bestimmt irgendwo eine Möglichkeit, dem verd…ten Programm beizubringen, wo es die Filme, Bilder und MP3s findet. Gibt’s aber nicht!

Stattdessen darf man sich mit iTunes herumärgern und es zuerst mal davon abbringen, alles, was es irgendwo findet, ins eigene Verzeichnis zu kopieren. Mit der eingebauten 40 GB-Platte käme man da nicht weit.

Danach klappt’s auch mit Front Row, aber doof bleibt doof…

Problem Nummer 6: Der Desktop-Zeichensatz bleibt winzig

Tja, wer eine Lösung für dieses Problem kennt, möge sich bei mir melden. Mir ist es bislang nicht gelungen, dem Mac-Desktop durch Vergrößern des Zeichensatzes etwas mehr Couchpotato-Benutzbarkeit abzuringen.

Fazit

Endlich hat der Mac Mini wieder Arbeit. Es ist nett, die direkte Verbindung zwischen Fernseher und Filmsammlung zu haben. Ob das wirklich 268 € wert ist, wird die Zeit zeigen. Ich mich habe dabei wieder erinnert, warum ich Macs weniger mag als Linux-Rechner und sogar Windows-Spielekonsolen. Dieses Apple-Betriebssystem ist einfach für einfache Benutzer gemacht. Das macht es gut. Will man etwas tiefer unter die Haube, wird’s mächtig unbequem. da sind Linux und tatsächlich sogar Windows freundlicher zu Powerusern.

Aber so leicht lassen sich Linuxer nicht aufhalten. Es gibt einen recht einfachen Weg, Grub wieder zu restaurieren. Alles, was man dazu braucht, ist eine bootfähige Live-CD mit einem beliebigen Linux.

Hier exemplarisch der Vorgang für eine Ubuntu-CD. Zuerst bootet man von der Linux-CD und lässt das Live-System starten. Dort öffnet man ein Terminalfenster und mountet das installierte System erstmal ins Live-System:

sudo mount/dev/sda5 /mnt

(sda5 sei in diesem Fall die /-Partition des installierten Linux. Ist sie es nicht, muss man die Kommandozeiole natürlich entsprechend anpassen)

sudo mount -t proc /mnt/proc

sudo mount -o bind /dev /mnt/dev

Damit hat man das installierte Linux unter /mnt ins Live-Linux eingehängt und proc und dev dahin umgebogen.

Jetzt wechselt man mit

sudo chroot /mnt

zum installierten Linux auf der Festplatte und installiert mittels

sudo grub-install /dev/sda

Grub wieder im MBR der ersten Festplatte. Um auch Windows 7 weiterhin starten zu können, muss die Datei menu.lst in /boot/grub ggf. noch um einen Eintrag erweitert werden. Der sollte dann so aussehen:

title Windows 7

root (hd0,0)

makeactive

chainloader +1

So, jetzt sollten sich Linux und Windows 7 wieder vertragen und grub sollte einem das Wechseln von einem ins andere System erlauben.

Natürlich übernimmt der Autor keinerlei Garantie dafür, dass der hier beschriebene Weg funktioniert. Bei mir hat es so jedenfalls zweimal geklappt.

Den Anfang machte das Netbook. Auf der 120 GB Festplatte nimmt Windows die erste primäre Partition ein. In einer erweiterten Partition tummeln sich zwei weitere, auf denen ein Ubuntu 9.04 Dienst tut.

Nach der obligatorischen Datensicherung beider Betriebssysteme kommt die Probe auf’s Exempel. Leider erkennt der externe Plextor-DVD-Brenner die Windows-DVD nicht. Auch der Versuch, eine Kopie mit dem externen Brenner zu erstellen, bringt keine Besserung. Erst das Kopieren der Dateien auf einen bootfähigen USB-Stick löst das Installationsproblem. Danach marschiert Windows 7 in der 32bit Professional Version auf die Windows-Partition.

Dankenswerterweise muss die Partition nicht neu formatiert werden. D.h. die Daten können einfach aus dem alten Windows XP Benutzerverzeichnis ins neue Windows 7 Benutzerverzeichnis verschoben werden. Teilweise funktionieren unter XP installierte Programme sogar unter Windows 7.

Für eine saubere Installation sollte man jedoch den Weg gehen und eine komplett neu formatierte Partition benutzen.

Den Weg gehe ich bei der Workstation. Die hat drei Festplatten. 500 GB, 500 GB und 160 GB. Auf der ersten belegt Windows Vista die komplette 500 GB. Die zweite Festplatte enthält eine 250 GB Partition unter NTFS, die anderen 250 GB enthalten wieder ein Ubuntu 9.04. Die dritte 160 GB große Festplatte wurde ebenfalls mal für Linux benutzt, liegt aber seit einem Jahr brach. In dieses Brachland kommt nun die 64bit Version von Windows 7 Ultimate.

Diesmal bootet der Rechner von der passenden Windows-DVD. Die eigentliche Installation dauert inclusive Formatierung gut 20 min. Alles an Peripherie und Hardware wird out-of-the-box erkannt, genau wie beim Netbook. Das beweist, dass die Jungs aus Redmond diesmal ihre Hausaufgaben gemacht haben. Dadurch, dass Windows 7 das gleiche Treiberschema nutzt wie schon Vista, hat es allerdings auch leichteres Spiel als die Vorgängerversion.

Was wirklich nervt ist, dass Microsoft sich auch 2009 noch extrem unfreundlich gegenüber anderen Betriebssystemen zeigt. Weder beim Netbook noch bei der Workstation kann man ohne manuelle Nacharbeit Linux statt Windows booten. Dafür bietet der Windows Bootmanager auf dem Netbook unnötigerweise die nicht bootfähige XP-Installation an.

Es kann doch wohl nicht sein, dass es bei Microsoft keinen Entwickler gibt, der fähig wäre, eine Installationsroutine zu programmieren, die vorhandene Linux-Installationen erkennt und berücksichtigt. Jungs, wacht auf, eure Kollegen von der Open Source Front schaffen’s doch auch.

OK, soviel dazu, was mir nicht gefallen hat. Nun zu den positiven Aspekten. Insgesamt halte ich den Weg von Vista zu Windows 7 für einen Schritt in die richtige Richtung. Die Hardwareunterstützung ist gut, die Installation läuft schnell und unproblematisch. Auch auf dem mit einem GB RAM nicht üppig ausgestattetem Netbook mit der 1,6 GHz Atom CPU läuft Windows 7 schnell und sogar im Aero-Look. Dabei muss man gefühlt keine Geschwindigkeitseinbuße gegenüber Windows XP hinnehmen. Sound, Grafik und WLAN laufen einfach so. Anders als bei XP funktioniert auch das Mounten eines per Samba bereitgestellten Netzlaufwerks sofort ohne Probleme.

Die größte Überraschung bereitete das 64bit Windows 7 auf der Workstation. Nein, nicht, dass jetzt die vollen vier GB RAM benutzt werden können. Dafür nimmt man ja extra die 64bit Version. Die Überraschung trat auf, als die frisch installierte Workstation das Netbook erspähte und sofort anbot, es in ein gemeinsames Netzwerk zu integrieren. Seht ihr, liebe MS-Developer, es geht doch. Jetzt gebt euch noch beim Bootmanager etwas Mühe und alles ist gut.

Gibt’s noch was zu meckern? Ja, natürlich. Warum es Apple schafft, eine InstallationsDVD mit 32 und 64bit auszuliefern, Microsoft aber nicht, bleibt unverständlich. Mehr zu meckern gibt’s nach einer Woche Testbetrieb aber noch nicht…

Weil er etwas sparsam mit Links war, hier sind noch ein paar als Anregung:

• Tweetdeck, Twhirl als Clients
• Twitpic zum Twittern von Photos
• Brightkite zur Geolokalisierung

Und hier gleich noch eine neue Rubrik:

Mobiles Twittern

Twittern geht natürlich nicht nur mit dem Rechner, sondern auch mobil. Entweder auch über die Twitter-Webseite oder mit einem der zahlreichen Progrämmchen für die unterschiedlichen Handy-Familien. Genannt seien hier z.B. Twibble, ein Java-Client, Twidroid für Google Android Handys oder Twitteriffic für’s iPhone

Dafür bietet sich TrueCrypt an. TrueCrypt ermöglicht das Arbeiten mit Verschlüsselung auf zwei Arten. Man kann eine verschlüsselte Datei erstellen, in der ein eigenes Dateisystem existiert (FAT, NTFS, Ext2, EXT3, je nach Host-Betriebssystem). Diese Datei wird dann mittels TrueCrypt gemountet, so dass man damit wie mit einem Netzlaufwerk arbeiten kann. Oder man verschlüsselt eine komplette Partition oder einen ganzen Datenträger. TrueCrypt verschlüsselt mittels AES, Serpent oder Twofish sowie mit Kombinationen davon.
In der aktuellen Version 6.1 unterstützt es Windows (2000, XP, Vista), Linux und Mac OS X (10.4 und 10.5). Für etwaige Ports zu Solaris oder BSD steht der Quellcode zur freien Verfügung, TrueCrypt ist in großen Teilen Open Source, steht allerdings nicht unter der GPL, sondern unter der TrueCrypt Collective License.
Ein Vorteil gegenüber den Fertiglösungen ist damit herausgearbeitet, die Portabilität. Ein zweiter Vorteil liegt in der Tatsache, dass der Quellcode offen liegt. D.h. es sind keinerlei Hintertürchen für regierungsseitigen Wissensdurst vorhanden. Jeder kann den Quellcode einsehen und sich ggf. sein eigenes Programmpaket kompilieren, um ganz sicher zu gehen. Bei den gekauften Fertiglösungen muss man sich auf die Versicherung der Hersteller verlassen.

Externe Festplatte verschlüsseln

Hierzu bieten sich zwei Modi an. Ist man sicher, dass die Festplatte grundsätzlich immer an Rechnern betrieben wird, auf denen TrueCrypt schon installiert ist, kann man die komplette Festplatte per TrueCrypt verschlüsseln. Daten, die sich evtl. noch auf der externen Festplatte befinden, müssen auf ein anderes Medium gesichert werden, da während der Verschlüsselung der externen Festplatte selbige komplett neu formatiert wird!
Ausgehend von Version 6.1 und Windows als Betriebssystem geht die Vollverschlüsselung einer externen Festplatte in folgenden Schritten vor sich. Zuerst wählt man im Wizard den Punkt “Create a volume within a non-system partition/device“. Um einfach nur eine externe Festplatte zu verschlüsseln, wählt man in der nächsten Dialogbox “Standard TrueCrypt volume“.
Als nächstes muss man die zu verschlüsselnde Festplatte auswählen. Gerade hier sollte man unbedingt die nötige Sorgfalt wahren. Ansonsten kommt es zu Datenverlusten, wenn man sich bei der Auswahl der Festplatte irrt.

Auswahl der zu verschlüsselnden Partition

Um ganz sicher zu gehen, sollte man sich die nun erscheinende Warnbox gründlich durchlesen. Da das Ziel diesmal die komplette Verschlüsselung der Festplatte ist, geht es nun mit den “Encryption Options” weiter. Für den ersten Versuch kann man es bei den Standardeinstellungen belassen, AES als Verschlüsselungsalgorithmus und RIPEMD-160 als Hash-Algorithmus. Die Volume Size, d.h. die Größe der zu verschlüsselnden Festplatte wird automatisch ausgelesen und hier nochmal angezeigt. Dies ist die letztmalige Gelegenheit, zu überprüfen, ob man wirklich das richtige Ziel für die Verschlüsselung ausgewählt hat.
Nächster Punkt ist die Vergabe eines starken Passworts. Dazu ist schon viel geschrieben worden, ich rate hier zu einem Passwort von deutlich mehr als acht Zeichen, das man sich merken kann, ohne es aufzuschreiben und das mindestens Groß- und Kleinschreibung sowie Zahlen und Sonderzeichen enthält. Ich persönlich verwende eines mit zwanzig Stellen! Vorsicht! Hat man das Passwort irgendwann vergessen, gibt es absolut keinen Weg mehr, an den Inhalt des verschlüsselten Bereichs heranzukommen.
Die nächste Dialogbox fragt ab, ob man ggf. Dateien größer als 4 GB innerhalb des verschlüsselten Bereichs speichern will. Das hat natürlich auswirkungen auf das innerhalb des Containers zu verwendende Dateisystem. Generell kann Truecrypt nur die Dateisysteme innerhalb des Containers anlegen und nutzen, die vom darunterliegenden Betriebssystem zur Verfügung gestellt werden. D.h. für Windows werden NTFS und FAT unterstützt, für Linux FAT, EXT2 und EXT3 und für Mac OS X FAT und HFS+. TrueCrypt macht entsprechende Vorschläge für das zu wählende Dateisystem. Soll die zu verschlüsselnde Festplatte später von verschie3denen Betriebssystemen beschreibbar sein, muss man FAT als kleinsten gemeinsamen Nenner wählen. NTFS eignet sich mittlerweile für den Datenaustausch zwischen Windows und Linux, für Macs nur eingeschränkt, da ohne Zusatztreiber nur lesender Zugriff auf NTFS-Partitionen möglich ist.

Da die Verschlüsselung in diesem Beispiel unter Windows Vista passiert, stehen nur NTFS und FAT zur Auswahl. TrueCrypt schlägt folgerichtig NTFS vor. Während man hier herumrätselt, kann man schon einmal die Maus unkontrolliert über das Fenster bewegen, um den Random Pool zu füllen, der im Anschluß für die eigentliche Verschlüsselung benutzt wird. Ein Mausklick auf “Format” setzt nun unwiderruflich die Verschlüsselungsformatierung in Gang, d.h. ab jetzt sind etwaige noch auf dem Datenträger vorhanden gewesene Altdaten gelöscht. Die Formatierung und Verschlüsselung der 40 GB Festplatte dauert ca. 40 min.
Nachdem die Festplatte fertig formatiert und verschlüsselt ist, muss sie noch ins System eingehängt werden. Windows hat die Platte auf dem Testsystem als Laufwerk G: erkannt, aber so bekommt man den verschlüsselten Speicherbereich nicht zu sehen. Man muss die Festplatte zusätzlich unter einem noch nicht belegten Laufwerksbuchstaben per TrueCrypt einhängen, auf dem Testsystem H:. Unter Linux und Mac OS X werden TrueCrypt-Container und Devices unter /media/truecryptN eingehängt, wobei N von 1 bis 32 reicht.
Unter Windows wählt man einen freien Laufwerksbuchstaben in TrueCrypt und klickt entweder auf die Schaltfläche “Auto-Mount Devices“, dann sucht TrueCrypt nach einem noch nicht eingebundenen verschlüsselten Gerät oder auf “Select Drive“, dann muss man das Gerät selbst angeben, was üblicherweise schneller geht. Das war’s fast schon.
vor dem Trennen der Kabelverbindung zwischen USB-Festplatte und System sollte man tunlichst erst in TrueCrypt das entsprechende Gerät per “Dismount” aushängen, da sonst Datenverlust droht. Bei einem Test mit einem 1 GB USB-Stick waren die gerade auf den verschlüsselten Stick kopierten Daten nicht mehr vorhanden, nachdem der Stick einfach vom System getrennt wurde, ohne ihn vorher per Dismount freizugeben.

Will man nicht extra einen zusätzlichen (unverschlüsselten) USB-Stick mit den nötigen Installationsdateien herum tragen, bietet es sich an, die externe Festplatte in zwei Partitionen aufzuteilen, eine kleine unverschlüsselte, auf der sich die TrueCrypt- Installationsdateien für Linux, Windows und Mac OS X befinden, sowie eine große verschlüsselte. Alternativ kann man auf die Partitionierung verzichten und einfach einen sehr großen TrueCrypt-Container auf der Festplatte erzeugen.
Natürlich geht all das auch mit eine USB-Stick. Handelsübliche Exemplare haben mittlerweile 8-16 GB und ein Ende ist nicht abzusehen. In der Praxis hat es sich bewährt, den Stick nicht komplett zu verschlüsseln, sondern als Träger für TrueCrypt-Containerdateien zu benutzen. Das hat den Vorteil, dass man die TC-Container auf andere Medien sichern kann, ohne sie dafür zu mounten.

Neben der Verschlüsselung eines ganzen Datenträgers bietet TrueCrypt darüber hinaus noch einige Features, die die Fertiglösungen naturgemäß nicht bieten können. Genannt sei hier z.B. das Erstellen von Hidden Volumes, die nachträgliche Verschlüsselung einer kompletten Windows-Installation oder die Benutzung von Keyfiles.
Zu all dem kommt noch die vom TrueCrypt Projekt hervorgehobene “Plausible Deniability”, d.h. das man TrueCrypt so betreiben kann, dass man glaubhaft abstreiten kann, überhaupt irgendwo verschlüsselte Daten zu halten.

Hidden Volume

Dabei wird in einer verschlüsselten Datei/Partition/Festplatte ein weiteres, vollkommen unsichtbares Hidden Volume innerhalb des freien Speicherbereichs eingerichtet. Mountet man den so präparierten TrueCrypt-Container mit dem normalen Passwort, bekommt man diesen versteckten Bereich nie zu sehen. Er verbirgt sich im freien Teil des TC-Containers und taucht nicht einmal als Dateiname im “offenen” Container auf. Mountet man den TC-Container statt mit dem “offenen” Passwort mit einem zweiten für das Hidden Volume, wird stattdessen der versteckte Container geöffnet. Sollte tatsächlich das Szenario entstehen, dass man gezwungen ist, die Existenz eines TrueCrypt-Containers zuzugeben und darüber hinaus gezwungen ist, dass Passwort für diesen Container anzugeben, gibt man das offene Passwort an. Dem Container ist nicht anzusehen, dass er einen zweiten, verborgenen Container enthält. Ggf. kann dieser zweite Bereich überschrieben werden, wenn das Hidden Volume nicht geschützt wurde. Einsehbar ist er für nicht Eingeweihte jedenfalls nicht.

Verschlüsselung einer schon bestehenden Windows-Installation

Das Verschlüsseln einer Windows-Systempartition setzt zwingend das Brennen einer Rescue-Disk voraus. Die Verschlüsselungsroutine fragt diese Rescue Disk ab, man kommt also nicht darum herum. Natürlich ist das auch sehr sinnvoll, denn ohne diese Rescue Disk kommt man im Ernstfall nicht mehr an die verschlüsselte Installation, falls etwas schief gegangen ist.
Danach wird durch die Migrationsroutine ein Test durchgeführt, bei dem zwar schon das TrueCrypt-Passwort nötig ist, die eigentliche Systempartition aber noch nicht verschlüsselt wurde. Das passiert erst nach erfolgreichem Test und zwar on-the-fly. Von nun an muss man bei jedem Neustart oder Reboot des Systems zuerst das TrueCrypt-Passwort eingeben, dann erst startet Windows. Im Laufenden Betrieb ist dann von der Verschlüsselung nichts mehr zu bemerken. Es ist auch keine signifikante Geschwindigkeitsänderung wahrnehmbar.

Authorisierung mittels Keyfiles

Wem die Sicherheit durch das Passwort noch nicht reicht, kann einen Schritt weiter gehen und zusätzlich Keyfiles mit angeben, die zumMounten eines TrueCrypt-Cpontainers zusätzlich eingetragen werden müssen. Dann reicht zum Öffnen des TC-Containers nicht mehr allein das Passwort, man muss auch die richtigen Keyfiles zur Hand haben. Diese Keyfiles kann man mittels TrueCrypt erzeugen oder man definiert einfach vorhandene Dateien, Bilder, Videos, PDfs etc. Wichtig ist nur, dass die Keyfiles nicht mehr verändert werden dürfen, nachdem sie einem TrueCrypt-Container zugeordnet wurden.

Glaubhaftes Abstreiten

Plausible Deniability ist eins der Features von TrueCrypt, für das man selbst ein wenig tun muss. Einer TrueCrypt-Containerdatei sieht man nicht an, dass sie eine ist, auch dann nicht, wenn man den Hex-Code durchforstet. Das setzt natürlich voraus, dass man seine TC-Container nicht mit Dateinamen wie “ultrageheim.tc” etc. versieht. Überhaupt sollte, wer den Betrieb von TrueCrypt verschleiern will, auf die Endung *.tc verzichten und, zumindest für Windows, die Traveller-Version von TrueCrypt einsetzen, da sie nicht installiert werden muss, sondern von einem USB-Stick betrieben werden kann.
Zusätzlich sollte im TrueCrypt Hauptfenster das Häckchen bei “Never save history” gesetzt sein”. Unter “Settings -> Preferences” sollte man sich die Auto-Dismount Optionen genau anschauen und die richtige Balance zwischen Benutzerfreundlichkeit und Geheimhaltungswillen für sich finden. Den Passwort-Cache sollte man ggf. auch abschalten.
Idealerweise versteckt man einen TrueCrypt-Container zwischen zahlreichen anderen etwa gleich großen. Und wenn diese Container dann nicht genau 100 MB groß sind und evtl. auch noch ein Hidden Volume enthalten, ist man der Plausible Deniability so nah, wie irgend möglich.

Praktischer Einsatz

Ich habe TrueCrypt seit zwei Jahren auf meinem Firmennotebook im Einsatz. Alles, was sich normalerweise in “Eigene Dateien” befindet, steckt auf dem Notebook in einem TrueCrypt-Container. Dieser Container wird im Büro regelmäßig komplett auf ein Netzlaufwerk gesichert. Zusätzlich habe ich meist noch eine Version auf USB-Stick dabei. Sollte der Ernstfall eintreten und das Firmennotebook auf Reisen “verschwinden”, ist es zwar um die Hardware schade, die sensitiven Informationen sind aber vor dem Zugriff durch Dritte geschützt.

Fazit

TrueCrypt bietet ohne Zusatzkosten ein hohes Maß an Verschlüsselungsfunktionalität und ist auch für Einsteiger einfach anzuwenden. Gegenüber fertigen Hardwareprodukten hat es den Vorteil, neben Windows auch Linux Und Mac OS X zu unterstützen. Erkauft wird das durch eine etwas umständlichere Handhabung, die im Alltagsbetrieb aber keinen sonderlich hohen Mehraufwand bedingt.

Links

• http://events.ccc.de/congress/2008/Fahrplan/events/2882.en.html, Vortrag von J.Pabel zu FDE
• http://www.truecrypt.org/, die offizielle Homepage des Projekts

Die Installation läuft sowohl in Virtualbox als auch in VMware problemlos und dauert 20-30 min. Beide Installationen wurden durch Mounten des ISO-Images durchgeführt.

Virtualbox

Für die Installation habe ich eine 10 GB große virtuelle Platte angelegt. Etwas knapp, aber ausreichend, wie sich nach der Installation herausstellt. Mit Virenscanner, Firefox und Google Chrome sind noch 3,1 GB frei.

Nach der Installation bootet Windows, allerdings gibt es keinen Sound und das Netzwerk funktioniert nicht. Die Installation der VirtualboxAdditions klappt nicht, weil sie die Windows-Version abfragen und die Installation verweigern. Im Virtualbox-Forum gibt es den entscheidenden Hiweis, der Netzwerktreiber muss manuell installiert werden. Dazu geht man wie folgt vor:

1. Im Virtualbox-Menü für die Windows 7 VM in “Geräte->CD/DVD-ROM einbinden->CD/DVD-ROM-Abbild…” die VBoxGuestAdditions.iso auswählen
2. in Windows 7 den Gerätemanager öffnen und per Rechtsklick auf das unbekannte Netzwerk-Gerät klicken, dann “Treiber aktualisieren” auswählen. Durchklicken bis zum CD-Laufwerk und das Verzeichnis “32bit” auswählen. OK klicken und der Treiber wird installiert.
3. Installation der GuestAdditions
   • per Explorer das CD-Laufwerk auswählen
   • Rechtsklick auf VBoxWindowsAdditions.exe
   • Auswählen von “Eigenschaften->Kompatibilität”
   • Auswählen von “Windows Vista”
   • OK klicken
   • das Ganze nochmal für VBoxWindowsAdditions-x86.exe wiederholen
   • Doppelklick auf VBoxWindowsAdditions.exe startet die Installation

Zusätzlich habe ich nachträglich noch den virtuellen Grafikspeicher auf 128 MB erhöht. Auf die 3D-Beschleunigung hat das allerdings keinen messbaren Einfluss gehabt.

VMware

Diesmal war ich großzügiger und habe der Installation gleich 20 GB genehmigt. Als Profil habe ich mich für Custom entschieden, schliesslich ist VMWare älter als die Microsoft-Pläne zur Vista-Ablösung. VMware denkt allerdings trotzdem, dass es ein Windows Vista Installationsmedium hat und bietet an, virale Informationen wie den Produktschlüssel und einen Benutzernamen vorab einzugeben. Bei der weiteren Auswahl ist einegtlich nur noch von Bedeutung, dass man mindestens 1024 MB RAM eingibt, eine virtuelle IDE-Festplatte einrichtet und sich für NAT entscheidet. Das hat zumindest bei meinem Test problemlos funktioniert.

Nach der Installation lassen sich die VMware-Erweiterungen installieren und funktioneren auch. Sound und Netzwerk laufen, auch das Desktop-Resize und das Maus-fangen klappen einwandfrei.

Der Startversuch von Freecell führte allerdings zum kompletten Einfrieren des virtuellen Systems. Ein Neustart führte auch nicht weiter. Erst das Starten der Wiederherstellungsfunktion führte nach dem nächsten Booten wieder zu einem lauffähigen System. Insofern kann ich von der Benutzung von Windows-Spielen in Windows 7 unter VMware nur abraten.