TrueCrypt mit keyfiles

[axel3]

Moin, zusammen:
In Zusammenhang mit der unseligen Freedom-Hosting-Geschichte fand ich im Tor-Blog einen interessanten Post:

Bei WIN mit NTFS gibt es die "Last Access Update", der - wenn eingeschaltet - dafür sorgt, dass der Zeitpunkt des letzten Zugriffes auf eine Datei mitprotokolliert wird.
(Datei - Rechtsklick -Eigenschaften : Letzter Zugriff)

Hat man dieses nette Zubehör nicht explizit ausgeschaltet, dafür aber einen TC-Container mit einem Keyfile gesichert, freut sich der Forensiker.

Ausschalten unter Server 2008: fsutil behavior set disablelastaccess 1
Kontrollieren ob ausgescchaltet: fsutil behavior query disablelastaccess

oder mit RegKey (evtl erst noch zu erzeugen): Bei HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem NtfsDisableLastAccessUpdate DWORD 1

Wollt ich nur mal sagen...
Gruß: Axel3

 

[keksautomat]

Und was interessiert es die Forensiker, ob ich an meiner TC Datei gestern oder vorgestern dranwar? Will er mir damit beweisen, dass ich dort dran war? Klar war ich dran! Das PW kriegst du dennoch nicht.

 

[nik]

Axel3 geht es um die Key-File-Authentifizierung.

Aus den Zugriffszeiten könnte man ja durch den Zeitraum des Zugriffs auf das Key-File schließen.

 

[The_Emperor]

Idealerweise hat man die Keyfiles auch auf einem separaten Datenträger. Das mit den Zeitstempeln könnte zwar gewisse Rückschlüsse erlauben, glaube aber nicht das von dem eine besondere Gefahr ausgeht.

 

[mathmos]

In den Optionen von TC gibt es doch die Möglichkeit den Timestamp einzufrieren, wenn ich mich jetzt nicht irre (nutze TC schon eine Weile nicht mehr). Das dürfte doch einfacher sein, als dies pauschal mit fsutil zu deaktivieren.

Edit: Geht ja um das Keyfile...