Post by Dirk OhmeHanno Foest schrieb im Newsbeitrag
Post by Hanno FoestFolgendes Szenario: Rechner mit Plattenverschlüsselung und
verriegeltem Bildschirm (GUI) wird aufgefunden/gestohlen.
Reboot bedeutet: Die Platte ist verschlüsselt, man kommt
nicht mehr an die interessanten Daten ran. Der Key steht
aber irgendwo im RAM, schließlich muß das OS ja die Platte irgendwie
benutzen können.
Man könnte den Key auch extern in einen USB-Crypt-Stick oder in einer
Smart-Card ablegen.
Der symmetrische Schluessel muss waehrend des Ent- und Verschluesselns
(bei Festplatten also staendig) im Mapbaren Speicher des Prozesses
liegen. Bei Wintendo also irgendwo RAM des Hosts. Dass du Kopien ggf.
asymmetrisch verschluesselt noch woanders rumliegen hast, ist fuer
dieses Angriffszenario unerheblich. Es geht hier um den "session Key".
Post by Dirk OhmePost by Hanno FoestAlso: Bootmedium einlegen, Rechner resetten.
Lustig ... der PC ist sonst so gut abgesichert, aber ansonsten so
konfiguriert, dass von einem (unsicheren) Boot-Medium gestartet werden
kann? Tja, da würde ich mir erstmal was anderes überlegen ... zum
Ersten: Booten nur von Festplatte. Zum Zweiten: Neben der
Verschlüsselung vielleicht auch noch das ATA-Passwort der Festplatte
einschalten.
Woo, wie willst du verhindern, dass jemand den PC von einem CDROM oder
einer anderen Festplatte bootet, die er einfach dazusteckt?
Per BIOS vielleicht? Und wie verhinderst du, dass der Angreifer das
BIOS einfach aendert? PAsswort? Wie verhinderst du, dass der Angreifer
dein Passwortgeschuetztes BIOS einfach durch eines ohne Passwort
austauscht? (Im Zweifel muss er dafuer halt auf dem Mainboard
herumloeten).
Post by Dirk OhmeUnd dann, der Klassiker: Rechner mit einem Kensington-Lock oder
anderen Verfahren fest mit der Umgebung verbinden. Denn - was
mechanisch gesichert ist, kann man nicht so leicht wegtragen.
Kensington-locks (die ich selbst kategorisch verwende) schuetzen nur
gegen Gelegenheitsmitnehmer, nicht aber gegen gezielten Diebstahl.
Es ist trivial die meisten Schloesser zu knacken (Die Papprolle von
Klopapier reicht fuer die Rundschluesselkensingtons, bei den neueren
braucht man zusaetzlich noch einen Metallhaken wie er an Schweizer
Taschenmessern bestimmter Modellreihe zu finden ist.) Die
Zahlenschloesser sind ein Witz und in weniger als 1 Minute offen.
BTDT.
Und wenn es dem Angreifer nicht auf die aeussere Unversehrtheit
des Notebookgehaeuses ankommt, bricht er das Schloss einfach ab.
Auch das geht, auch wenn das einzige mal, wo ich das beobachten
konnte, ein Unfall war.
Post by Dirk OhmePost by Hanno FoestGute Verteidigungsstrategien gegen derartige Angriffe würden
mich mal interessieren.
Die Frage ist doch auch: Wieso kann der PC gestohlen werden? Durch
welche Umstände ist die Hardware schutzlos dem widerrechtlichen
Abtransport ausgesetzt? Kann man an diesen Umständen was ändern?
Bei Notebooks, die man in Aussendienst mit herumschleppt ist das nicht
durch technische Mittel verhinderbar. Es ist erschwerbar
(Kensington-Lock), aber nicht zu verhindern. Zumindest im realen
Alltag.
Post by Dirk OhmePost by Hanno FoestAngesichts der von dir genannten Zeiten muß ich zugeben,
die Gefahren eines derartigen Angriffs bisher unterschätzt
zu haben. Danke für die Info.
Für mich stellt sich da eher die Frage, ob man in manchen Bereichen
nicht die Messlatte zu hoch ansetzt. Wenn ich große Teile des
Betriebssystems anschaue, dann sehe ich darin keinen Grund, diese zu
verschlüsseln, weil allgemein bekannt. Vielleicht sollte man die Daten
trennen in Klassen und nicht gleich alles mit *EINEM* Schlüssel
verschlüsseln.
Wie gesagt: Das eigentliche Betriebssystem muss nicht verschlüsselt
sein, genauso wenig installierte Programme. Es geht vornehmlich um
Daten. Und hier wäre zu überlegen, ob man nicht den Schutz auf "per
Zugriff" definiert, ggfs. unterstützt durch externe Hardware, die man
*IMMER* bei Verlassen des Gerätes abzieht.
Ansonsten denke ich bei der Mehrzahl der Anwender, dass jede dieser
Maßnahmen doch letzten Endes zu einem Aufschrei führen wird "Hilfe,
meine Platte ist gecrasht, Backup ist x Monate alt - wie komme ich an
meine Daten?" ;-)
Du hast das OP durchgelesen? Hier geht es nicht darum, was
verschluesselt wird oder nicht, sondern um einen bestimmten Angriff
gegen real existierende Verschluesselungsimplementierungen, die was mit
der Nicht-Fluechtigkeit von Datenstrukturen im RAM eines PCs zu tun
haben, insbesondere des symmetrischen Schluessels.
Deine Ausfuehrungen, so zutreffend sie sein moegen, gehen an diesem
Thema voellig vorbei.
Juergen
--
Juergen P. Meier - "This World is about to be Destroyed!"
end
If you think technology can solve your problems you don't understand
technology and you don't understand your problems. (Bruce Schneier)