14
Hardwareangriff auf ausgeschalteten Laptop mit Bitlocker Full Disk Encrypotion
Moin,
Wer bisher der Meinung war, daß Bitlocker Full-Disk Encryption mit TPM "sicher" ist, sollte sich mal diesen Twitter-Thread durchlesen, um aus dieser Illusion gerissen zu werden:
https://twitter.com/SecurityJon/status/1445020890555691012
Digest: Da wird vorgeführt, wie man vorgehen würde, um einem CEO die Geheimnisse zu entreißen und einen Trojaner unterzujubeln, während er an der Hotelbar "abgelenkt" ist.
lks
Wer bisher der Meinung war, daß Bitlocker Full-Disk Encryption mit TPM "sicher" ist, sollte sich mal diesen Twitter-Thread durchlesen, um aus dieser Illusion gerissen zu werden:
https://twitter.com/SecurityJon/status/1445020890555691012
Digest: Da wird vorgeführt, wie man vorgehen würde, um einem CEO die Geheimnisse zu entreißen und einen Trojaner unterzujubeln, während er an der Hotelbar "abgelenkt" ist.
lks
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 1346636422
Url: https://administrator.de/contentid/1346636422
Printed on: April 27, 2024 at 02:04 o'clock
14 Comments
Latest comment
Ja, ohne Preboot authentication ist das halbwegs einfach, das ist lange bekannt.
1
Ich fürchte fast, egal wie es um die Sicherheit bestellt ist, dass die Schwachstelle der Bediener sein wird.
Würde man den CEO irgendwo abpassen, ihm ne Knarre an den Schädel...
...und schon geht sie dahin, die Verschlüsselung.
Würde man den CEO irgendwo abpassen, ihm ne Knarre an den Schädel...
...und schon geht sie dahin, die Verschlüsselung.
Uff - ganz ehrlich, um bei nem Hotel in den Rechner zu kommen den Aufwand? Zumal es wohl auch keinen wundern würde wenn man einfach mal beim HM im Office rumtobt, da am Laptop rumlötet,... Ja ne, is klar... Da würde man einfach direkt dem am Front-Office die Kohle geben und SEINEN Account dafür bekommen, ohne Löten, ohne alles.. Und da natürlich die Rezi an die Gast-Daten kommen muss (sonst wäre z.B. Zahlen mit Kreditkarte schwer) wäre das Ding damit durch...
Mal ernsthaft - heute so nen Angriff? Der muss schon sehr speziell sein. Denn für gewöhnlich geht man einfach über die Mitarbeiter (z.B. "können Sie mir das Flugticket mal ausdrucken" mit ner präperierten PDF...) und macht sich nich den Aufwand um da lange im Office rumzutoben....
Mal ernsthaft - heute so nen Angriff? Der muss schon sehr speziell sein. Denn für gewöhnlich geht man einfach über die Mitarbeiter (z.B. "können Sie mir das Flugticket mal ausdrucken" mit ner präperierten PDF...) und macht sich nich den Aufwand um da lange im Office rumzutoben....
Viel zu aufwendig und zeitraubend. Das geht schneller mit einer einfachen Zeichenfolge, z.B. Heckler&Koch oder Smith&Wesson 
Zitat von @beidermachtvongreyscull:
Ich fürchte fast, egal wie es um die Sicherheit bestellt ist, dass die Schwachstelle der Bediener sein wird.
Würde man den CEO irgendwo abpassen, ihm ne Knarre an den Schädel...
...und schon geht sie dahin, die Verschlüsselung.
Ich fürchte fast, egal wie es um die Sicherheit bestellt ist, dass die Schwachstelle der Bediener sein wird.
Würde man den CEO irgendwo abpassen, ihm ne Knarre an den Schädel...
...und schon geht sie dahin, die Verschlüsselung.
Für sowas gibts Verschlüsselungen mit Plausible Deniability
Zitat von @NetzwerkDude:
Für sowas gibts Verschlüsselungen mit Plausible Deniability
Zitat von @beidermachtvongreyscull:
Ich fürchte fast, egal wie es um die Sicherheit bestellt ist, dass die Schwachstelle der Bediener sein wird.
Würde man den CEO irgendwo abpassen, ihm ne Knarre an den Schädel...
...und schon geht sie dahin, die Verschlüsselung.
Ich fürchte fast, egal wie es um die Sicherheit bestellt ist, dass die Schwachstelle der Bediener sein wird.
Würde man den CEO irgendwo abpassen, ihm ne Knarre an den Schädel...
...und schon geht sie dahin, die Verschlüsselung.
Für sowas gibts Verschlüsselungen mit Plausible Deniability
Oder "die Firma" ist schlimmer als alles, was Dir die Ganoven antun können.
lks
1Zitat von @DerWoWusste:
Ja, ohne Preboot authentication ist das halbwegs einfach, das ist lange bekannt.
Ja, ohne Preboot authentication ist das halbwegs einfach, das ist lange bekannt.
Natürlich ist das bekannt, aber ich wollte nur den "Frischlingen" eine Hinweios geben, wie sowas funktioniert, bevor sie zu sehr auf Ihren Biltocker vertrauen.
lks
Alles eine Frage der richtigen Datenverschliessung.
Folgend ein kleiner Lösungsvorschlag. 🤪
Wünsche allen einen schönen und erfolgreichen Mittwoch.
Alex
Folgend ein kleiner Lösungsvorschlag. 🤪
Wünsche allen einen schönen und erfolgreichen Mittwoch.
Alex
1
Es zeigt sich ein weiteres Mal, dass alles, was sich auf Hardwaree (TPM & Co.) stützt, letztlich einer scheinbaren Sicherheit anheimfällt. Sobald der CEO diesen Komfort bekommt, wird das Scheunentor weit geöffnet.
Zwar ist auch die Alternative VeraCrypt nicht vor einem bestimmten physischen Angriffsmuster gefeit: Der Herrscher der Hardware ist letztlich auch der Herrscher der Software! Aber die PBA verzichtet auf die Einbeziehung von irgendwelchen (zweifelhaften) Chips, die von US-Unternehmen hergestellt und von BitLocker (von einem kooperierenden US-Unternehmen) genutzt werden. Und was "US-Unternehmen" in diesem Zusammenhang bedeutet, kann sich jeder selbst ausmalen ...
Wegen der Verfügbarkeit solcher Anleitungen im Netz, sind zum Knacken nicht nur Geheimdienste in der Lage. Eigentlich kann es dadurch selbst der größte DAU.
Viele Grüße
HansDampf06
Zwar ist auch die Alternative VeraCrypt nicht vor einem bestimmten physischen Angriffsmuster gefeit: Der Herrscher der Hardware ist letztlich auch der Herrscher der Software! Aber die PBA verzichtet auf die Einbeziehung von irgendwelchen (zweifelhaften) Chips, die von US-Unternehmen hergestellt und von BitLocker (von einem kooperierenden US-Unternehmen) genutzt werden. Und was "US-Unternehmen" in diesem Zusammenhang bedeutet, kann sich jeder selbst ausmalen ...
Wegen der Verfügbarkeit solcher Anleitungen im Netz, sind zum Knacken nicht nur Geheimdienste in der Lage. Eigentlich kann es dadurch selbst der größte DAU.
Für sowas gibts Verschlüsselungen mit Plausible Deniability
Erfordert aber eine doppelte Verschlüsselung: Container im Container. Außerdem darf dann im Desktop des CEO kein automatisches "Sesam öffne dich!" herumlungern.Viele Grüße
HansDampf06
Zitat von @HansDampf06:
Für sowas gibts Verschlüsselungen mit Plausible Deniability
Erfordert aber eine doppelte Verschlüsselung: Container im Container.Nicht zwingend. Es kommt meiner Meinung darauf an, ob man verborgene Daten auf einem Datenträger vermutet. Es gab mal ein sehr interessantes Steganografie-Tool namens DeepSound 2.0.
Damit war es möglich, Daten in Audiodateien zu verstecken. Die konnte man dann zu Audio-CDs brennen und die Daten auch später wieder rückkonvertieren.
Wenn Du auf einer als Audio-CD gebrannten Scheibe sowas nicht vermutest, suchst Du nicht danach. Und in den Dateien selbst fielen die Daten nicht auf, wenn man nicht wusste, wie man danach sucht.
Daten in Audiodateien zu verstecken
O.k. Diese Variante kannte ich noch nicht.Aber wie sieht das mit der Nutzbarkeit im laufenden Betrieb aus? Auf einen verschlüsselten Container greife ich nach seiner Entsperrung ganz normal wie auf ein Laufwerk zu - gleichsam einem USB-Stick, Netzlaufwerk etc. Ist das Verstecken in Audiodateien demgegenüber nicht eher statisch?
Die Handhabbarkeit ist schwieriger, der Transport wäre meiner Ansicht nach sicherer.
Aber nach meinem Dafürhalten ist es mit Sicherheit noch immer so gewesen, dass wenn sie einfach ausgelegt ist, sie meistens nichts taugt. Wenn man für Sicherheit aber "etwas tun muss" (Mehr Aufwand betreiben), ist die Wahrscheinlichkeit größer, dass sie schwieriger auszuhebeln ist.
Aber nach meinem Dafürhalten ist es mit Sicherheit noch immer so gewesen, dass wenn sie einfach ausgelegt ist, sie meistens nichts taugt. Wenn man für Sicherheit aber "etwas tun muss" (Mehr Aufwand betreiben), ist die Wahrscheinlichkeit größer, dass sie schwieriger auszuhebeln ist.
Da hast die wahrlich Recht und bei einem CEO wird mehr Aufwand schwieriger vermittelbar sein, weil er doch so emsig arbeitet und schwer beschäftigt ist.
Gleichwohl denke ich, dass sich - um bei dem Beispiel VeraCrypt zu bleiben - ein erhöhtes Maß an Sicherheit und eine relativ leichte Handhabbarkeit nicht zwingend ausschließen müssen. Den Mehraufwand sehe ich in diesem Fall beispielsweise darin, keine Schlüsseldateien, automatischen Scripts oder dergleichen zu verwenden, sondern immer schön per Hand ... Aber wahrscheinlich ist das dem Großteil der User zu mühsam.
Gleichwohl denke ich, dass sich - um bei dem Beispiel VeraCrypt zu bleiben - ein erhöhtes Maß an Sicherheit und eine relativ leichte Handhabbarkeit nicht zwingend ausschließen müssen. Den Mehraufwand sehe ich in diesem Fall beispielsweise darin, keine Schlüsseldateien, automatischen Scripts oder dergleichen zu verwenden, sondern immer schön per Hand ...
Aber wahrscheinlich ist das dem Großteil der User zu mühsam.
Moin HansDampf06,
Mit TrueCrypt kannst du die Daten auch in einem Videocontainer verstecken.
Da fallen vor allem grössere verschlüsselte Daten nicht gleich so auf wie bei einer Audio Datei.
Details siehe
https://stadt-bremerhaven.de/fur-paranoide-truecrypt-container-in-einem- ...
Das entsprechende Video kannst du mit TrueCrypt dann ganz normal als Laufwerk mounten. 🤪
Beste Grüsse aus BaWü
Alex
O.k. Diese Variante kannte ich noch nicht.
Mit TrueCrypt kannst du die Daten auch in einem Videocontainer verstecken.
Da fallen vor allem grössere verschlüsselte Daten nicht gleich so auf wie bei einer Audio Datei.
Details siehe
https://stadt-bremerhaven.de/fur-paranoide-truecrypt-container-in-einem- ...
Aber wie sieht das mit der Nutzbarkeit im laufenden Betrieb aus? Auf einen verschlüsselten Container greife ich nach seiner Entsperrung ganz normal wie auf ein Laufwerk zu - gleichsam einem USB-Stick, Netzlaufwerk etc. Ist das Verstecken in Audiodateien demgegenüber nicht eher statisch?
Das entsprechende Video kannst du mit TrueCrypt dann ganz normal als Laufwerk mounten. 🤪
Beste Grüsse aus BaWü
Alex