[HaBo]

egxone

Anzeige

Hallo,

also ich habe vor 1/2 Jahr mein neues Firmen Notebook bekommen da mein altes am Flughafen abhanden gekommen ist. Da auch Daten auf meinem Notebook gespeichert sind die für die Firma sehr wichtig sind und keine 3 lesen sollen hat unsere EDV DriveCrypt installiert. Da ich mir aber die Passwoerter schlecht merken kann da ich es selten ausmache, wollte ich diese auf meinem "usb stick" speichern. Nun meine Frage wenn ich meine Platte gemountet habe und den "usb-stick" rausziehe koennte man noch die Passwoerter wiederherstellen?


Gruß

Elderan

Hallo,
sofern die Passwörter noch in RAM abgespeichert sind, wäre dies theoretisch möglich.


Aber es gibt eine bessere Lösung, als PWs auf einem Stick abzuspeichern.
Verwende doch den Stick als Token. Der Stick enthält dann z.B. ein Zertifikat, einen Key o.ä., aber die Daten können nur entschlüsselt werden, wenn der Token (USB-Stick) vorhanden ist und wenn du das richtige Passwort eingibst. Und dort muss das Passwort dann nicht extrem sicher sein (also besser merkbar), denn ein Dieb braucht Passwort und den Token um an die Daten zu kommen.

Viele Programme unterstützen diesen doppelten Mechanismus bereits.


Aber pass dann auf den USB Stick auf. Es muss sicher gestellt sein, dass du auch weiterhin an die Daten kommst, wenn der Stick verloren oder kaputt geht.
Also sollte der Key oder das Zertifikat am besten zusätzlich noch auf einem Read-Only Medium (CD) gespeichert sein, welches dann im Firmen-Threosor eingeschlossen ist.

egxone

Hatte ich auch schon drueber nachgedacht würde aber am liebsten mein "usb-stick" nutzen. Wenn ich das Notebook abschalte duerfte doch der Ram leer sein oder?


gruß

Elderan

Hallo,
bei normaler Nutzung des RAMs schon.

Aber es gibt da noch 2 Probleme:
1. Windows lagert RAM zeitweise auf der Festplatte aus um so den verfügbaren Ram zu erhöhen (und die Auslagerungsdatei wird beim Shutdown nicht überschrieben).

2. Ein Problem könnte der Ram-Slack sein.


Ob dies wirklich ein mögliches Angriffsszenario ist, kann ich nicht sagen, da ich nicht weiß, wie tief sich DriveCrypt in dein System schleust.

Wenn es einfach auf Windows aufsetzt, dann wären beide Versionen problematisch. Hängt es sich aber zwischen Windows und deiner Festplatte ein und ver/entschlüsselt alle Zugriffe auf die Festplatte, dann wäre auch der abgespeicherte RAM Inhalt verschlüsselt.


Dennoch würde ich die Gefahr nicht so hoch einschätzen. Denn
1. Der Angreifer braucht doch einen guten PC-Kentnissstand
2. Er muss wissen, wonach er überhaupt sucht
3. Er muss unter den vielen Megabytes des RAM Inhaltes die paar Bytes suchen, die dein Passwort belegt hat (Stecknadel im Heuhaufen)
4. Nr. 3 führt dazu, dass das doch sehr Zeitaufwendig ist
5. Die paar Bytes im RAM mussten das Pech haben, von Windows zwischengespeichert zu werden


Der normale Dieb würde solch einen Aufwand also eigentlich nicht betreiben.

egxone

Das ist ja gut. Wenn ich jetzt das Notebook ausschalte wird doch aber der Ram "gelöscht" oder kann der die Daten auch ohne Spannung speichern?


Gruß

heinzelJacKy

wenn du das notebook komplett ausgeschaltet hast (also kein ruhezustand, standby etc. ) dann wird der ram-inhalt gelöscht, da diese daten nach unterbrechung der stromzufuhr verloren gehen. das einzige problem sind dann die von elderan schon angesprochenen punkte der speicherauslagerung auf die festplatte.
also wenn du nicht von einem gezielten diebstahl ausgehen musst, der es auf die sensiblen daten deiner firma abgesehen hat dann musst du dir keine sorgen machen und selbst wenn jemand es darauf anlegt, diese daten aus dem gecryptetem laufwerk zu kriegen hat er eine ziemlich geringe erfolgschance..

mfg

Elderan

Hallo,
also wenn der Rechner sehr sehr lange ununterbrochen läuft, z.B. ein Server, und dieser seit dem Starten einen bestimmten Wert im RAM gespeichert hat, z.B. einen private Key, dann kann man diesen auch noch nach dem Shutdown auslesen.
Denn der Zustand brennt sich praktisch im RAM ein und mit spezial Werkzeugen könnte man das wieder auslesen.
Ähnlich wie eine Bildröhre die mehrere Monate das gleiche Bild zeigt. Nach der Stromabschaltung ist das Bild immer noch zu erkennen.

Deswegen sollten Banken ihre gebrauchten RAM (von Servern) nicht verkaufen sondern zerstören.

Da aber dein Notebook wahrscheinlich nicht mehrere Jahre am Stück läuft, wird das bei dir nicht passieren und ich denke mal das die wenigsten Angreifer spezielle Werkzeuge haben, um einzelne Speicherzellen in einem RAM auszulesen.

Siehe dazu:
A serious weakness of DES von Anderson R.

egxone

Ja cool ne diese Auslagerungsdateien sind abgeschaltet. Außerdem ist das Os auch verschluesselt.

danke für eure antworten