[HaBo]

Blackbird++

Anzeige

Hallo,

ich habe mir vorgenommen meinen Laptop möglichst sicher zu machen, als kleines Freizeitprojekt. Sicher gegen sowohl feindliche Übernahme als auch gegen Datenzugriff.
Softwareseitig fühle ich mich mit OpenBSD schon relativ sicher.

Was mir im Moment am meisten Kopfzerbrechen bereitet ist folgendes Szenario (Anmerkung: Da ich das ja nur zum Spaß mache, ziehe ich auch die unrealistischsten Szenarien in Betracht ):
In meiner Abwesenheit macht sich jemand mit höchsten technischen Möglichkeiten an meinem Laptop zu schaffen. Gegen Manipulation der Sicherheitsmechanismen kann ich mich ja mit "full disk encryption" ganz gut schützen. Aber wie sieht das mit Hardware-Keyloggern aus?
1. Derjenige baut einen Notebook-HW-KL in meine Tastatur ein.
2. Derjenige baut mein (passwortgeschütztes) BIOS aus, wendet einen Firmware-Patch an und baut es wieder ein.
Wie kann ich mich dagegen am besten schützen?

Das Problem bei einem zufälligen dynamischen PW ist ja, dass ich mir das kaum merken kann. Gibts noch andere Möglichkeiten?

Und natürlich, seht ihr noch andere Schwachstellen, die ich noch gar nicht auf dem Zettel habe?

Mfg Blackbird++

xrayn

Sich gegen offline-Attacken zu währen ist generell schwierig und dies mit Software zu erreichen, eigentlich unmöglich. Was du machen kannst, ist dein Rechner mit Siegeln zu versehen und diese jedes mal zu überprüfen, wenn du deinen Laptop alleine gelassen hast. Weiter solltest du dein Laptop nie im angeschalteten oder Standby Zustand alleine lassen. Um sicher zu gehen, dass niemand den RAM ausliest, am Besten immer nach dem herunterfahren vom Strom trennen und 2-3 Minuten warten. Achja und vor allem auf vor dem Start auf externe Devices untersuchen.

bitmuncher

Baue vor jeder Benutzung dein Notebook auseinander und schau nach ob irgendwas verändert wurde.

Lasse dein System jedes Mal die Checksumme eines aktuellen BIOS-Dumps mit einer unter sicheren Umständen gespeicherten Checksumme vergleichen.

Setze dir irgendwo einen eigenen Kerberos-Server oder ein System für One-Time-Passwords auf.

__________________

end4win

Quecksilberschalter und C4 ist die harte Variante,
ein Haar auf der Tischplatte fixieren und das andere Ende durch den Spalt
zwischen Laptop und Display, für Weicheier.
Vergiss nicht dir ein EPM-Gerät anzuschaffen die heutigen Kameras und Wanzen
sind kaum noch zu finden.

Gruss

__________________

Blackbird++

@ xrayn: Um einen HW-Keylogger beim Laptop zu installieren, muss man ihn doch aufschrauben oder? geht das von "oben"? Ansonsten, weist du wo man geeignete Siegel herbekommt?
Wachs ist ja wohl nicht richtig sinnvoll. Es soll ja auch fälschungssicher sein.
Gute Idee!Ich will das ganze aber auch offline benutzen können.
lol.

jemo.

Zu den OTP: da wäre vielleicht ein Yubikey was für dich. Der funktioniert afaik sowohl mit Linux und BSDs, als auch mit Windows und sogar per ssh.

Sven

Es gibt solchen Schrauben Sicherungslack, auch Siegellack genannt:
Sicherungslack rot Spritze 10ml - Herst.-Teile-Nr.: BLR10SL bei Mercateo günstig kaufen

Davon etwas auf jede Schraube, wenn jemand versucht sie zu öffnen splittert dieser Lack und du hast den Nachweis, dass wer drann war.
Musst du natürlich kontrollieren

__________________
Mein Portfolio
Meine Fotogalerie
best view with open eyes

xrayn

So etwas gibt es schon lange und ist in vielen Laptops schon eingebaut: TPM (static root of trust /srtm) und TXT/trusted Boot (zb tboot) sind Stichwörter.

killgenerals

Man könnte noch nen USB-Stick mit dynamischem Passwort als Schlüssel nutzen. Zusätzlich softwareseitig ein Passwort und für die ganz paranoiden: vernünftig eingebauter Fingerabdruckscanner und Gesichtserkennung mit der Webcam. Wenn ein einziger Faktor nicht stimmt: kein Zugriff.

Oh und ein Szenario hast du glaube ich übersehen: jemand installiert eine virtuelle Maschine auf deinem Rechner und lässt sie exakt deine normale Hardware virtuell verwenden, sodass du nichts merkst. Diese Maschine kann dann alles abgreifen was du eintippst und jede Form von Verschlüsselung effektiv verhindern indem sie die nur simuliert. Merken tust du nur was, weil dein vorher verschlüsselte Festplatte plötzlich formatiert ist

Vielleicht gibt es auch Wächterkarten für den PCMCIA-Slot ... Dann kann man auch nichts im Bios machen, und kommt nicht an die Festplatte(n) dran. Auch ein Ausbau der Karte hilft nichts, weil sie dann den PC komplett blockiert
Wäre jetzt der einzige Schutz der mir gegen eine virtuelle Maschine schützt. Aber hey ... mittlerweile bewegen wir uns auf einem so hohen Paranoia Level, dass jemand, der den ganzen Aufwand treibt, es vermutlich leichter hätte dich samt Laptop zu entführen und dich zu zwingen die Daten rauszurücken

Blackbird++

Ich denke das wichtigste ist erstmal die Versiegelung.
1. Siegellack oder Aufklebe-Siegel?
2. Wie fälschungssicher? Derjenige könnte ja zufällig auch roten Siegellack mithaben. Oder er spioniert vorher erstmal und bestellt ein gleiches Aufklebe-Siegel.
3. Zum Aufklebe-Siegel: Wie funktioniert das auf Notebook-Plastik? Kann es von alleine abgehen, oder gehen die Restbestände nie mehr ab? <-- Erfahrungsbericht??

xrayn

Wie kommst du eigentlich zu der Annahme, dass CPU oder andere Hardwarekomponenten nicht mit einer Backdoor ausgeliefert wurden?

Was deine restlichen Sorgen angeht, wenn jemand wirklich einen solchen Aufwand betreibt und dich Wochenlang ausspioniert, wird es eher so laufen:

end4win

Also bei dem von dir entworfenen Szenario wirst du mit handelsüblichen Techniken
scheitern. Bei solcher Paranoia würde ich einfach das Gehäuse grosszügig mit Sekundenkleber
sichern, so dass ein Öffnen ohne sichtbare Beschädigung nicht mehr möglich ist.
Allerdings würde ich mir in diesem Fall, wesentlich mehr Gedanken über den Schutz
meiner Wohnung/Zimmers machen, zumal jede getroffene Massnahme hier auch den Laptop schützt.

Gruss

__________________

enkore

Schon überlegt, einfach das Mobo vom Laptop mit Epoxidharz zu "versiegeln"?

__________________

"It is the human race! The deterioration of the spirit of man. Man undermining himself, causing a self-willed, self-imposed, self-evident self-destruction."

+++ BREAKING +++ Troll ertrinkt im Planschbecken +++

Inliferty

Don't forget the good old Van-Eck-Phreaking

Van-Eck-Phreaking

enkore

Kunststoffgehäuse von innen mit EMV-Schirmlack beschichten, Sache gegessen.

__________________

"It is the human race! The deterioration of the spirit of man. Man undermining himself, causing a self-willed, self-imposed, self-evident self-destruction."

+++ BREAKING +++ Troll ertrinkt im Planschbecken +++