Angenommen BKA will einen spionieren

Skorpion · Mrz 3, 2012

Kann dass BKA eigentlich alles Hacken?

Angenommen, eine Person wurde schon mal straffällig,
und der Verdacht besteht weiter, dass diese Person weiter ein Unwesen im Internet treibt.

Diese Person ( nein, nur angenommen, nicht ich! Will nur wissen, was die wirklich können )
installiert jetzt seinen Rechner neu. Macht sich einen Admin Profil, und ein normales Profil.
Sichert diese mit Soft- und Hardware Firewalls ordentlich ab, und surft nur auf
seriösen Seiten. Scripte sind nicht erlaubt, LSO Cookies werden sogar schnellstens immer entfernt.
Soweit so gut, das BKA kann sich ja Auskunft holen, bei welchem Provider man unterwegs ist, und dann dementsprechend "die Rechte Verschaffen" den ganzen Traffic abfangen.
Schaffen die es dann auch sich so Zutritt zum OS zu verschaffen?

xrayn · Mrz 3, 2012

Ja, sobald sie physikalischen Zugang zu diesem Rechner hatten.

Chef32 · Mrz 3, 2012

Also ich würde sagen, daine Angst ist unbegründet. Bevor irgendeine Behörde Telefonate oder sosnt etwas aussiponiert, muss das zuerst ein mal ein Gericht "absegnen" - dies wird in seltenen Fällen der Fall sein. Einen Trojaner, der oft genannte "Bundestrojaner" muss erst auf deinem Rechner installiert werden, das heißt, es geht nicht so einfach. Du musst z.B. eine E-Mail annehmen, in der sich ein Anhang befindet, welcher der Trojaner ist. Du musst ihn ausführen, erst dann kann man auf deinen Rechner zugreifen. FErner würde es auch über eine gefakte Seite gehen, auf der dann Schadcode ausgeführt werden kann - doch ich denke, mti dieser Option arbeitet nicht unbedingt eine Bundesbehörde. Sollte eine Behörde so etwas ohne richterlichen Beschlus machen (das kam schon vor), sind in so gut wie allen Fällen ALLE gesammleten Daten, Beweise etc.gegenstandslos.

bei welchem Provider man unterwegs ist, und dann dementsprechend "die Rechte Verschaffen" den ganzen Traffic abfangen.

Das geht, auch aus rechtlicher Sicht, nicht ohne Weiteres.

Ein Konto ohne Adminrechte sind immer empfehlenswert. So wie du es vor hast, kannst du dir so gut wie ausgeschlossen einen Trojaner auf den Rechner laden (wenn du alles beachtetst und nicht alles anklickst).

Skorpion · Mrz 3, 2012

xrayn hat gesagt.:
Ja, sobald sie physikalischen Zugang zu diesem Rechner hatten.

Und wie kann dass passieren?

Chef32 hat gesagt.:
Also ich würde sagen, daine Angst ist unbegründet. Bevor irgendeine Behörde Telefonate oder sosnt etwas aussiponiert, muss das zuerst ein mal ein Gericht "absegnen" - dies wird in seltenen Fällen der Fall sein. Einen Trojaner, der oft genannte "Bundestrojaner" muss erst auf deinem Rechner installiert werden, das heißt, es geht nicht so einfach. Du musst z.B. eine E-Mail annehmen, in der sich ein Anhang befindet, welcher der Trojaner ist. Du musst ihn ausführen, erst dann kann man auf deinen Rechner zugreifen. FErner würde es auch über eine gefakte Seite gehen, auf der dann Schadcode ausgeführt werden kann - doch ich denke, mti dieser Option arbeitet nicht unbedingt eine Bundesbehörde. Sollte eine Behörde so etwas ohne richterlichen Beschlus machen (das kam schon vor), sind in so gut wie allen Fällen ALLE gesammleten Daten, Beweise etc.gegenstandslos.

Das geht, auch aus rechtlicher Sicht, nicht ohne Weiteres.

Ein Konto ohne Adminrechte sind immer empfehlenswert. So wie du es vor hast, kannst du dir so gut wie ausgeschlossen einen Trojaner auf den Rechner laden (wenn du alles beachtetst und nicht alles anklickst).

Na komm...
ein OS ist doch nicht unknackbar...
Wenn ich jetzt ein System neu aufsetze, ans Internet anschließe,
und dann angenommen meine IP Preisgebe, muss es doch irgendwo Lücken etc geben,
wo die sich Zugriff verschaffen "könnten"

Sei es Linux oder Windows, dass kann doch nicht von Haus aus unknackbar sein.
Lassen wir mal diese ganzen Trojaner, Phishing etc. weg.
Auch keine Updates von Microsoft, wo man was mit "unterjubeln" könnte.
Das System kann doch nicht so "sicher" sein.

xrayn · Mrz 3, 2012

Skorpion hat gesagt.:
Und wie kann dass passieren?

zB am Flughafen "entschuldigen Sie, wir müssen ihren Tasche (inkl. Laptop) genauer untersuchen, es handelt sich dabei um eine Stichprobe zu der wir verpflichtet sind, wir bitten die Unannehmlichkeiten zu entschuldigen..." oder der Besitzer geht einkaufen und Polizei hat n ruhiges Stündchen alleine mit dem PC.

Skorpion hat gesagt.:
Sei es Linux oder Windows, dass kann doch nicht von Haus aus unknackbar sein.
Lassen wir mal diese ganzen Trojaner, Phishing etc. weg.
Auch keine Updates von Microsoft, wo man was mit "unterjubeln" könnte.
Das System kann doch nicht so "sicher" sein.

Doch. Wenn du nicht gerade eine Atombombe bauen willst, wird keine Organisation der Welt eine/mehrere 0day, welche mehrere 100k Euro Wert ist/sind, aufwenden, nur um in dein PC einzubrechen. Aufmerksamen Beobachtern müsste aufgefallen sein, dass in den letzten 10 Jahren der Trend, um Benutzer zu infizieren, schlagartig zu Social Engineering gewechselt ist. Das hängt nun einmal damit zusammen, dass es keine bekannte Remoteexploits für Windows gibt.

odigo · Mrz 3, 2012

Skorpion hat gesagt.:
ein OS ist doch nicht unknackbar...
Wenn ich jetzt ein System neu aufsetze, ans Internet anschließe,
und dann angenommen meine IP Preisgebe, muss es doch irgendwo Lücken etc geben,
wo die sich Zugriff verschaffen "könnten"

Sei es Linux oder Windows, dass kann doch nicht von Haus aus unknackbar sein.
Lassen wir mal diese ganzen Trojaner, Phishing etc. weg.
Auch keine Updates von Microsoft, wo man was mit "unterjubeln" könnte.
Das System kann doch nicht so "sicher" sein.

Du lebst in einer Traumwelt. Du glaubst anscheinend immer noch ein Super-Hacker-Tool womit man auf Knopfdruck mit Hilfe der IP-Adresse jedes System knackt. Ein System "knacken" kann von der Theorie her überhaupt nur klappen wenn ein Dienst der auf dem Ziel-PC läuft eine dem Angreifer bekannte Sicherheitslücke hat die sich dazu ausnützen lässt. Ich und eigentlich alle in meinem Bekanntkreis (du und der Rest der Welt wahrscheinlich auch) gehen mittels eines Routers ins Internet. Basiswissen Netzwerktechnik: Einen Dienst bzw. dessen Port auf einem PC kann man vom Internet aus nur erreichen wenn man den entsprechenden Port forwarded. Per default forwarded ein Router überhaupt keinen Port. Ergo, kein Port forwarding -> kein Dienst (der noch dazu eine Sicherheitslücke haben muss und auch laufen muss) erreichbar -> System auf diese Weise unknackbar.
Du kannst jederzeit meine IP-Adresse haben. Ich wünsch dir dabei viel Spaß.
Ein System ist m.E. nur angreifbar wenn der User der davor sitzt die Türe aufmacht, sich also einen Trojaner unterjubeln lässt.
Hältst du dich für so wichtig daß das BKA zig tausende Euros investiert um dich auszuschnüffeln? Wohl eher nicht.

Chef32 · Mrz 3, 2012

Und wie kann dass passieren?

Sobald jemand unbeaufsichtigt an deinen Rechner geht und entsprechende Spinagesoftware installiert. Dazu muss diese evtl. noch in der Firewall "zugelassen" werden.

Na komm...
ein OS ist doch nicht unknackbar...

Was verstehst du unter "unknackbar"?

und dann angenommen meine IP Preisgebe, muss es doch irgendwo Lücken etc geben,
wo die sich Zugriff verschaffen "könnten"

Dann könnte man eigentlich maximal mittels "Trace Route" oder deinen "Weg" verfolgen. Auf deinen Rechner zugreifen kann man deshalb trotzdem nicht. Es sei denn, du lässt einen Remoteverbidnung zu - wenn du das nicht tust, geht es wieder nicht oder jeamdn hat, wie bereits gesagt, physischen Zugriff auf deinen Rechner. Ferner wird dir aufgrund der Zwangstrennung alle 24 Stunden eine neue IP zugewiesen - solltest du nicht bei einem Kabelanbieter sein.

Einen Server könnte man angreifen und sich Zugriuff verschaffen, aber du bist immer hinter einem Router/Modem, sodass das nicht funktionieren kann (zumindest ist mit im Momnet kein Beispiel bekannt).

Skorpion · Mrz 3, 2012

xrayn hat gesagt.:
zB am Flughafen "entschuldigen Sie, wir müssen ihren Tasche (inkl. Laptop) genauer untersuchen, es handelt sich dabei um eine Stichprobe zu der wir verpflichtet sind, wir bitten die Unannehmlichkeiten zu entschuldigen..." oder der Besitzer geht einkaufen und Polizei hat n ruhiges Stündchen alleine mit dem PC.

Ok, dass versteht sich. Aber ist dass wiederum nicht strafbar, wenn die da einfach einen Trojaner drauf spielen? Angenommen ich würde dass vor Ort kontrollieren und herausfinden. Kann ich die gleich deswegen Anzeigen etc?
( Neu aufgespieltes OS, ansonsten leerer PC, dürfte dann eigentlich zügig zu finden sein )

xrayn hat gesagt.:
Doch. Wenn du nicht gerade eine Atombombe bauen willst, wird keine Organisation der Welt eine/mehrere 0day, welche mehrere 100k Euro Wert ist/sind, aufwenden, nur um in dein PC einzubrechen. Aufmerksamen Beobachtern müsste aufgefallen sein, dass in den letzten 10 Jahren der Trend, um Benutzer zu infizieren, schlagartig zu Social Engineering gewechselt ist. Das hängt nun einmal damit zusammen, dass es keine bekannte Remoteexploits für Windows gibt.

In wie fern 0day? Was 100K Euro wert ist?
Das heißt ja schon wieder, dass die die Möglichkeiten haben, bzw. es die Möglichkeiten gibt, dass ein OS doch nicht 100% sicher ist.

"dass es keine bekannte Remoteexploits für Windows gibt."

gibt es die wirklich nicht, oder hat evtl. das BKA diese?

Chef32 · Mrz 3, 2012

Ok, dass versteht sich. Aber ist dass wiederum nicht strafbar, wenn die da einfach einen Trojaner drauf spielen?

Sofern es kein Richter genehmigt hat, selbstverständlich!

( Neu aufgespieltes OS, ansonsten leerer PC, dürfte dann eigentlich zügig zu finden sein )

Dieser Prozess läuft - wenn es richtig gemacht wird - im Hintergrund, sodass du nicht einmal im Taskmanager etwas sehen kannst. Du musst dazu eine Forensiktool wie z.B. Volatility (https://www.volatilesystems.com/default/volatility) nutzen, um das festzustellen. Da du solche Fragen stellst, wirst du wohl nicht dazu in der Lage sein, einen "Memory Dump" des RAM zu machen und diesen auszuwerten. Allerdings habe ich HIER einen interessanten Link für dich, bei dem genau das Auslesen des RAM erklärt wird. Du kannst dort viel lernen! Zu Trojanern etc. gibt es dort massenhaft Tutorials bzw. Videos.

Zero-Day-Exploit --> Exploit

Das heißt ja schon wieder, dass die die Möglichkeiten haben, bzw. es die Möglichkeiten gibt, dass ein OS doch nicht 100% sicher ist.

Nein, warum denn??

Ich und eigentlich alle in meinem Bekanntkreis (du und der Rest der Welt wahrscheinlich auch) gehen mittels eines Routers ins Internet. Basiswissen Netzwerktechnik: Einen Dienst bzw. dessen Port auf einem PC kann man vom Internet aus nur erreichen wenn man den entsprechenden Port forwarded. Per default forwarded ein Router überhaupt keinen Port. Ergo, kein Port forwarding -> kein Dienst (der noch dazu eine Sicherheitslücke haben muss und auch laufen muss) erreichbar -> System auf diese Weise unknackbar.

Es geht nicht! Und das, was du fragst, ist alles sehr sehr theoretisch. Ich meine, in der Theorie ist es auch möglich, dass einem ein Flugzeug auf den Kopf fällt - hast du jemals davon gehört?

gibt es die wirklich nicht, oder hat evtl. das BKA diese?

Würde es welche geben, hätten diese sicher schon Millionen von Entwickler auf der Welt gefunden, oder?

Abgesehen davon, am Beispiel des Bundestrojaners kannst du erkennen, wei stümperhaft die Regierung ihn eingesetzt hat und wie fehlerhaft er programmiert war - Kompetenz ist was anderes.

Skorpion, du solltest dir darüber keine Gedanken machen, es geht nicht!

https://www.volatilesystems.com/default/volatility

enkore · Mrz 3, 2012

Chef32 hat gesagt.:
Sollte eine Behörde so etwas ohne richterlichen Beschlus machen (das kam schon vor), sind in so gut wie allen Fällen ALLE gesammleten Daten, Beweise etc.gegenstandslos.

Das ist falsch. In Deutschland sind auch illegal erworbene Beweise erstmal beweiskräftig, sie müssen vom Richter im Verfahren erstmal explizit ausgeschlossen werden.

dwm · Mrz 4, 2012

ja, dein Zuhause sollte halt' auch abgesichert sein, also physisch mit einem guten Schloss. Ein TrueCrypt bootloader kann relativ einfach manipuliert werden, das sollte dir klar sein.

APROPO: gibts einen einfachen Weg unter Linux sektoren direkt zu schreiben? bspw indem man einen langen string aus einer file einließt, der den KDK beinhaltet und diesen dann einfach überschreibt, so dass kein Passwort mehr passt, bei der Pre-Boot-Auth?! Ich hänge daran derzeit...

EDITH: wie z.B. der Fall der Sauerland-Bande zeigte, sind die durchaus im Stande sich anscheinend einfach mal so (unbemerkt) Zutritt zu örtlichen Gegebenheiten zu verschaffen.

EDITH2: man kann sich auch mit zuckerwasser oder, etwas offensichtlicher, mit Wachs den Rechner absichern um die Sache zu erschweren.

EDITH3: anderenfalls würde es mich wirklich mal interessieren, inwieweit gegenmaßnahmen deinerseits dann letztendlich z.b als 'kriminelle energie' vor gericht als gewertet werden.

Chef32 · Mrz 4, 2012

Das ist falsch. In Deutschland sind auch illegal erworbene Beweise erstmal beweiskräftig, sie müssen vom Richter im Verfahren erstmal explizit ausgeschlossen werden.

Ich sprach auch davon, dass es so gut wie immer rechtswidrig ist. In ganz wenigen Fällen geht es allerdings, z.B. bei Terroristen - ansonsten ist dies nicht zulässig. Es gab erst kürzlich einen Fall, bei dem ein Mann in seinem Auto illegal abgehört wurde - er führte dort Selbstgespräche, in dem er einen Mord gestanden hatte. Der BHG hat dieses Urteil zurecht kassiert! Hier die Quelle --> Abhör-Urteil des BGH: Auch im Auto sind die Gedanken frei

Selbst wenn man die Beweise erst zulassen würde, ein Urteil ist immer anfechtbar und wird nicht bestehen können.

Auch wird im Normalfall dieser Beweis erst gar nicht zugelassen. Es gab genügend Berichte zum Einsatz des Bundesrojaners.

Chef32 · Mrz 4, 2012

@dwm

Ein TrueCrypt bootloader kann relativ einfach manipuliert werden, das sollte dir klar sein.

Wie kommst du darauf? Du müsstest VOR dem Installieren von True Crypt einen sogennaten Bootkit (z.B. "Stoned") installieren, ansonsten geht es nicht. Es wäre auch wieder ein physischer Zugroff nötig. Das steht auch hier--> Bootkit hebelt Festplattenverschlüsselung aus | heise Security

Mit einem neuen BIOS (EFI) geht es gar nicht!

dwm · Mrz 4, 2012

@chef32

du willst mir also sagen, dass es nicht möglich ist, die PRe-Boot-Auth per ""einfacher"" Modifikation umzuleiten, um so das Passwort eventuell beim ersten mal durch angeblicher Falscheingabe abzufangen? Auch gibt es dort schließlich noch genügend Platz für Modifikationen und TrueCrypt weist in seiner Software ausdrücklich darauf hin, das dieser Bootloader ansich nicht verschlüsselt werden kann bzw nicht verschlüsselt wird.

Chef32 · Mrz 4, 2012

Wenn du ein Fall kennst, darfst du die Quelle gerne posten. Mir ist jedenfalls kein Fall bekannt. Und, wie gesagt, wenn VOR der Installation von TC ein entsprechender Schadcode installiert ist, geht es, wie du meiner Quelle entnehmen kannst. Dafür muss aber der Schadcode vor der Eingabe aktiv werden. Wenn TC bereits installiert ist, geht es nicht - auch das steht ausdrücklich in der von mir zitierten Quelle.

Abgesehen davon kann man über eine FireWire Schnittstelle im laufenden Betrieb das Passwort auslesen, ferner mittels eines Memory Dump. Um diese Problematik zu umgehen, empfiehlt es sich die FireWire Schnittstelle zu deaktivieren. Ferner kann man bei ausbleibenden Schreib-/Lesevorgänge die Partitionen automatisch unmounten, sodass erneut das Passwort eingegeben werden muss.

xrayn · Mrz 4, 2012

Chef32 hat gesagt.:
Wenn du ein Fall kennst, darfst du die Quelle gerne posten. Mir ist jedenfalls kein Fall bekannt. Und, wie gesagt, wenn VOR der Installation von TC ein entsprechender Schadcode installiert ist, geht es, wie du meiner Quelle entnehmen kannst. Dafür muss aber der Schadcode vor der Eingabe aktiv werden. Wenn TC bereits installiert ist, geht es nicht - auch das steht ausdrücklich in der von mir zitierten Quelle

Ist schon vor Jahren geschehen: The Invisible Things Lab's blog: Evil Maid goes after TrueCrypt!

dwm · Mrz 4, 2012

@chef32

wo steht das bitte, dass das vor der true crypt installation geschehen muss?

@xrayn
ja, aber auch der tc-BL wurde weiter entwickelt, zumindest soweit ich mich erinnere das gelesen zu haben. somit müsste man das problem noch etwas anders angehen. somit können wir wirklich derzeit keinen aktuellen -link- vorlegen.

xrayn · Mrz 4, 2012

dwm hat gesagt.:
@xrayn
ja, aber auch der tc-BL wurde weiter entwickelt, zumindest soweit ich mich erinnere das gelesen zu haben. somit müsste man das problem noch etwas anders angehen. somit können wir wirklich derzeit keinen aktuellen -link- vorlegen.

Solange die Truecrypt Entwickler sich weigern das TPM mit einzubeziehen, wird das Prinzip weiter funktionieren, da TC selbst keine Möglichkeit hat die eigene Integrität zu verifizieren.

enkore · Mrz 4, 2012

Chef32 hat gesagt.:
Ich sprach auch davon, dass es so gut wie immer rechtswidrig ist. In ganz wenigen Fällen geht es allerdings, z.B. bei Terroristen - ansonsten ist dies nicht zulässig. Es gab erst kürzlich einen Fall, bei dem ein Mann in seinem Auto illegal abgehört wurde - er führte dort Selbstgespräche, in dem er einen Mord gestanden hatte. Der BHG hat dieses Urteil zurecht kassiert! Hier die Quelle --> Abhör-Urteil des BGH: Auch im Auto sind die Gedanken frei

Selbst wenn man die Beweise erst zulassen würde, ein Urteil ist immer anfechtbar und wird nicht bestehen können.

Auch wird im Normalfall dieser Beweis erst gar nicht zugelassen. Es gab genügend Berichte zum Einsatz des Bundesrojaners.

Okay ich erkläre es noch einmal. Illegal erworbene Beweismittel müssen vom Richter explizit ausgeschlossen werden. Ohne des Richters zutun sind und bleiben sie ganz normale Beweismittel. Im Gegensatz zu den USA, wo die Fruit of the poisonous tree-Doktrin gilt, das heißt, dass jedes illegal erworbene Beweismittel ungültig ist und keinen Einfluss auf das Verfahren haben darf.

Chef32 hat gesagt.:
Abgesehen davon kann man über eine FireWire Schnittstelle im laufenden Betrieb das Passwort auslesen, ferner mittels eines Memory Dump. Um diese Problematik zu umgehen, empfiehlt es sich die FireWire Schnittstelle zu deaktivieren. Ferner kann man bei ausbleibenden Schreib-/Lesevorgänge die Partitionen automatisch unmounten, sodass erneut das Passwort eingegeben werden muss.

Das ist auch wieder falsch. TC behält das Passwort nach der Eingabe nicht mehr im Speicher.

dwm hat gesagt.:
@xrayn
ja, aber auch der tc-BL wurde weiter entwickelt, zumindest soweit ich mich erinnere das gelesen zu haben. somit müsste man das problem noch etwas anders angehen. somit können wir wirklich derzeit keinen aktuellen -link- vorlegen.

Nein man geht es genau gleich an, denn am TC-Bootloader hat sich seitdem fast nichts getan. Warum auch? Was sollte man daran ändern? Denn, wie xrayn schon sagte, hat der Bootloader logischerweise keinerlei Möglichkeit seine eigene Authentizität zu überprüfen, was sich allenfalls durch den Einsatz von UEFI Secure Boot oder eben dem TPM (läuft aufs gleiche hinaus) ändern lässt. Denn dann würde man den Bootloader mit einem eigenen Schlüssel signieren, der in der Firmware hinterlegt wird. Somit kann die Firmware die Authentizität des Bootloaders überprüfen. Solange die Firmware unkompromitiert bleibt (was wir mal alle hoffen wollen), ist auch der Bootloader und somit das verschlüsselte System unkompromitiert.

xrayn · Mrz 4, 2012

enkore hat gesagt.:
Das ist auch wieder falsch. TC behält das Passwort nach der Eingabe nicht mehr im Speicher.

In dem Punkt lag er schon richtig: Solange ein TC-Volumen gemounted ist, muss der Key natürlich auch im Speicher vorhanden sein, da man ansonsten damit nicht arbeiten könnte ;-)
TrueCrypt - Free Open-Source Disk Encryption Software - Documentation - Unencrypted Data in RAM

To summarize, TrueCrypt cannot and does not ensure that RAM contains no sensitive data (e.g. passwords, master keys, or decrypted data).