Systematische Schwachstellen in Bitlocker, dm-crypt und Truecrypt

[MiGo]

Falls es hier einer noch nicht gelesen hat:
http://www.theregister.co.uk/2008/02...f_unbitlocker/

Gruß,
MiGo

[psy]

Und hier das Video dazu:

http://www.youtube.com/watch?v=JDaicPIgn9U

[rudelgurke]

Und ? Maschine abschalten, RAM leer, Problem gelöst.

Und mal ehrlich - wer sperrt den Bildschirm am Notebook und lässt das Teil dann irgendwo liegen um mal kurz irgendwo was anderes zu machen damit jemand den RAM ausbauen kann ?

Dass hat wohl nichts mit TrueCrypt bzw. der Verschlüsselung an sich zu tun - auf der TrueCrypt Homepage werden dazu bspw. schon Hinweise gegeben (Auslagerunsdatei- oder - Partition usw. usw.)

[Sidolin]

Ich, andauernd. Mein Laptop muss ja beim rumtragen nicht immer an sein, also kommt er in den Sleep-Modus. Damit hat man kaum Akkuverbrauch und er ist innerhalb von 1-2 Sekunden wieder an, inklusive aller Programme.

Ich hoffe es lässt sich für dieses Problem eine gute Lösung finden, wer was hat bitte melden.

[MiGo]

Und ? Maschine abschalten, RAM leer, Problem gelöst.

Macht in den Fällen, wo's drauf ankommt keine Sau. Die ganzen Manager (deren Rechner idR dann von den Sysadmins mit z.B. Bitlocker verschlüsselt worden sind) machen das Notebook einfach zu und gehen essen - wenn man's wieder aufklappt, muss man ja ein Passwort angeben, das muss also sicher sein.

Und mal ehrlich - wer sperrt den Bildschirm am Notebook und lässt das Teil dann irgendwo liegen um mal kurz irgendwo was anderes zu machen damit jemand den RAM ausbauen kann ?

Ram ausbauen ist unnötig - das war nur zu Demozwecken um zu zeigen, wie stabil Speicher eigentlich ist (Schwimmt sogar in Milch - öhm, "Geht sogar noch ausgebaut").
Im Zweifelsfall in der Mittagspause den Schlüssel holen und den Laptop dann bei passenderer Gelegenheit klauen. Wäre ja schade, den Kerl der auf den Konferenzen immer so gut an die Laptops rannkommt, dadurch zu belasten, dass immer auf seiner Schicht notebooks geklaut werden - das machen dann nachher lieber andere nach Feierabend.

Dass hat wohl nichts mit TrueCrypt bzw. der Verschlüsselung an sich zu tun - auf der TrueCrypt Homepage werden dazu bspw. schon Hinweise gegeben (Auslagerunsdatei- oder - Partition usw. usw.)

Sage ich ja - systematischer Angriff.

Ich hoffe es lässt sich für dieses Problem eine gute Lösung finden, wer was hat bitte melden.

Klar gibt's ne Lösung - einfach beim Deckelschliessen den Rechner runterfahren.
Alles andere hilft erstmal gar nichts.

Oder hoffen, dass die Hersteller Versionen rausbringen, bei denen die Schlüssel beim Suspend-to-ram gelöscht werden - was allerdings gar nicht so einfach sein dürfte. Schliesslich braucht man den Schlüssel ja zum Zugriff auf die Systempartition, das gibt ziemlich sicher Ärger

[tonmeister440]

hi,

oh mann, wer nach dem video noch nach ner lösung fragt der hat das prinzip nicht verstanden. tut mir leid wenn ich jemandem damit auf die füsse trete.

nur um es nochmal kurz zu machen, damit der user die auf der platte verschlüsselten daten benutzten kann, müssen sie entschlüsselt werden, d.h. dem rechner ist zur laufzeit der schlüssel bekannt, plump ausgedrückt liegt er im speicher, das macht man sich hier zu nutze. da kann man nix dran machen, ausser darauf zu achten, das der speicher leer ist wenn man den rechner nicht im auge hat, folglich ausschalten.

die einzige möglichkeit da sicherheit reinzubekommen, wenn der rechner im suspend ist: der user lernt die verschlüsselung zur laufzeit im kopf zu machen.
viel spass beim kopfrechnentraining

gruss tonmeister440

[Newbie314]

.. naja.. beim Suspend könnte der Schlüssel im Ram gelöscht werden.. und aus einem verschlüsselten Container mit einem "sicheren" Passwort das der User beim wieder hochfahren eingeben muss wieder hergestellt werden.

Aber da finde ich runterfahren und neu booten einfacher ....

[Sidolin]

.. naja.. beim Suspend könnte der Schlüssel im Ram gelöscht werden.. und aus einem verschlüsselten Container mit einem "sicheren" Passwort das der User beim wieder hochfahren eingeben muss wieder hergestellt werden.

Aber da finde ich runterfahren und neu booten einfacher ....

Nö was spricht denn dagegen? Beim Suspend wird der Schlüssel gelöscht und muss danach halt neu eingegeben werden. Das kann bis jetzt anscheinend keines der Systeme, aber wieso sollte das nicht möglich sein?

[Newbie314]

.. oder vom USB Stick eingelesen werden...

Das heißt: Suspend to disk, USB STick abziehen, essen gehen, zurückkommen, stick einstecken, Computer wieder aufwecken ... fertig... so eine ähnliche Lösung wird wahrscheinlich demnächst angeboten werden ....


Wer zu faul ist seinen Rechner richtig runterzufahren hat je nach EDV-Ahnung wahrscheinlich den Namen des Familienhundes als Passwort .....

Bis dahin: den REchner so absichern dass er nicht von externen Medien gebootet werden kann dürfte schon einen Großteil der potentiellen Datendiebe ratlos machen....

[choener]

Das heißt: Suspend to disk, USB STick abziehen, essen gehen, zurückkommen, stick einstecken, Computer wieder aufwecken ... fertig... so eine ähnliche Lösung wird wahrscheinlich demnächst angeboten werden ....

Der bearbeitete Schlüssel ist trotzdem noch länger im Ram vorhanden!
suspend 2 disk mit Verschlüsselung
Rechner neustarten und Ramcheck (!, muss destruktiv sein) abwarten
Rechner wieder ausstellen
dann erst Essen gehen

[Sidolin]

Wieso sollte es nicht möglich sein, nur den Schlüssel aus dem Ram zu entfernen? Vielleicht keine triviale Aufgabe, aber möglich ist das auf jeden Fall. Suspend to Ram, der Kernel löscht den Schlüssel (dafür brauchts doch noch lang keinen Ramcheck, selbst wenn man sich an Peter Huth hält und das ganze 37x mit Zufallszahlen überschreibt ist das kein großer Aufwand. Wobei ich mir ziemlich sicher bin dass auch 1x mit Nullen reichen würde). Wenn man nen Usbstick verwenden kann man den jetzt abziehen.

Nach dem essen bootet der Kernel und fragt nach dem Schlüssel bzw. will den Usbstick, und damit kann man den Rechner wieder hochfahren.

Ich sehe wenig bis keinen Mehraufwand auf der Seite der Benutzer und ein paar Anpassungen im System der Verschlüsselung, mehr ist das jetzt aber auch nicht. Eigentlich fehlt nur dass der Schlüssel beim Suspend aus dem Ram gelöscht wird.

[Newbie314]

Eigentlich fehlt nur dass der Schlüssel beim Suspend aus dem Ram gelöscht wird.

So war das gedacht. Und das kriegen die Hersteller bestimmt recht schnell hin. Nur die Abfrage des Signals "suspend to ram" damit man noch Zeit hat den Speicher zu überschreiben wird vielleicht nicht so einfach ....

[tonmeister440]

hi,

das mit dem schlüssel im ram, ist wie von mir schon gesagt recht plump ausgedrückt.
der schlüssel wird nicht enfach ausgelesen,er steht ja gar nicht in dieser form im ram, sondern ausgerechnet. weil die daten einmal verschlüsselt vorliegen (auf der platte) und zum anderen entschlüsselt im arbeitsspeicher. daraus lässt sich der schlüssel rekonstruieren. man muss nur genügend entschlüsselte daten haben, was bei einen gb ram heutzutage, mehr als ausreichend ist, wenn man sich zum vergleich mal anschaut wieviel daten man beim knacken von WEP braucht.
da wird auch der herstelle nix dran ändern können. man müsste schon hingehen und alle daten, die im arbeitsspeicher vorliegen wieder verschlüsseln, wenn man den rechner in den schlaf legt. was aber zur folge hat, das man sie nicht mehr gebrauchen kann, sondern erst wieder entschlüsseln muss. das ksotet zeit, das macht die idee von suspend to irgendwas zu nichte, da kann man dann auch direkt neubooten.
solange das betriebssystem läuft, liegen im ram unverschlüsselte daten und es gibt einen möglichkeit den schlüssel zu rekonstruieren und dann im nächsten schritt an alle daten auf der paltte ranzukommen.

es gibt momentan gegen so einen angriff nur eine lösung: rechner immer ausschalten, wenn irgendjemand zugriff darauf haben könnte, ohne das man selber dabei ist.

ich habe es an anderer stelle hier im forum heute schonmal angemerkt, es gibt keinen 100% schutz vor datenklau oder computer missbrauch. solange ein system so konzipiert ist, das legitimierte benutzer informationen davon erhalten sollen, dann wird es auch immer einen weg geben wie man an diese informationen kommt, auch wenn man nicht dazu berechtigt ist. es ist nur eine frage ob man den aufwand betreiben will oder nicht.

gruss tonmeister440

[Newbie314]

.. schlimmstenfalls kommt man mit dem Argument "Kaliber 9 mm" an die Daten unberechtigt ran ;-)

[blinx]

Eigentlich müsste nur der RAM verschlüsselt sein, dann kann man damit auch nix anfangen. Mit Swap geht das, aber Swap ist eben nicht der RAM. Warum geht das nicht?