Sicherheits GAU: Der Spion der mit der Kälte kam.

[devilstorm]

Wenn du eine Sitzung hälst und dir erst eine Hose anziehen musst, dann behinderst du sie nicht...

 

[Ikezu Sennin]

Dann Mach zuhause den Akku raus... wennn sie kommen ein kleiner Ruck am Netzkabel und.... UUPS!!! tut mir aber leid... (mit Unschuldsblick)

 

[SilentCry]

Ich halte es für weniger sperrig als:
- RAM festkleben
- C4-Notebookunterlage mit sich herumschleppen
- immer einen Vorschlaghammer griffbereit zu haben.

Schon.

Umdenken, Firefox & Thunderbird direkt in den Container "installieren"...

Stimmt. Wäre eine Alternative.

Tja, keine Beine, keine Kekse. Das ist der Preis... Externe CryptoPlatte mit Fingerprintreader?

Und der ganze Mist nur, weil so ein schei... RAM nicht einfach die Daten verliert. Vorher war es so einfach, jetzt ist alles ein Akt des Überaufwandes.

Das steht außer Frage, allerdings: Das Web ist leicht überwachbar. Wenn Du Deine Bookmarks geheim halten willst: Wie surfst Du dann? Nimmst Du IMMER anonymisierende Proxys? Die aber bitte nicht von Zuhause aus...

Nein, so einfach ist das nicht. Natürlich überträgt man beim Surfen Daten. ABER wenn ich von Zuhause surfe, surfe ich manche Dinge nicht an. Das tue ich nur über offene WLANs (übrigens mit gespoofter MAC-Adresse, natürlich). Die Bookmarks enthalten aber alles, die "zuhause"-Links und die "unterwegs"-Links.

Ich werde mal Deinen Ansatz aufgreifen, manche Dinge wie Mailprogramm (nicht Apple Mail) und einen Browser in einen Container zu sperren. Vielleicht ist das praktikabler als der Vorschlaghammer.
Allerdings müsste ich ganz sicher stellen, dass Deckel ZU auch ein force Dismount ist, sonst hilft es nix. Und dass nicht damit dauernd die Container sterben, weil sie Datenfehler produzieren, wenn man in ihnen laufende Programme hat und sie forced dismounted.

Ein massiver Verlust an Usability ist es natürlich immer noch, immerhin müssen alle Programme, die im Container waren oder auf einen Container zugriffen neu gestartet werden. Viel weniger als ein Logoff ist das auch nicht.

 

[SilentCry]

Dann Mach zuhause den Akku raus... wennn sie kommen ein kleiner Ruck am Netzkabel und.... UUPS!!! tut mir aber leid... (mit Unschuldsblick)

Dann läuft ein MB mit nur noch einem Ghz.

 

[devilstorm]

Na immerhin haben wir es bei google.de mit dem Schlagwort 'RAM coldfreeze' schon auf Platz 1 geschafft

 

[Ikezu Sennin]

Dann läuft ein MB mit nur noch einem Ghz.

Was???? So´n Scheiß!!!!!

 

[thrillseeker]

Ich habe leider nicht die Geduld aufgebracht, den ganzen Thread durchzulesen (sorry). Deshalb kann es natürlich sein, dass das schon weiter oben irgendwo steht:

Was ist denn mit der Funktion "sicherer virtueller Speicher"? Die Kennwörter, die in den RAM geschrieben werden, werden in diesem Fall verschlüsselt, sodass sie nicht "einfach mal so" ausgelesen werden können - oder irre ich mich hier?

Ansonsten empfehle ich jedem, der wirklich sensible Daten auf seinem Rechner hat: Nimm das Ding immer mit, wenn Du Dich von Deinem Platz weg begibst. Das MacBook ist klein, geht in kürzester Zeit in den Ruhezustand und wacht ebensoschnell wieder auf. Also: Klo? --> Zuklappen, mitnehmen.

Auch das gibt Dir natürlich keine absolute Sicherheit. Wenn Deine Daten die Dimension von Staatsgeheimnissen haben oder sehr, sehr viel wert sind, läufst Du nämlich Gefahr, dass man Dich tötet, während Du an Deinem Rechner sitzt und arbeitest. Dann braucht man nichtmal mehr das Kennwort aus dem RAM lesen, sondern kann bequem alle Daten auf einen Stick ziehen, während Du unter dem Tisch kalt wirst

 

[Amadeus]

Was???? So´n Scheiß!!!!!

Wie ist denn das Posting zu verstehen?

 

[devilstorm]

@thrillseeker
Ich bin ganz deiner Meinung

Und wer so sensitive Daten hat, sollte mal an einen Kleiderschrank auf 2 Beinen nachdenken. Der kann dann auch auf den Rechner aufpassen während man auf dem Topf ist.

 

[Ikezu Sennin]

Wie ist denn das Posting zu verstehen?

Das ist so zu verstehen, dass ich entsetzt bin, dass ein Entfernen des Akkus bei angeschlossenem Netzteil eine Leistungseinbuße nach sich zieht.

 

[WDZaphod]

Und der ganze Mist nur, weil so ein schei... RAM nicht einfach die Daten verliert. Vorher war es so einfach, jetzt ist alles ein Akt des Überaufwandes.

Wenn man sich es recht überlegt, ist Dein Kampf er gleiche, den Apple mit dem iPhone, Premiere mit den Karten, Microsoft mit der XBOX oder Sony mit der Playstation auch kämpft.
Man bräuchte Crypto-RAM, welches sich nur dann auslesen läßt, wenn der TCP-Chip auf dem Mainboard den selben Key enthält wie der, der das Ram beschrieben hat. Alternativ könnte das Mainboard das RAM gleich mit diesem KEy verschlüsseln...

Nein, so einfach ist das nicht. Natürlich überträgt man beim Surfen Daten. ABER wenn ich von Zuhause surfe, surfe ich manche Dinge nicht an. Das tue ich nur über offene WLANs (übrigens mit gespoofter MAC-Adresse, natürlich).

Du bist ehr hart... Aber irgendwo konsequent
Was treibst Du denn so wildes? Kontakte zum linken Eck?

Ich werde mal Deinen Ansatz aufgreifen, manche Dinge wie Mailprogramm (nicht Apple Mail) und einen Browser in einen Container zu sperren. Vielleicht ist das praktikabler als der Vorschlaghammer.

Auf Dauer sicher billiger, als jedesmal ein neues Laptop kaufen, nur weil der Pizzamann klingelt

Allerdings müsste ich ganz sicher stellen, dass Deckel ZU auch ein force Dismount ist, sonst hilft es nix. Und dass nicht damit dauernd die Container sterben, weil sie Datenfehler produzieren, wenn man in ihnen laufende Programme hat und sie forced dismounted.

Halt erst einen normalen Dismount, und nach 10 Sekunden den geForceten. Besser: Disziplin und per Hand erledigen.

Ein massiver Verlust an Usability ist es natürlich immer noch, immerhin müssen alle Programme, die im Container waren oder auf einen Container zugriffen neu gestartet werden. Viel weniger als ein Logoff ist das auch nicht.

Vielleicht ne VM in einem Container? Die müßte suspended werden, alle programme blieben offen. OSX unter VMWare wird sicher bald kommen...

 

[Amadeus]

Das ist so zu verstehen, dass ich entsetzt bin, dass ein Entfernen des Akkus bei angeschlossenem Netzteil eine Leistungseinbuße nach sich zieht.

Da gab's hier mal eine Diskussion drüber...

Den Sinn dieses "Effekts" verstehe ich auch nicht, allerdings ist mit den modernen Akkus bzw. Ladetechniken die Lagerung des Akkus ausserhalb des Gerätes auch nicht sinnvoll.

 

[Bier]

Ich habe leider nicht die Geduld aufgebracht, den ganzen Thread durchzulesen (sorry). Deshalb kann es natürlich sein, dass das schon weiter oben irgendwo steht:

Willkommen im Club

Was ist denn mit der Funktion "sicherer virtueller Speicher"? Die Kennwörter, die in den RAM geschrieben werden, werden in diesem Fall verschlüsselt, sodass sie nicht "einfach mal so" ausgelesen werden können - oder irre ich mich hier?

Seit wann ist RAM virtuell...

Virtuell ist hier in diesem Falle die sogenannte Auslagerungsdatei. Diese findest Du in /var/vm, wird auch swap genannt. (WP: http://de.wikipedia.org/wiki/Swapping).
osX legt einen Key für die Swap oben aufs Swap-Image. Das ist ungefähr so wie der Schlüssel unter der Fußmatte.

Man kann das ungefähr so sagen: Apple veräppelt mit dem GUI im Grunde den Nutzer. Das ist ungefähr so wie: Lesen sie diesen Text und ihr Computer ist sicher.
Alle Funktionen aber, die von oben herab etwas für sicher durch Anklicken erklären, sind Müll. Das ist so wie Werbung glauben.

 

[devilstorm]

Man kann das ungefähr so sagen: Apple veräppelt mit dem GUI im Grunde den Nutzer. Das ist ungefähr so wie: Lesen sie diesen Text und ihr Computer ist sicher.
Alle Funktionen aber, die von oben herab etwas für sicher durch Anklicken erklären, sind Müll. Das ist so wie Werbung glauben.

Das lässt sich aber wohl leider nicht vermeiden. Wobei wir dann wieder beim Thema Sicherheit vs. Usabilty vs. tatsächliches Risiko sind.

 

[SilentCry]

Virtuell ist hier in diesem Falle die sogenannte Auslagerungsdatei. Diese findest Du in /var/vm, wird auch swap genannt. (WP: http://de.wikipedia.org/wiki/Swapping).
osX legt einen Key für die Swap oben aufs Swap-Image. Das ist ungefähr so wie der Schlüssel unter der Fußmatte.

Das ist kein Angriff jetzt, ich meine das ganz friedlich, aber verwechselst Du nicht was?
Der sichere VIRTUELLE Speicher, also das SWAP (wie Du richtig gesagt hast) wird mit dem Anmeldekey gecrypted, der sowieso im Speicher ist.

Das Suspend-to-DISK-Image ist das unglaubliche Teil, das den Schlüssel zu sich selbst enthält.
Beim Suspend-to-Disk müsste man dem Designer ja wirklich den digitalen Darwin-Award verleihen.

Oder ich irre mich jetzt bzgl. SWAP unter OS X. Es wäre aber unlogisch, den Key auf's SWAP-File zu packen weil nicht notwendig.

Edit: Aber es ist zum Problem mit dem physischen Speicher sowieso entkoppelt.
Suspend to Disk war immer schon des Teufels ohne eine HW-gestützte Vollplattenverschlüsselung die VOR dem Wiederanlauf aus dem Image das entsprechende Passwort abfragt.

 

[thrillseeker]

Seit wann ist RAM virtuell...

Stimmt Das hab ich durcheinandergebracht.

Vermutlich, weil vor einer Weile mal diskutiert wurde, dass das Benutzerpasswort unter älteren OS-X-Versionen im Klartext aus eben jenem Speicher gelesen werden konnte, woraufhin dann der sichere virtuelle Speicher eingeführt wurde.

 

[James Grieve]

Ich rede von Drives wie das Momentus-Drive FDE.2 von Seagate. Da geht nix. ':.) Leider aber, wie schon oft betont, funktioniert das nicht am Mac, ich vermute eben wegen EFI.

Wenn das DIE Lösung wäre, warum holst du dir keinen anderen Laptop und lässt Windows (oder Linux?) darauf laufen?
Solange du den RAM im MacBook nicht festklebst, bekommst du noch was für die Kiste

 

[SilentCry]

Wenn das DIE Lösung wäre, warum holst du dir keinen anderen Laptop und lässt Windows (oder Linux?) darauf laufen?

Es ist eine Lösung mit zwei Nachteilen:
- Das RAM kann immer noch kompromittiert werden. Allerdings sind alle Daten, die nicht im RAM waren zum Zeitpunkt des Angriffs sicher und bleiben es auch.
- Es geht nicht unter Mac.

Ganz Unrecht hast Du allerdings nicht. Eine Abkehr vom Mac zu Linux ist allerdings meine letzte Option, noch hoffe ich auf irgendein Wunder aus Cupertino. Mit einem Linuxrechner hat man nämlich auch wenig Freude, da ist es fast wurscht, ob man den Mac nur mit der aktiven Sprengfalle nur zuhause betreibt oder ob man einen Linuxrechner nicht mitnimmt weil er vermutlich sowieso kein verlässliches S3 kann und man sich ausserdem ohnehin nur blamiert, wenn man für eine Aufgabe von 20 Sekunden stundenlang herumfrimmeln muss bis man sagt "äh, das geht jetzt nicht, dazu muss ich erst recherchieren wie man das unter Linux zum Laufen bringt...".

Dass Windows keine Option ist... muss ich das hier noch erwähnen? Hallo? Wir reden von Sicherheit, im Windows spioniert Dich ja schon das System selbst aus.

 

[devilstorm]

Immerhin sind wir in Deutschland jetzt vor Onlinedurchsuchungen besser geschützt. Aber das ist ein anderes Thema.

Nochmal meine Frage zu den Probleme mit der HW-Verschlüsselung unter Mac. Liegt das Problem an Apple oder den HW Lieferanten?

Gruß
Thomas

 

[SilentCry]

Immerhin sind wir in Deutschland jetzt vor Onlinedurchsuchungen besser geschützt. Aber das ist ein anderes Thema.

Irgendwie lese ich das nicht so - im Gegenteil, die Ü-Staat-Fetischisten jubeln,(*) Bayern glaubt sowieso im Recht zu sein und ich lese nicht im Urteil, dass es ein absolutes Verbot für eine Onlinedurchsuchung gab. Aber richtig, das ist ein anderes Thema.

Nochmal meine Frage zu den Probleme mit der HW-Verschlüsselung unter Mac. Liegt das Problem an Apple oder den HW Lieferanten?

Ich finde das schwer zu beurteilen, oder anders: An beiden. Apple hat sich mit seinem EFI auf ein neues Terrain begeben. M.E. (und was ich aus der Antwort von Stonewood entnommen habe) ist das EFI schuld daran, dass diese Preboot-Methode nicht funktioniert.
Nun, das wäre ein Argument dass Apple Schuld hat.
Aber natürlich ist es zulässig, EFI zu verwenden. Auch PC-Hersteller werden irgendwann BIOS gegen EFI ersetzen (nehme ich an, immerhin propagiert Intel EFI als neues "BIOS"), dann wird es Aufgabe der Plattenhersteller sein, ihre Produkte anzupassen.
Wiewohl ich derzeit keine besondere Tendenz sehe, in normalen Laptops EFI zu verwenden.
Sollte der allgemeine PC-Markt nicht unmittelbar nachziehen bleiben wir mit Mac auf diesem sch.... EFI sitzen und kein HW-Hersteller der Welt wird sich den Terror antun, nur für die paar Appleuser, die das kaufen würden, EFI zu unterstützen.

Ich persönlich sehe die SCHULD zwar bei Apple. LÖSEN könnten es aber m.E. nur die HW-Lieferanten, denn Apple wird wohl kaum die Produktlinie dahingehend ändern.

(*)

Demgegenüber unterstrich der innen- und rechtspolitische Sprecher der CSU-Landesgruppe im Bundestag, Stephan Mayer, dass das BKA "nun ohne Verzögerung die gesetzliche Befugnis für Online-Durchsuchungen erhalten muss". Bestätigt sieht er zudem die Forderung der Bayern, den so genannten Bundestrojaner "auch zum Zweck der Strafverfolgung einzusetzen". Bundesjustizministerin Brigitte Zypries (SPD) forderte er auf, "zügig einen Gesetzentwurf dazu vorlegen". Das Bundesverfassungsgericht habe generell anerkannt, "dass die Computerfestplatte kein Bereich sein darf, in dem sich Terroristen ungestört organisieren können". Zypries selbst hat angekündigt, eine Überarbeitung der Strafprozessordnung in diesem Sinne zu prüfen.