Erschwerung von Ausspionierung (u.a. Verschlüsseltes Dateisystem)

[ixus55fan]

Hi, ich bin wieder da

(theoretische Frage ohne konkreten Mitarbeiter oder konkretes Unternehmen im Hintergrund)

Angenommen, jemand mit viel technischen Knowhow und viel Energie möchte Dateien haben (lesen), die auf einem Laptop (oder PC) gespeichert. Ein Beispiel: Laptop (oder PC) eines Prokuristen oder Direktors eines Konzerns mit 50.000 Mitarbeiten

Grundsätzlich kann man sich davor mit verschlüsselten Dateien schützen, WinXP macht das mit Zertifikaten (die auf der Platte liegen), Linux & Co. mit interaktiv einzugebenen Passwörtern.

Die Zertifikate von XP kann man abgreifen und exportieren (wenn nicht ohnehin Masterzertifikate existieren, die "der Konkurrenz" in die Hände fallen können) und die Passphrase von einem verschlüsselten Linux-Filesystem könnte man mittels Keylogger (in Software oder Hardware) abgreifen.

Nun meine Fragen:

1) Bei beiden Angriffen kriegt der Angegriffene womöglich gar nicht mit, dass jemand "die Bilanzen/Umsatzpläne/Produktpläne" kopiert hat. Ist das immer so oder geht das auch anders?

2) Setzt ihr konkrete Produkte ein? Daheim / im Unternehmen?

Tschüß

[trebstyle]

"die Bilanzen/Umsatzpläne/Produktpläne"

... hat man in der regel garnicht auf seinem reisenotebook.

wir setzen von ultimaco die software safeguard easy 4.20 ein.

[Carnie]

Wichtige Dokumente am besten wie erwähnt garnicht auf dem Notebook speichern. Da fehlt doch dann auch ein Backup. Am besten UMTS Karte rein und auf einem TERMINAL Server arbeiten lassen. Dazu ein Authentifizierungstoken das Passwörter generiertl Alles andere kann man immer mit einem Keylogger umgehen.

[h.frank]

Bei solch sensiblen Daten kannst du die Betriebssystem-Boardmittel eigentlich vergessen. Externe Anwendungen, wie das erwähnte Safeguard, sollten hier erste Wahl sein. Und natürlich ein vernünftiges Securitykonzept, dass die Speicherung von zu sensiblen Daten auf Notebooks verbietet.

[ixus55fan]

Dass Dateien sich auf dem Laptop befinden ist Teil der Fragestellung, die ich nicht ändern werde. Nicht auf dem Laptop vorhandene Dateien (weil Terminalserver) muss man "nicht schützen".

[eisdiele]

festplattenpasswort, sollte sich in jedem halbwegs aktuellen laptop aktivieren lassen. ohne das passwort ist sogut wie kein rankommen an die daten, selbst wenn man sie ausbaut...

[Wodar Hospur]

Das ist nicht ganz richtig. Es gibt mehrere Unternehmen die solche Festplatten Passwörter zur "Datenrettung" zurücksetzen könnten. Warum sollte diese Technik nicht auch Industriespionen genutzt werden können?

Auf der anderen Seite musst du die Dienstleistung dieser Unternehmen wahrnehmen wenn, ein Anwender sein Passwort vergessen sollte.

Sicherer ist eine Verschlüsselung, die den kompletten Inhalt der Festplatte verschlüsselt. Gleichzeitig muss dann aber auch für "schusselige" Mitarbeiter ein Zurücksetzen der Schlüssel möglich sein.

Dieses Zurücksetzen vielleicht an ein 2 - 3 Parteienprinzip gebunden*, schon sollten sich auch wirklich sicherheitskritische Daten entsprechend schützen lassen.

*Dazu gab es mal einen guten Beitrag in der iX

[eisdiele]

Das ist nicht ganz richtig. Es gibt mehrere Unternehmen die solche Festplatten Passwörter zur "Datenrettung" zurücksetzen könnten. Warum sollte diese Technik nicht auch Industriespionen genutzt werden können?

Auf der anderen Seite musst du die Dienstleistung dieser Unternehmen wahrnehmen wenn, ein Anwender sein Passwort vergessen sollte.

Sicherer ist eine Verschlüsselung, die den kompletten Inhalt der Festplatte verschlüsselt. Gleichzeitig muss dann aber auch für "schusselige" Mitarbeiter ein Zurücksetzen der Schlüssel möglich sein.

Dieses Zurücksetzen vielleicht an ein 2 - 3 Parteienprinzip gebunden*, schon sollten sich auch wirklich sicherheitskritische Daten entsprechend schützen lassen.

*Dazu gab es mal einen guten Beitrag in der iX

deshalb ja auch das "sogut wie kein rankommen" und nicht "kein rankommen.

Das ein, zumeist, externer Dienstleister an die Daten rankommt, wenn sie ohne verschluesselung auf der Platte liegen ist klar. Aber wieviele Laptops werden aufgrund von Datendiebstahl geklaut? Ich glaube der Prozentsatz ist verschwindent gering. Hab mal gelesen (glaub in der c't), dass die meisten Daten die zwecks Industriespionage geklaut werden, von den eigenen Mitarbeitern entwendet und verkauft werden...

Abgesehen steht im Eingangsposting jemand mit viel technischem Know-How und Energie. Ein externer Dienstleister moechte vorallem viel Kohle sehen, da ist weder mit Know-How noch mit Energie ranzukommen

[chill3r]

Absolute Sicherheit gibts natürlich nie, und wenn man das Passwort mit Bruteforce knacken muss, früher oder später wirds gelingen (wahrscheinlich eher später ).

Würd das System mit TrueCrypt verschlüsseln, oder zumindest die Partition mit den "sensiblen" Daten (weiss ja nicht wie du Partitionen einrichtest). TrueCrypt ist OpenSource, und da weiss man, dass es keine Hintertüren gibt. Wenn du allerdings dein Passwort vergisst (was bei Mitarbeitern ja gern mal vorkommt), sind die Daten allerdings futsch.

Wenn du allerdings soooo sensible Daten hast, dass "gegnerische Parteien" versuchen, dir Keylogger unterzuschieben (hast du die Weltformel gefunden?), solltest du einen Gedanken daran verschwenden 'ne IT-Abteilung in deiner Firma aufzumachen und/oder deinen Rechner offline lassn.

[Cadpax]

Je nachdem wie wichtig das ist, und das was kosten darf, würde ich mich von Biometrik-Anbietern beraten lassen.

Mein alter Chef hat mit Biosec zusammen gearbeitet.

Mit freundlichen Grüßen,

Cadpax

[jens.ebinger]

Wenn du allerdings soooo sensible Daten hast, dass "gegnerische Parteien" versuchen, dir Keylogger unterzuschieben ..., solltest du einen Gedanken daran verschwenden .... und/oder deinen Rechner offline lassn.

Gibt auch Unternehmen, die heute mit Daten/Messreihen/... arbeiten, das Produkt kommt aber erst in 7 Jahren auf den Markt, darum auch der Fragenteil "Bei ... Angriffen kriegt der Angegriffene ... gar nicht mit, dass jemand die ...Produktpläne kopiert hat. Ist das immer so oder geht das auch anders?"

festplattenpasswort, sollte sich in jedem halbwegs aktuellen laptop aktivieren lassen. ohne das passwort ist sogut wie kein rankommen an die daten, selbst wenn man sie ausbaut...

Geht auch um Standard-Desktop-PCs, wie sie ein DELL/HP/Siemens verkauft.

Dieses Zurücksetzen vielleicht an ein 2 - 3 Parteienprinzip gebunden*, schon sollten sich auch wirklich sicherheitskritische Daten entsprechend schützen lassen.

Hmm, kombiniert mit OpenSource-verschlüsselung *träum*

[geloescht_JesterDay]

Je nachdem wie wichtig das ist, und das was kosten darf, würde ich mich von Biometrik-Anbietern beraten lassen.

Nun sind Biometrische Daten ja auch nix, was sooo geheim und sicher ist. Fingerabdrücke lassen sich recht einfach daheim nachmachen (Siehe CCC Video dazu, Link hab ich nicht parat). Andere Verfahren (Iris, Venenabdruck etc.) ist da vielleicht Doch bissl zu aufwendig (bzw. bei Daten wo sich das lohnt, würde wohl kaum einer hier nachfragen und sich beraten lassen )

Bei Truecrypt (anderen bestimmt auch) ist es z.B. möglich das ganze über eine Key-Datei zu machen. Die kann z.B. auf einem USB-Stick sein und es kann jede beliebige Datei sein. Da hilft auch kein Keylogger o.ä.

Nur der Verlust des Sticks wäre dann schlecht, aber der würde ja auffallen (und ein Backup des Keys hat man an einem sicheren Platz...).

[Gast ***F.E.A.R.***Fawkes]

also grundsätzlich kann man sagen, ist es technisch gesehen unmöglich sowas sicher zu machen. schau dir kevin mitnick an... über social engineering kommt man überall ran, wenn man gut ist.

aber ich hätte trotzdem ne ganz lustige möglichkeit, die sogar wirklich funktioniert, da hier technik mit etwas s. e. verbunden wird(hab das mal mit nen paar testpersonene gemacht, die sich gut mit pcs auskennen und keiner hat das ziel, eine bestimmte datei zu finden, erreicht):

1. richte dir mit einem tool (z.b. truecrypt) ne verschlüsselte partition ein.

2. lagere in dieser partition einige daten, die zwar halbwegs wichtig aussehen/sind, aber nicht so wirklich wertvoll, deren verlust bzw. kenntnis der konkurrenz nicht gleich dein unternehmen untergehen lässt.

3. richte in dieser verschlüsselten partition eine weitere verschlüsselte partition (am besten mit nem anderen verschlüsselungsverfahren) ein, die zudem noch versteckt ist (truecrypt z.b. bietet diese funktion an).

ein möglicher angreifer wird nun alles dran setzen die verschlüsselte partition zu knacken. schafft er das wirklich, sieht er zwar wichtige daten, aber nicht das, was er sucht. das vermittelt ein gehöriges frusterlebnis (zuerst erfolgserlebnis wegen dem entschlüsseln, dann frust weils nichts richtiges zu holen gibt = doppelt gefrustet). dadurch, dass die daten die er nun gesehen hat aber nicht nur irgendwelche mp3s oder so sind, wird es glaubhaft, dass die verschlüsselte partition nur zum schutz eben jener daten angelegt wurde und sich das gesucht irgendwo ganz anders befindet. auf den gedanken, dass es noch weitere verschlüsselte, nicht sichtbare partitionen gibt kommt eigentlich niemand. sollte doch mal jemand durch zufall auf die weitere partition stoßen wird er automatisch das gleiche verschlüsselungsverfahren wie bei der ersten partition annehmen und versuchen dieses zu knacken, was natürlich nicht möglich ist, wenn man von vorne herein ein falsches system annimmt. das ganze lässt sich natürlich noch mit keyfiles, etc. verbinden, wodurch man dann ein sehr sicheres system erhält.

nachteil an der ganzen sache: man muss etwas mehr aufwand betreiben um an die daten ranzukommen und das ganze system verhindert natürlich nicht, dass die mitarbeiter gezielt auf social engineering geschult werden müssen. ein servicetechniker, der 2min ohne aufsicht einen pc repariert, weil der angestellt nur kurz nen kaffe holt, hat alle zeit um z.b. kleine knopfkamera zu installieren, keylogger anzubringen, micro, usw. ... das ist eben das problem, das auch mitnick so betont. der beste schutz für ein unternehmen sind geschulte mitarbeiter...

so far... fawkes

ps.: sry, hab mal wieder zuviel geschrieben, aber sicherheit ist einfach was sehr interessantes, vor allem da die meisten admins, etc. auf technik setzen und dabei ganz vergessen, dass das beste system nichts nützt, wenn der mitarbeiter sorglos mit seinen zugansdaten, vorgangsbeschreibungen innerhalb des unternehmens, etc. umgeht...

pps.: mist, ich hör jetzt echt auf :floet: