„Hat der Angreifer Zugriff auf einen PC, auf dem die Containerdatei gemountet wurde ...“

[Spaghetticode]

..., kann er einfach die Dateien kopieren und/oder versenden, weil er Zugriff darauf hat.

_________________________________________________________________
Bitcoin-Adresse: 18G7J2eP7TAcM1vx2b94VYCwg2DQPBzEH4

[nie (Golem.de)]

Siehe:

http://forum.golem.de/kommentare/security/forensic-disk-decryptor-elcomsoft-knackt-truecrypt-und-bitlocker-mit-memory-dumps/ach-was-ist-total-unglaublich/69517,3207087,3207092,read.html#msg-3207092

Nico Ernst
Redaktion Golem.de

[robinx999]

Spaghetticode schrieb:
--------------------------------------------------------------------------------
> ..., kann er einfach die Dateien kopieren und/oder versenden, weil er
> Zugriff darauf hat.

Zeig mir mal wie man daten von einem Angeschalteten Computer kopiert, wenn der Computer sich im gesperrten zustand befindet (z.B: Windows: Windowstaste+L)
Das ist dann der moment wo ein Memorydump über firewire hilfreich währe

[Spaghetticode]

robinx999 schrieb:
--------------------------------------------------------------------------------
> Spaghetticode schrieb:
> ---------------------------------------------------------------------------
> -----
> > ..., kann er einfach die Dateien kopieren und/oder versenden, weil er
> > Zugriff darauf hat.
>
> Zeig mir mal wie man daten von einem Angeschalteten Computer kopiert, wenn
> der Computer sich im gesperrten zustand befindet (z.B: Windows:
> Windowstaste+L)

Theoretischer Ansatz: Computer in Ruhezustand versetzen, SAM sichern, SAM ändern (Passwort raus), Computer starten, Anmelden, Dateien kopieren, Ruhezustand, SAM zurücksichern, Computer hochfahren. Ich weiß aber nicht, ob dieser Angriff in der Praxis funktioniert. Auf jeden Fall wird er ziemlich viele Spuren hinterlassen.

_________________________________________________________________
Bitcoin-Adresse: 18G7J2eP7TAcM1vx2b94VYCwg2DQPBzEH4

[Bouncy]

Spaghetticode schrieb:
--------------------------------------------------------------------------------
> Theoretischer Ansatz: Computer in Ruhezustand versetzen, SAM sichern, SAM
> ändern (Passwort raus), Computer starten, Anmelden, Dateien kopieren,
> Ruhezustand, SAM zurücksichern, Computer hochfahren. Ich weiß aber nicht,
> ob dieser Angriff in der Praxis funktioniert. Auf jeden Fall wird er
> ziemlich viele Spuren hinterlassen.
Hä? Und wo käme da das Überwinden der Verschlüsselung ins Spiel? Das würde wenn dann nur unverschlüsselt funktionieren, und in dem Fall könnte man sich den Quark mit Ruhezustand auch gleich sparen und SAM munter nach dem Runterfahren manipulieren ;)

[Spaghetticode]

Bouncy schrieb:
--------------------------------------------------------------------------------
> Spaghetticode schrieb:
> ---------------------------------------------------------------------------
> -----
> > Theoretischer Ansatz: Computer in Ruhezustand versetzen, SAM sichern,
> > SAM
> > ändern (Passwort raus), Computer starten, Anmelden, Dateien kopieren,
> > Ruhezustand, SAM zurücksichern, Computer hochfahren. Ich weiß aber
> > nicht,
> > ob dieser Angriff in der Praxis funktioniert. Auf jeden Fall wird er
> > ziemlich viele Spuren hinterlassen.
> Hä? Und wo käme da das Überwinden der Verschlüsselung ins Spiel? Das würde
> wenn dann nur unverschlüsselt funktionieren, und in dem Fall könnte man
> sich den Quark mit Ruhezustand auch gleich sparen und SAM munter nach dem
> Runterfahren manipulieren ;)
Ich vermute mal: Wenn du den Computer runterfährst, muss das Passwort für TrueCrypt erneut eingegeben werden. Beim Ruhezustand dürfte die Entschlüsselung nach dem Hochfahren auch ohne Passworteingabe funktionieren. (Genau weiß ich das nicht, ich habe hier kein TrueCrypt.)

_________________________________________________________________
Bitcoin-Adresse: 18G7J2eP7TAcM1vx2b94VYCwg2DQPBzEH4

[robinx999]

Ne da ist eigentlich alles verschlüsselt. Außerdem bin ich mir nichtmal sicher ob man einen gesperrten Computer ohne das Passwort zu kennen überhaupt in den Ruhezustand versetzen kann. Der Angriff über Firewire ist da sicherlich schon vielversprechender (gibt wohl auch tools die Windows dazu bringen jedes passwort zu akzeptieren, da man ja auch auf den Arbeitsspeicher schreiben kann). Wobei natürlich die chance groß ist das sich leute verschätzen und einfach den Computer ausschalten und dann mit einer LiveCD booten und dann feststellen, dass alles verschlüsselt ist.

Wobei wenn ich meinen Aktuellen Laptop so anschaue hat sich das mit Firewire sowiso erledigt ist nicht mehr vorhanden bei dem Laptop.

[Phreeze]

robinx999 schrieb:
--------------------------------------------------------------------------------
> Ne da ist eigentlich alles verschlüsselt. Außerdem bin ich mir nichtmal
> sicher ob man einen gesperrten Computer ohne das Passwort zu kennen
> überhaupt in den Ruhezustand versetzen kann.

15minuten warten, Ruhezustand ;) je nachdem wie das per policy oder durch die Energieoptionen eingestellt ist

[robinx999]

Phreeze schrieb:
--------------------------------------------------------------------------------
> robinx999 schrieb:
> ---------------------------------------------------------------------------
> -----
> > Ne da ist eigentlich alles verschlüsselt. Außerdem bin ich mir nichtmal
> > sicher ob man einen gesperrten Computer ohne das Passwort zu kennen
> > überhaupt in den Ruhezustand versetzen kann.
>
> 15minuten warten, Ruhezustand ;) je nachdem wie das per policy oder durch
> die Energieoptionen eingestellt ist
Naja das kann dann natürlich auch schief gehen, könnte ja ausgeschaltet sein. Bin sowiso nicht sicher wie es sich verhält wenn der Computer im Hintergrund noch etwas macht (Video encoden / Download) und der Computer dann einfach nur per "Windowstaste - L" gespert wurde

[Sinnfrei]

robinx999 schrieb:
--------------------------------------------------------------------------------
> Spaghetticode schrieb:
> ---------------------------------------------------------------------------
> -----
> > ..., kann er einfach die Dateien kopieren und/oder versenden, weil er
> > Zugriff darauf hat.
>
> Zeig mir mal wie man daten von einem Angeschalteten Computer kopiert, wenn
> der Computer sich im gesperrten zustand befindet (z.B: Windows:
> Windowstaste+L)
> Das ist dann der moment wo ein Memorydump über firewire hilfreich währe

Wenn das automatische installieren neuer Hardware nicht zum Beispiel per Gruppenrichtline deaktiviert wurde (sollte dann wohl bald Pflicht für kritische Systeme sein).

__________________
...