• Hallo liebe Userinnen und User,

    nach bereits längeren Planungen und Vorbereitungen sind wir nun von vBulletin auf Xenforo umgestiegen. Die Umstellung musste leider aufgrund der Serverprobleme der letzten Tage notgedrungen vorverlegt werden. Das neue Forum ist soweit voll funktionsfähig, allerdings sind noch nicht alle der gewohnten Funktionen vorhanden. Nach Möglichkeit werden wir sie in den nächsten Wochen nachrüsten. Dafür sollte es nun einige der Probleme lösen, die wir in den letzten Tagen, Wochen und Monaten hatten. Auch der Server ist nun potenter als bei unserem alten Hoster, wodurch wir nun langfristig den Tank mit Bytes vollgetankt haben.

    Anfangs mag die neue Boardsoftware etwas ungewohnt sein, aber man findet sich recht schnell ein. Wir wissen, dass ihr alle Gewohnheitstiere seid, aber gebt dem neuen Board eine Chance.
    Sollte etwas der neuen oder auch gewohnten Funktionen unklar sein, könnt ihr den "Wo issn da der Button zu"-Thread im Feedback nutzen. Bugs meldet ihr bitte im Bugtracker, es wird sicher welche geben die uns noch nicht aufgefallen sind. Ich werde das dann versuchen, halbwegs im Startbeitrag übersichtlich zu halten, was an Arbeit noch aussteht.

    Neu ist, dass die Boardsoftware deutlich besser für Mobiltelefone und diverse Endgeräte geeignet ist und nun auch im mobilen Style alle Funktionen verfügbar sind. Am Desktop findet ihr oben rechts sowohl den Umschalter zwischen hellem und dunklem Style. Am Handy ist der Hell-/Dunkelschalter am Ende der Seite. Damit sollte zukünftig jeder sein Board so konfigurieren können, wie es ihm am liebsten ist.


    Die restlichen Funktionen sollten eigentlich soweit wie gewohnt funktionieren. Einfach mal ein wenig damit spielen oder bei Unklarheiten im Thread nachfragen. Viel Spaß im ngb 2.0.

Sicherheit auf dem Rechner schaffen, wie denn?

Metal_Warrior

Defender of Freedom
Teammitglied

Registriert
10 Aug. 2013
Beiträge
6.830
Ort
/dev/mapper/home
Auch eine Beschlagnahmung oder Verwanzung des Mail-Postfachs könnte interessant sein und wenn aus Richtung deiner E-Mail-Kontakte Ermittlungen auf dich zu kommen könnten, macht es Sinn das Postfach abstreiten zu können. Dafür musst du eventuell deine Verbindungen zum Mailserver erklären oder abstreiten können.

TOR (anonymisierung) oder ein "VPN"-Service (pseudonymisierung, paid 2 keep silent) helfen bei sowas, machen dich aber, wenn du erst einmal impliziert bist, auch interessant.
Im vorliegenden Szenario (man möge mir gern widersprechen) ging es darum, dass die Firma hinter dem Angestellten steht, wenn es zur Auseinandersetzung kommt, und sowohl VPN als auch Mailpostfach bereitstellt. Ist das gegeben, kann IMHO davon ausgegangen werden, dass die Verbindung zum Mailserver via VPN erfolgt bzw. der Mailserver auch verschlüsselt mit den Folgenden der Kette kommuniziert, was ein Snooping von Außen ziemlich schwer macht.

Dann ist da die Sache mit Beugehaft zur Rausgabe des Passworts.
...der in DE aktuell noch nicht durchführbar sein dürfte, da man sich nicht selbst belasten muss, und die Herausgabe des PWs einer Selbstbelastung gleich kommt.

Dem Rat zu Linux bin ich auch gefolgt, muss Metal_Warrior aber in einer Sache widersprechen: Microsofts Bitlocker hat mit TPM und UEFI Integration Features, die unter Linux schwer erreichbar sind
Und an der Stelle muss ich dir leider widersprechen:
BitLocker, selbst wenn man es als sicher ansieht, speichert den Schlüssel in der Cloud (zu Sicherungszwecken), konnte in der Vergangenheit mit einem veralteten AD-Server zur Herausgabe bzw. Abänderung des Passworts gebracht werden und schaltet sich sogar vollständig aus, wenn die Festplatte vermeldet, Verschlüsselung zu können (und von den Herstellern hat meineswissens allein Samsung eine halbwegs sichere Implementierung hingelegt, der Rest war scheiße).
Quellen:
https://support.microsoft.com/en-in/help/4026181/windows-10-find-my-bitlocker-recovery-key
https://www.computerworld.com/artic...th-trivial-windows-authentication-bypass.html
https://www.computerworld.com/artic...dvises-you-switch-to-software-protection.html

Ergo: BitLocker hat zumindest in der Vergangenheit grobe Schwachstellen gezeigt und hat auch immer noch gewollte Angriffsvektoren. Von LUKS wüsste ich ad hoc nur einen Fehler, und der war die root-Lücke in der Timeout-Funktion von 2016, die nur getriggert hat, wenn das System vollverschlüsselt war und einige Stunden nach Bekanntwerden gefixt wurde.
 

Shodan

runs on biochips

Registriert
14 Juli 2013
Beiträge
661
Ort
Citadel Station
@Metal_Warrior:

Thema Threat-Model: dmx sagte in #1 die Lesezeichen und Browserverläufe sollen geschützt sein und hat das in #9 bekräftigt. Ja, im Szenario "Hausdurchsuchung mit Beschlagnahmung des Rechners und anschließender forenssicher Untersuchung" reicht natürlich eine ordentliche Verschlüsselung, da hast du mit #2 schon recht, es ist die 90% Lösung, die zuerst angestrebt werden sollte. Für #14 gebe ich dir daher auch ein Danke,

Im vorliegenden Szenario (man möge mir gern widersprechen) ging es darum, dass die Firma hinter dem Angestellten steht, wenn es zur Auseinandersetzung kommt, und sowohl VPN als auch Mailpostfach bereitstellt. Ist das gegeben, kann IMHO davon ausgegangen werden, dass die Verbindung zum Mailserver via VPN erfolgt bzw. der Mailserver auch verschlüsselt mit den Folgenden der Kette kommuniziert.[SUP][citation needed][/SUP]

Das sind eine ganze Menge Annahmen, die du da machst, die ich vom TS so nicht gelesen habe. In deinem Model könnte man sogar überlegen, ob GPG Verschlüsselungen der Mails sinnhaft ist, immerhin unterstellst du eine sichere Infrastruktur im Besitz eines Unternehmens, das in Rechtsstreitigkeiten zum TS steht :uglyngb: In dem von dir skizzierten Szenario könnte sogar ein berechtigtes Interesse des Unternehmens bestehen, ein eigenes Archiv der Mailinhalte und Bookmarks zu haben, damit das Projekt vom Unternehmen fortgeführt werden kann, falls der TS aufhört. (Backups sind ja bekanntlich auch ein wichtiges Kapitel im Buch der Sicherheit).


Aber das ist halt die Sache mit dem Threat Model: dmx interessiert sich laut #1 für die Königsdisziplin der digitalen Selbstverteidigung und hat sich hier dazu drängen lassen sich auf ein einziges und eventuell zu spezifisches Szenario festzulegen.
Vielleicht sind die Browserverläufe und Kontaktdaten aber auch nicht so wichtig, wie ihre Erwähnung in #1 und #9 impliziert und deren Abgreifen durch eine Fangschaltung auf Netzebene ein tragbares Risiko. :unknown: Oder dein Model stimmt und die Netzebene wird schon vom Unternehmen durch VPN gesichert.

Die gezielte Kommunikationsüberwachung des Verdächtigen durch den ISP / Mailprovider im Auftrag der Behörden finde ich halt naheliegend, wenn eine Hausdurchsuchung schon als mögliche Maßnahme in Betracht kommt. Immerhin ist letzteres die aufwändigere Maßnahmen. Das wird gerne vergessen, weil die HDS halt Jahrzehnte etabliert ist und Neulandüberwachung nicht. (Trotz Millioneninvestitionen der Polizeibehörden zu diesem Zweck). Es ist altmodisch diese Maßnahme als deutlich unrealistischer einzuschätzen,

Die Verschlüsselung des lokalen Systems reicht gegen diese eben nicht aus, um Browserverläufe und Mailkontakte zu schützen, Siehe auch #6 und die Gefährdung von Quellen durch Amateurjournalisten. Wir haben halt keine Ahnung, was dmx genau macht, dass er Daten hat, die für ihn und andere zu Problemen führen können. (siehe #9)
Aber genug davon: Immerhin hat der TS in #9 Anonymisierung als nicht notwendig eingeschätzt und anhand dieses Threads soll er ja in die Lage kommen das selbst richtig zu entscheiden, also werde ich nicht weiter darauf eingehen ;)


Thema Beugehaft: Ich will noch mal auf #3 hinweisen, insbesondere auf das xkcd Comic, Ja er kann die Herausgabe des Passworts komplett verweigern. Für einen umfassenden Schutz gegen die Behörden wäre aber auch eine Rechtsschutzversicherung interessant. Auch könnte man sich vorher informieren, wo man einen Anwalt herbekommt, der einem dann im Ernstfall, wenn man voll unter Stress steht, auch sagt "sie müssen das nicht herausgeben" und nicht "kooperieren sie, dann hole ich für sie einen guten Deal raus". Stego ist für letzteres interessant, fraglich ist aber, ob die Behörden kommen, weil sie wissen, dass es die Daten gibt. Du hast aber natürlich völlig recht damit, dass gar keine Passwörter herausgeben immer die datenschutzfreundlichere Option ist.

Wenn es aber nur um eine Hausdurchsuchung geht und Ermittlungen oder gar Gerichtsverfahren gegen den TS nicht in Betracht gezogen werden, dann ist das natürlich irrelevant. Wenn das aber zu betrachten ist, dann bitte nicht mit der Annahme, dass die Staatsdiener den Beklagten vollumfänglich und ehrlich aufklären. Zuletzt wird hier von allen Seiten impliziert, dass es um Deutschland geht, weil dass der Default für dieses Forum ist, nicht, weil der TS das so festgelegt hat.


Thema Bitlocker: Ich wollte in keiner Form behaupten, dass Microsoft sich nicht schon grobe Schnitzer geliefert hat, Deine Links ( "Die Home Edition hat ein Encryption Key Backup in der Microsoft Cloud", "Domäne-Authentifizierung konnte 2016 gebrochen werden" und "Wenn encryption über Bitlocker an die SSD deligiert wird und die ist broken, ist die Encryption broken") ändert nichts an meiner Behauptung, dass Bitlocker ein paar Features (TPM und UEFI secure boot support) hat, die unter Linux schwer sind.

Insbesondere das TPM sollte (von Linux-System-Architekten) nicht einfach ignoriert werden. Es ist ein Hardware-Modul, das aus Schlüssel mit niedrigerer Entropie Schlüssel mit höherer Entropie machen kann und dabei brute-force und tamper Resistenzen hat. Das ermöglicht bequeme Sicherheit und ist ein interessanter Ansatz für das Problem, dass viele Security Lösungen schlechte Usability haben. Ich persönlich mag diese Chips und ich finde es auch schön, dass der initiale Trotz ("die Konzerne bauen da nur Scheiße ein") gegen die Trusted Computing Group langsam verfliegt und die in Computern eingebauten Chips dann auch in Debian Stable irgendwann mal unterstützt werden. UEFI und IME unter Kontrolle zu bringen und sicher zu gestalten wird aber noch ekliger, ...

aber das wird doch sehr Off-Topic und hilft dem TS nicht, also lassen wir das mit der in-depth-Diskussion dieser Randthemen vielleicht besser. Am Ende bannt mich der Admin noch, weil ich es wage hier zu posten, obwohl er schon in #2 </thread> gesagt hat. :uglyngb:
 

dmx

Neu angemeldet

Registriert
3 März 2019
Beiträge
8
  • Thread Starter Thread Starter
  • #23
Danke für die fruchtbare Diskussion. Metal_Warriors Annahmen gehen in die richtige Richtung. VPN zum Server, etc.. und treffen meine Bedürfnisse. Es geht einzig und alleine um die Sicherung meines Endgerätes. Server- und Verbindungsüberwachung ist sicherlich möglich, aber in meinem Szenario sehr unwahrscheinlich. Rechtsanwalt und jemand der hinter mir steht gibt es.

HDS sind das niedrigschwelligste Mittel, am leichtesten durchzukriegen und erfreuen sich deshalb nach wie vor bei der Polizei großer Beliebtheit. Alles andere bedarf umfangreicherer Begründungen und wird eben nicht von jedem Richter einfach abgenickt. Eine gute, alte HD je nach Bundesland aber schon.

Ich habe mal noch eine Umsetzungsfrage. Wird die Sicherheit eines Linux-Systems beeinträchtigt, wenn ich es parallel auf meinem Windows installiere? Also: sollte ich komplett auf Windows verzichten, selbst wenn ich es nur für Online-Shopping verwende?
 

Shodan

runs on biochips

Registriert
14 Juli 2013
Beiträge
661
Ort
Citadel Station
Ist das eine Fangfrage? Online Shopping funktioniert mit Debian genau wie mit Windows über den Browser.
Warum willst du das weniger sichere System benutzen um deine Zahlerdaten einzugeben?


Ob es unsicherer wird?

- Ja, denn die Systeme können sich eventuell in die Haare kriegen, wenn sie Updates installieren.
- Ja, denn du musst doppelt so viele Recovery Mechanismen kennen.
Die Sicherheit im Sinne der Verfügbarkeit ist also reduziert.

- Ja, denn es ermöglicht dir ein unsicheres System zu nutzen.

Aber: Wenn du eine Vollverschlüsselung über LUKS machst, kann Windows die Daten des Linux Systems nicht lesen (->Vertraulichkeit) oder ändern (->Integrität).

Zuletzt ist es theoretisch möglich vom Windows aus den /boot des Linux zu manipulieren und zu infizieren.



Traditionell problematisch ist beim Dual Boot vor allem die Partitionierung und der Bootloader.

Früher hieß es immer Linux als zweites zu installieren, da es wenigstens versucht mit dem existierenden System zu koexistieren. Ich gehe davon aus, dass gilt auch heute noch, obwohl es inzwischen EFI und GPT gibt.

Grundsätzlicher Weg:
0. Backups haben
0.5) Bei der Gelegenheit auch gleich mal ein BIOS/UEFI Update machen.
1. Im BIOS auf UEFI boot stellen und "legacy" deaktivieren - du willst GPT Partitionen auf der Platte haben
2. Windows Professional installieren (ohne Bitlocker, oder dieses dann deaktivieren)
3. Windows Partition anpassen (falls nicht schon bei der Installation gemacht) um Platz zu haben
Achtung: nicht an der EFI, Recovery oder MSR Partition herumpfuschen!
3/4 Noch etwas Platz für eine Veracrypt-Partition lassen, als shared Folder der Systeme.
4. Debian GNU/Linux installieren (siehe #14).
4.1 Dieses sollte Windows entdecken und dir die Wahl bieten: eliminieren oder koexistieren
4.2 Grub-efi und LUKS Recovery erlernen
5. Zurück zu Windows wechseln und Bitlocker aktivieren.
5.1 wenn deine Platte sagt sie kann crypto und du glaubst ihre nicht: BitLocker zur Software-Encryption zwingen,
5.2 wenn du ein TPM hast PIN Eingabe beim Booten einstellen (und den Owner Key selber setzen und sicher verwahren)
6. Bitlocker Recovery Mechanismus erlernen: Es kann sein, dass Bitlocker feststellt, dass etwas verändert wurde und von 6 stelliger PIN auf 25 stelligen Recovery Key wechselt.
(Nutzer verschlüsselter Home Editions finden den in der Microsoft Cloud - it's a feature :m)

8. Beten, dass der Hersteller deines Motherboards dir keinen total verkorksten Boot-Manager auf dem Chip hinterlassen hat (siehe 0.5)

9. Mit Dual boot leben und feststellen, dass die eigene Umgewöhnungsfaulheit das größte Problem in Sachen Sicherheit ist
10. Glauben, dass man das Windows halbwegs sicher konfigurieren kann,
10.1 Zeit reinstecken
10.2 entsetzt feststellen, dass sich das erst ab der Enterprise Edition im Feature Set vollständig ist
10.2.1 und der Weg durch das selektive Auswählen von militärischen Spezifikationen führt.
10.3 Einen Teil der Einstellungen beim nächsten dicken Update rückgängig gemacht bekommen
11. Merken, dass Profesional nur hält, wenn man sich einen DC dazu stellt.

12. Bei 4 wieder anfangen und anders entscheiden
 
Zuletzt bearbeitet:

Metal_Warrior

Defender of Freedom
Teammitglied

Registriert
10 Aug. 2013
Beiträge
6.830
Ort
/dev/mapper/home
@dmx: Verzichte auf Windows - du wirst es mit hoher Wahrscheinlichkeit nicht vermissen, wenn du fähig und willens bist, die vom System angebotenen Alternativen zu deinen gewohnten Programmen zu nutzen (LibreOffice statt MS Office, Firefox statt Edge, Evince statt Adobe Acrobat Reader...).

--- [2019-03-13 00:31 CET] Automatisch zusammengeführter Beitrag ---

@Shodan: Ich gehe mitunter von bekannten Szenarien aus, mit denen sich ein Laie identifizieren kann, um zu einem Ziel zu kommen. Falls Widerspruch kommt, kann ich immer noch adaptieren, aber ich brauche erstmal eine Basis, auf der mich der Laie versteht. Wer lang genug in einem IT Servicedesk gearbeitet hat, der kommt schnell drauf, dass das, was der Kunde genau sagt, wesentlich weniger das Szenario beschreibt als das, was zwischen den Zeilen mitschwingt.

Und ich hab phre4k nicht mit Ban bedroht, weil er mir widersprochen hat, oder berechtigte Einwände hatte, sondern weil er sich wie das letzte Aas aufgeführt hat. Oder hattest du jemals das Gefühl, ich würde meine Verantwortung missbrauchen?
 

sia

gesperrt

Registriert
26 März 2015
Beiträge
5.931
Ort
FFM (NSFW)
Metal_Warriors Annahmen gehen in die richtige Richtung. VPN zum Server, etc.. und treffen meine Bedürfnisse. Es geht einzig und alleine um die Sicherung meines Endgerätes. Server- und Verbindungsüberwachung ist sicherlich möglich, aber in meinem Szenario sehr unwahrscheinlich. Rechtsanwalt und jemand der hinter mir steht gibt es.

Danke für die Klarstellung!

Auch wenn Shodan und Metal_Warrior hier mittlerweile fast alles gesagt haben, noch mal von mir an dich die Bitte, auch über die Sicherheit und Privatsphäre deiner Kontaktpersonen nachzudenken. Wenn ich mir vorstelle, dass es um Quellen- oder Mandantenschutz geht, kann ich mir vorstellen, dass die Kommunikationspartner der anderen Seite nicht unbedingt besser aufgestellt sind als jemand wie du, der sich intensiv selbst informiert.
 
Oben