Ich möchte hier noch ein Paar Infos im Kommentar ergänzen: Das Kennwort zu umgehen kann noch einfacher gehen, den Weg habe ich aber bewusst nicht genommen, dazu ist kein Bootmedium notwendig... Der Angriff fand über eine VM statt, dieser ist aber auch bei physischen PCs meist recht einfach möglich, hier ein paar Optionen - USB Stick - CD ROM - Boot über Netzwerk - HDD/ SSD/ NVME ausbauen und dann in einem anderen System bearbeiten Es ist mir aktuell kein Windows bekannt wo das nicht funktioniert (außer wenn die Festplatte verschlüsselt ist) es ist also nicht wichtig ob es ein Windows 10/11/7/8 etc. ist technisch sind auch Serverversionen betroffen, jedoch gibt es hier durch Domänen ggf. nochmal Besonderheiten. Technisch kann man mit einem BIOS Passwort hier noch etwas mehr Schutz herstellen, aber auch das ist häufig einfach zu übergehen, bzw. wenn ich die Disk ausbaue hilft das leider auch nichts mehr. Wirklichen Schutz bietet tatsächlich nur eine Festplattenverschlüsselung. Aber auch hier kann es Schwachstellen geben... Was ich im Video vergessen habe zu erwähnen. Die Passwörter vom Edge Browser die gespeichert waren, sind nach dem Angriff nicht mehr zugreifbar gewesen. Was mich hier verwundert ist, das Firefox und Chrome die Passwörter weiterhin behalten haben.
Man kann doch im Browser auch nur einen Teil des Passworts speichern.Man speichert nur den kryptischen Teil des Passworts, fügt dann aber noch eine Wortfolge hinzu, etwa "Violette Zitronen tanzen Marmelde".
@@Hofer2304 Das ist natürlich eine Option. Vielleicht ist meine Erwartung da zu hoch, ich versuche kurz zu erklären warum ich eigentlich erwarten würde das ein Browser seine gespeicherten Zugangsdaten nicht mehr preisgibt wenn das Windowskennwort wie im Video mit der Brechstange entfernt wurde. Windows erkennt dies und verarbeitet diese Tatsache auch (wie z.B. im Edge gut zu erkennen) Dazu kommt das (jetzt wird es kurz technisch) die Windows API im speziellen die Data Protection API das out-of-the-box mitbringt. Daher wäre es ein leichtes eine Manipulation der SAM zu erkennen und damit den Zugriff auf die Passwörter zu koordinieren. Im C# Code sind das nur wenige Zeilen... bool CryptProtectData(ref DATA_BLOB pPlainText, string szDescription, ref DATA_BLOB pEntropy, IntPtr pReserved, ref CRYPTPROTECT_PROMPTSTRUCT pPrompt, int dwFlags, ref DATA_BLOB pCipherText); // Wrapper for CryptUnprotectData function. [DllImport("crypt32.dll", SetLastError = true, CharSet = System.Runtime.InteropServices.CharSet.Auto)] private static extern bool CryptUnprotectData(ref DATA_BLOB pCipherText, ref string pszDescription, ref DATA_BLOB pEntropy, IntPtr pReserved, ref CRYPTPROTECT_PROMPTSTRUCT pPrompt, int dwFlags, ref DATA_BLOB pPlainText); Daher verstehe ich nicht warum dies nicht implementiert wird... Die Idee die DPAPI dazu zu verwenden ist ja auch nur eine Option von vielen.
@@ITanderBar Es kommt aber auch auf die Sicherheitsanforderungen an. Ich wäre nicht erfreut, wenn alle meine Passwörter für Spieleseiten oder Onlinekurse weg wären, nur weil ich mein Benutzerpasswort vergessen habe. Aber für sensible Konten ist es natürlich eine Katastrophe, wenn die Passwörter in die falschen Hände gelangen.
@@Hofer2304 Das wollte ich mit "und damit den Zugriff auf die Passwörter zu koordinieren." ausdrücken. Wenn eine Manipulation erkannt/ vermutet wird, könnte dann entsprechend darauf eingegangen werden. Das kann ja auch mit Recoverycodes, Push Nachricht, etc. abgefedert werden,.... Generell weiß ich nicht, aber mir wäre es schon wichtig das wenn eine Manipulation im Möglichen wäre lieber zu stringent vorgegangen wird - Accounts kann man ja irgendwie immer zurückholen. Der Schaden wenn die Accounts gestohlen werden ist meiner Meinung nach dort ggf. höher zu bewerten - zumindest für mich persönlich.... Technisch muss ich wohl zugeben das ich Browser generell für den falschen Ort halte um Passwörter abzulegen, aber das steht auf einem anderen Blatt.
Das nur Edge die Passwörter vergisst ist wenig verwunderlich. Er ist ein elementarer Teil des Betriebssystems. Andere Browser sind bei weitem nicht so tief mit dem System verzahnt. Während Edge so programmiert werden kann, dIe Verschlüsselung der Passwörter an das Windows-Passwort zu binden, ist dies bei anderen Browsern (gewollt) unmöglich. Auch ist nicht wirklich klar, ob Windows bei Manipulation wirklich eine System-Meldung generiert und für Firefox, Chrome und Co zur verfügung stellt. (Ich gehe eher nicht von aus, dass Microsoft das überhaupt meldet und falls doch, dann doch sicher nicht an Konkurrenzprodukte, wenn die User doch bereits mehrfach gedrängt werden, sie sollen doch gefälligst hauptsächlich den hauseigenen Edge- Browser zu nutzen. )
sehr informativ. wer hätte das gedacht. danke für das video. nicht zu lang, aber auch nicht zu kurz. gute länge für das video. kurz was gelernt, hat spass gemacht
Solange die Platte unverschlüsselt ist, ist es doch völlig egal, ob ich das Passwort zurücksetzen kann oder nicht? Wenn ich die Passwortdatei lesen kann, kann ich doch gleich die Dateien (Geschäftsberichte etc.) lesen, dich ich eigentlich lesen möchte? Oder übersehe ich da was?
Den Browser mit Profil auf ein anderes System zu portieren um die gespeicherten Passwörter auszulesen ist sicherlich möglich, aber relativ aufwändig. Auch wird es Programme geben die beim einfachen kopieren nicht starten da Registry Teile übernommen werden müssen. Ein Laufendes Windows verrät zudem gleich auch sehr viel über seinen Nutzer, auch diese Infos sind relativ aufwändig zu rekonstruieren. Aber technisch gebe ich dir vollkommen recht. Es geht mir in dem Video darum die Leute zu sensibilisieren das ein Kennwortschutz kein Schutz ist und nur verschlüsselte Systeme ein Grundmaß an Sicherheit bieten, viele halten dieses Kennwort als Sicherheit vollkommen ausreichend...
Das ist überall das gleiche: Wenn die Platte nicht verschlüsselt ist kommt man eben an diese Daten (Die SAM-Datei gibt es seit NT/2000 (1993) vorher war der Kram sogar in Klartext, Windows war schon immer Rückständig in solchen Dingen)... Hier wurde das Passwort nicht ausgelesen sondern lediglich gelöscht. Das ist das Gleiche wie wenn du unter Linux oder vermutlich bei deinem Mac einfach die /etc/shadow (Gibt es seit Ende der 70er, vorher gab es die /etc/passwd die aber trotzdem verschlüsselt, wenn auch schwach, war) editierst.
Bei Windows Pro gibt es noch EFS (Seit Windows 2000 gibt es dieses Feature) Einfach mal unter den Eigenschaften der Datei die Dateiverschlüsselung von Windows für diese Datei aktivieren. Ab diesem Zeitpunkt darf nur noch der Nutzer selber das Passwort ändern, ansonsten wird das Zertifikat für die EFS-Verschlüsselung ungültig.
Dies ist eine gute Option wenn man einzelne Dateien oder Ordner schützen möchte, man muss etwas aufpassen, ich habe es leider schon erlebt das die Zertifikate von heute auf morgen nicht mehr nutzbar waren (sogar im Firmenumfeld mit entsprechendem GPO Rollout für Masterkeys) auch besteht die Gefahr etwas zu übersehen - meiner Meinung nach steht heute nichts mehr dagegen einfach die ganze Platte generell zu verschlüsseln für die Rechnen Leistung ist das kaum mehr relevant...
@@ITanderBar Der Trick für die Performance heißt AES-NI. Bei Windows 10 muss Microsoft noch beide Codes für den Bitlocker mitliefern (also CPU-Features abfragen und dann entweder AES-NI verwenden oder die SW-Implementierung). Bei Intel wurden die ersten CPU's mit diesem Feature 2008 verkauft und jeder aktuelle CPU sollte das Feature haben. Also wird die Verschlüsselung mit AES direkt von den CPU's unterstützt, darum geht die Verschlüsselung heut zu Tage kaum noch auf die Performance.
Interessantes und informatives Video, danke dafür. Wie ist es eigentlich wenn man sein Benutzerkonto mit einem Hardwareschlüssel wie z.B. dem yubikey oder ähnlichem absichert. Wäre dann diese Methode auch so möglich bei unverschlüsseltem Datenträger?
Das Problem mit der Festplattenverschlüsselung: der Datenaustausch zwischen TPM-Modul und Prozessor geschieht unverschlüsselt über die LPC-Schnittstelle. Wenn man hergeht und sich um 5 € einen Microcontroller kauft und mit 5 Kontakten und dem richtigen Code ausstattet, kann man auf den Hashwert des Bitlockerpasswort zugreifen und den Zugang mit diesem auch wieder verifizieren. Den Code kann man sich frei zugänglich rauskopieren. Mit der aktuellen Technologie ist eine Festplattenverschlüsselung keine Lösung zum Schutz seiner sensiblen Daten.
Tatsächlich ist das ein Problem. Man muss sich irgendwie fragen warum man viel Energie in ein TPM investiert und man dann zum Schluss die Daten unverschlüsselt über den Bus übermittelt. Aber: die Aussage das es keinen Schutz bietet muss ich leider etwas differenzieren. Zum einen gibt es nicht nur Bitlocker und TPM basierte Systeme, auf der anderen Seite ist es auch möglich ein Passwort mit Bitlocker zu kombinieren, dann ist dieser Angriff so nicht mehr möglich. Was noch dazukommt und da habe ich eine Frage: Den Angriff den ich kenne geht über die SPI Schnittstelle, da man dort den Vorteil hat das man nicht direkt an das TPM muss. Dazu benötigt man 4 Leitungen. Die Daten müssen dann in einen Logikanalyzer und man muss sich auf die Suche machen. Mir ist kein Code bekannt (was jetzt nichts heißen soll da ich mich zuletzt mit dem Thema vor 3-4 Jahren auseinandergesetzt habe, aber auch ein kurzer Blick über GitHub hat erstmal nichts gebracht) den man auf einen Mikrokontroller bringt und dieser dann den Key ausliest, hast du da bitte mehr Infos? Denn technisch müsste das schon möglich sein... Es bleibt aus meiner Sicht die Thematik das man nicht den reinen Schutz des TPMs nutzen sollte sondern ein Passwort kombinieren, damit ist dieses Risiko dann nicht mehr existent.
Soweit so gut aber das stimmt nur bedingt. Ja, bei discrete TMP (seperater Chip) läuft unverschlüsselte Kommunikation mit der CPU über den SPI Bus. Hier kann tatsächlich wie beschrieben + mit sehr gutem Timing der Bitlocker Hash abgegriffen werden. Bei firmware TPM sieht das jedoch anders aus. Diese sind in modernen CPUs bereits integriert und somit funktioniert dieser Angriff nicht mehr. Hier den Bitlocker Schlüssel abzugreifen wäre eine spannende Master Thesis wert ;) Somit würde ich meinen, dass mit der aktuellen Technologie (was fTPM sind) eine FullDiskEncryption absolut eine super Lösung zum Schutz seiner sensiblen Daten darstellt.
@@ITanderBar Ja wurde bereits erfolgreich durchgeführt: it-forensik.fiw.hs-wismar.de/images/4/45/MT-SLasogga.pdf Hochinteressant und deutlich komplexer als hier beschrieben sowie an diverse Rahmenbedingungen gekoppelt.
@@ITanderBar Der Angriff wurde bereits erfolgreich durchgeführt. Wenn auch deutlich komplexer als hier eingangs beschrieben und an diverse Rahmenbedingungen gekoppelt. YT lässt leider nicht zu, dass ich die entsprechende Master Thesis der Hochschule Wismar hier verlinken darf... Man findet sie wenn man bei Google "Angriffe gegen TPM basierte Festplattenverschlüsselung" sucht (mit den Anführungsstrichen "")
@@ITanderBar ich habe mehrmals versucht hier zu antworten aber YT löscht meinen Kommentar immer wieder :D Der Angriff wurde bereits erfolgreich durchgeführt, wenn auch komplexer als hier beschreiben. Verlinken oder darauf verweisen darf ich scheinbar an dieser Stelle nicht ohne dass der Kommi gelöscht wird. LG
2:56 an dieser Stelle hätte ich angemerkt dass das nicht mit BitLocker verschlüsselten Festplatten funktioniert weil man Zugriff auf die Festplatte benötigt. Ich hätte zudem in einem Video was sich an Laien richtet, eher die Methode mit sethc.exe oder utilman.exe ersetzen erwartet. Dennoch ein sehr interessantes Video, da ich z.b dieses Boot Tool noch nicht kannte. Edit: achso BitLocker wird noch später erwähnt.. ich hätte früher im Video damit gerechnet
Ja stimmt das hätte man dort direkt erwähnen sollen, so ist der Kontext etwas zerrissen, da es erst etwas später dann kommt,... Tatsächlich hab ich mich bewusst für eine komplexere Methode entschieden, hab oben einen Kommentar angepinnt dazu. Zur Einfachheit gebe ich dir aber komplett recht, für die Sensibilisierung die mir hier am wichtigsten ist, ist eine kleine Hürde meines Erachtens nicht so verkehrt.
Über dieses Problem hatte ich mal vor gut 20 Jahren nachgedacht, nachdem mir mein Notebook aus dem Büro entwendet wurde (Einbruch). Das war mit ein Grund, von Windows auf ein anderes Betriebssystem zu wechseln😏
Das ist leider kein direktes Betriebssystem Problem. Heute kommt ein weiteres Video - Dort zeigen wir wie es unter Linux aussieht... Nur Festplattenverschlüsselung kann das Problem umgehen. Wenn man also ein OS nimmt das dieser per Default nutzt, oder eben bei Installation / im Nachgang aktivieren kann, löst das die Problematik. Welches OS hast du 2004 dann genutzt um entsprechend sicher zu werden?
@@ITanderBar ...momentan ist Manjaro Linux mein Arbeitssystem und das ganze natürlich mit LUKS (alle SSDs und ext. Speichermedien verschlüsselt) Ein altes Lenovo Notebook läuft mit Fedora, da ich unter Manjaro meinen Drucker nicht zum laufen bekomme.🙄 ...das ging vor ein paar Jahren und irgendwann war der Treiber raus🤷🏻
Ich weiß nicht mehr, vor 10 Jahren, oder so, war ein Bild in Umlauf. Eine schmucke Villa (Windows) geschützt von einem schweren eisernen Tor und links und rechts daneben eine 30 cm hohe Hecke...
Also so ziemlich für jeden, den das neu ist wird in Zukunft eher das andere Problem haben. Es werden immer mehr Geräte mit aktiviertem Bitlocker ausgeliefert, was auch bedeutet dass wir in einigen Jahren immer mehr Fälle haben werden in denen CPU/Mainboard und damit das TPM defekt ist, und damit die Daten auf dem Datenträger verloren sind. Der Hinweis doch bitte die Festplatte zu Verschlüsseln ist für die meisten, ich nenn sie mal "Casuals", an welche sich dieses Video richtet, die viel größere Gefahr als ein potentieller Datendiebstahl wenn ein Gerät physisch gestohlen wird. Wer entsprechend sensible Daten bei sich gespeichert hat, und noch dazu damit an Orten verkehrt, an denen ein Diebstahl wahrscheinlich ist, wird wohl hoffentlich entsprechende Vorkehrungen getroffen haben. Für alle anderen deren PC einfach nur daheim steht, und auf welchem die Familienfotos liegen ist höchstwahrscheinlich viel besser dran auf Verschlüsselung zu verzichten, die meisten dürften wohl bei einem Einbruch wesentlich größere Probleme als die Daten am PC haben.
Ich bin dabei das es ein Thema ist, das die Verschlüsselung, vor allem wenn man damit nicht rechnet, oder ggf. noch nicht mal davon weiß, eine Schattenseite hat, nämlich die des Keys, wenn z.B. der Bitlocker (warum auch immer) nach dem Notfallschlüssel frägt. Der Rest ist für mich bisschen so wie das Thema Airbag, Gurt und Co. Es schützt kann aber auch negative Seiteneffekte haben. Die Verantwortung sehe ich hier beim Hersteller und da muss man klar sagen ist Microsoft sehr intransparent. Der User bekommt wie von dir schon angeschnitten u.U. keine Info das dem so ist. Theoretisch sollte aber durch den .NET Kontozwang aber der Key gesichert worden sein. Die Grauzone ist hier also bei dem der den Zwang umgangen hat und das finde ich den falschen weg. Ein Sicherheitsfeature darf nicht abhängig von solchen Faktoren sein.
Dass Bitlocker hier immer wieder genannt wird, ist prinzipell nicht schlecht. Jedoch ist Bitlocker auf den meisten - den Homeversionen - nicht einsetzbar. Oder hat mich der Zeitenlauf schon überrannt und mein Wissen ist alt und verschrumpelt.
Bitlocker ist definitiv im Home Windows mit Vorsicht zu genießen, meine Erfahrung ist das mit einem Microsoft Konto verknüpft mit Windows 11 Bitlocker auch im Home genutzt werden kann - was mich stört ist das es nur mit Microsoft Konto klappt (da sonst kein Recovery Key gesichert werden kann)
Ja gut, ist schon ewig bekannt und funktioniert, solang die HD nicht verschlüsselt ist. Wer heute noch unverschlüsselt unterwegs ist, hat eh nichts interessantes auf dem System
Hallo Leute, bezieht sich das jetzt nur auf das Windows Passwort oder kann man da auch Login mit PIN/Fingerabdruck/Face-ID löschen? Angeblich soll PIN/Fingerabdruck/Face-ID ja sicherer sein. Danke schon mal für eure Antworten.
Ich bin relativ zuversichtlich das dass keinen weitern Schutz bei diesem Angriff bietet, da ich ja immer auf das Passwort zurückgehen kann. Aber ich teste das nachher mal kurz und berichte 😉
Früher war es den Pro Versionen vorenthalten. Ich hatte nun bereits mehrfach Windows Home 11 in der Hand und dort war Bitlocker aktiv (ohne das dass bewusst aktiviert wurde). Was etwas suboptimal ist, das der Notfallkey dort vorab nicht gespeichert werden musste - angeblich wird der mit dem .NET Konto verknüpft. Doch viele umgehen das ja, daher kann es im Worst Case sein das man nicht mehr an seine Daten kommt wenn Bitlocker nach dem Key verlangt.
@ ja denke es ist inzwischen sehr selten - besonders weils anfällig is. Hilft bei Roaming Profiles, (aber es ist verwunderlich warum Firefox es nicht wenigstens für die Profile Verzeichnisse nutzt)
Der Schutz ist aber auch, daß die Daten weg sind, wenn Du Dein Passwort nicht mehr zusammen bekommst - Umweg über das MS-Konto lässt Dich wieder rein - sofern Du ein MS-Konto eingerichtet hast (bin nur bis XP bei Win gewesen - also eher Halbwissen ;)). Netter Nebeneffekt - mit aktiviertem Bit-Locker wird das Installieren eines 2.ten OS - Ubuntu oder so - erfolgreich verhindert - eben mit dem Aussperren und MS-Konto, 2-Faktor-Authentifizierung ... das ganz große Paket. ... noch darf die Kiste also öfter am Tag mit Win abschmieren, weil das Aufspielen von Ubuntu bisher äußerst umständlich und wenig erfolgreich war - und der Lust-Faktor nahe Null liegt ... Win läuft zumindest halbwegs ... bis zum Absturz ... so weit bin ich mit Ubuntu noch nihct ...
Ich habe zufällig gestern Abend ein Ubuntu parallel zu einer Bitlocker Windows 11 Home Partition installiert - das war problemlos möglich, auch Multiboot über GRUB hat tadellos funktioniert. Was ich aber noch nicht geschafft habe die Ubuntu Partition bei der Installation sofort per LVM zu verschlüsseln. Man könnte aber auch, wenn die Bitlocker Partition bei der Installation Probleme macht, die Verschlüsselung deaktivieren - dann Ubuntu drauf und danach wieder aktivieren (hab ich auch schon so gemacht z.B. auf dem Yoga den man öfter in den Videos mal sieht) Sensible Schlüssel wie Festplatten Recovery Keys sollte man immer sicher (ggf. sogar offline) aufbewahren, da sonst wie du schon sagst einfach alles Weg ist...
@@ITanderBar Danke Dir für die Antwort - kA, wo ich mich blöd angestellt hatte - so ein oder zwei Mal hatte ich nun doch schon Ubuntu installiert. Bisher durfte ich noch nicht wieder an den Laptop :) Der steht zwar öfter hier bei mir herum, aber ist halt nicht Meiner und ich hätte gerne das OK vom Besitzer - und wenn Er dabei ist, schadet Das auch nicht - spätestens zum Win per MS-Konto retten - davon ab - wenn das Benutzerkonto per MS-Konto entsperrt wird - klappt der Laptop überhaupt offline? So schlimm ist's hier in -D- zwar nicht wirklich, aber dank Vodafone sind's auch keine 100%. Bin selber von '95 bis XP Win-User gewesen (95 war das Erste Win, was in meinen Augen halbwegs benutzbar war, 98 war wesentlich besser, gerade als SE, und XP war, meiner Meinung, die Spitze) und seit Okt'06 Ubuntu, zwischendrin Mint. Eigentlich mehr per Zufall, da ich damals einige Server jeweils in einer VM lokal laufen hatte - und ein klein wenig Ehrlich wollte man ja auch sein und nur für den Spieltrieb Win-Lizenzen ... neee ...
Ich bin Linux-Anfänger und finde generell, dass den Anfängern wenig Erfahrung und Tipps gegeben wird. Auch wenn man hier in youtube immer mal wieder fündig wird. Nach so etwa einem halben Dutzend Installationen (Mint/Wilma mittlerweile) gebe ich mir selber folgende Tipps (bei Installation und upgrades (nicht updates)): Wenn's irgendwie geht, kein dual boot. Falls doch, dann, wenn's irgend geht, Linux auf eine eigene physische Disk. Dann vor dem Installieren alle andern Disks abhängen, SATA-Anschluss zum Beispiel. Das reduziert die Möglichkeiten, durch Falschmachen irgend was abzuschiessen, ganz gewaltig. Für Fortgeschrittene ist das sicher was doofes... sorry.
Es ist leider vor allem für Einsteiger nicht immer so ohne. Aber ich kann dazu folgendes sagen, auch ich hab mir schon öfter das Betriebssystem bei solchen Aktionen gekillt. Dabei lernt man auch viel. Das erste Mal bei mir war mit 9 Jahren, bin über den Format Befehl gestolpert hat da ne Zeit gedauert bis ich MS DOS 3.11 wieder am laufen hatte 😝
@@ITanderBar ... zumindest durftest Du per FORMAT die System-Platte formatieren - ist unter Win etwas komplizierter. Wenn Dir danach ist - unter Linux darfst Du auch Alles, wenn Du die Rechte dazu hast - als 08/15-Bediener ist Dir aber ebenso untersagt, außerhalb Deines home-Verzeichnis Unfug zu treiben - aber hier bist Du immerhin für Deine Daten recht nah an Gott :)
Der erinnert mich daran dass ich wieder VeraCrypt aktivieren sollte. Das Problem war damals dass nach größeren Updates mein Bootloader am Arsch war und ich immer aufwändig mit Offline Decryption (LAAAAAAAANGSAM) und Re-Encryption fixen musste. Ist ja für ne SSD auch nicht geil dieser massive Write. Windows hat einfach immer im UEFI rumgepfutscht und den VeraCrypt Loader entfernt. Seitdem bin ich unverschlüsselt unterwegs. Oder ich geh halt doch auf Bitlocker aber eigentlich will ich mir nicht soviel M$ Kram reinziehen.
Ja die VeraCrypt Odyssee kenne ich leider auch zu gut - wobei dort auch viel passiert ist - vielleicht ist es mal wieder einen Versuch wert 🤔 Ich werde es mal bei meinem nächsten Laptop in Erwägung ziehen - hab mich zuletzt auch für Bitlocker entschieden unter Windows da es genau aus den genannten gründen von dir nicht immer wieder in einem Desaster endet.
Wie wäre es, die Win-Platte, also das System, eher klein zu wählen und Diese per M$-BitLocker 'ganz normal' updatefest verschlüsselt zu haben und den Kram, Der Dir wirklich wichtig ist, verschlüsselt Vera?
@@aaaooaao9949 Im Prinzip hab ich das schon so, liegt alles auf eigenen VC Partitions. Trotzdem hätte ich ungern jemand in meinem Windows drin, da gibt's noch genug zum schnüffeln gerade in den Browsern.
Hab am Wochenende mal wieder veracrypt verprobt. Erster Eindruck war das auch die Systempartition problemlos verschlüsselt werden konnte (unter Windows) weitere Tests stehen aus
Als Laie finde ich es schon erschreckend wie einfach alles gehackt werden kann. Da ich fast keinem Anbieter traue, schreibe ich viele Passwörter analog in ein Notizbuch, das in den Tresor kommt :) Aber selbst das ist wohl keine Sicherheit, da das Passwort sicher irgendwo auf dem Server des Anbieters liegt.
Es gibt hier verschiedene Dimensionen ich will das vor allem für "Laien" die nächste Zeit versuchen etwas verständlicher zu machen. Auf Servern liegt "hoffentlich" immer nur ein Hash. Dies ist ein Algorithmus welcher aus z.B. einem Passwort einen Buchstabensalat macht der immer gleich groß ist. Egal wie lange das Passwort ist. Dieser Salat kann logisch / mathematisch nicht zum Kennwort zurück gebaut werden, es ist ein irreversibler Vorgang. Man kann jedoch einen Hash "ergattern" wie es bei Datenlecks zum Beispiel passiert und dann prüfen ob ein Passwort dem Hash entspricht. Das nennt man dann Wörterbuchattacke oder Brute Force Attacke - wir haben da bereits ein paar Videos gemacht und zeigen das demnächst anhand eines WLAN Kennwortes... (für die Profis ich habe bewusst auf Hashkollisionen verzichtet) Lange Rede kurzer Sinn - Wenn die Kennwörter sicher sind (Zufall aus Buchstaben, Zahlen und Sonderzeichen - nicht in einem Wörterbuch zu finden - mind. 12 Zeichen) ist das Notizbuch wohl eine der sichersten Methoden. Wenn dann die Festplatte verschlüsselt ist, man nicht wild auf jeden Link in E-Mail klickt, muss jemand schon ein wirklich starkes Interesse und etwas Glück haben um weiterzukommen,....
Bei einem physischen PC/ Laptop gibt es folgende Möglichkeiten: - USB Stick - CD ROM - Boot über Netzwerk - HDD/ SSD/ NVME ausbauen und dann in einem anderen System bearbeiten Technisch kann ein BIOS Passwort hier noch etwas mehr Schutz bieten, aber auch das ist häufig einfach zu übergehen... Für Linux ist das Video schon fertig - also gespannt sein 😉
@@demil3618 Bisschen heißt es noch abwarten 🙂 Jetzt kommt dann das Video wo wir eine App mit einer Malware infizieren und zeigen was damit möglich ist. Vermutlich Freitag den 11.10 wird das Linux Video kommen,...
@@demil3618 Da Du per Live-System Dich in einem Platten-Linux ebenfalls anmelden kannst und dort als admin/root eben auch 'Dein' Passwort ändern darfst - kein größeres Problem. Einzig - es fällt auf, wenn mein Passwort nicht mehr passt - also für die schnelle Nummer ok, für längeren Spaß unentdeckt im fremden PC ist Das Nichts. Ebenfalls nur bei unverschlüsselter Platte - verschlüsselt sieht das Live-System auf der Platte ebenfalls nur Müll und kein System - ähnlich Windows, wenn's eine Linux-Platte zu sehen bekommt ;)
Ja so ist es. Gefühlt kann man im Linux den Hash des Passworts schneller/ einfacher extrahieren und dann wäre natürlich eine entsprechende Attacke möglich um das Passwort ggf herauszufinden....
Hey, Danke für das Informative Video. Nur nochmal für mein Verständnis. Das heißt im Klartext wenn ich es richtig verstanden habe: So lange die USB Ports nicht gesperrt sind kann ich von jedem Windows PC das Passwort deaktivieren mit diesem Tool? Außer man hat Bitlocker natürlich Installiert.
ist die Frage, wie deine USB-Ports gesperrt sind. wenn das nur in Windows gesperrt ist, ist das an der stelle vollkommen egal - da sind wir ja beim Boot, wo der Stick gelesen wird. Wenn die Hardwaretechnisch oder im BIOS deaktiviert sind, ist das natürlich schonmal nicht mehr ganz so Trivial, aber im Zweifel kann man immernoch die SSD ausbauen und in einen anderen PC stecken - der diese Einschränkung dann nicht hat. Bitlocker macht diese Manipulationen mit anderen Bootumgebungen erstmal unmöglich.
Die USB Ports sind nicht die einzige Stelle für einen "alternativen" Bootvorgang. Folgende Möglichkeiten gibt es - USB Stick - CD ROM - Boot über Netzwerk - HDD/ SSD/ NVME ausbauen und dann in einem anderen System bearbeiten Technisch kann man mit einem BIOS Passwort hier noch etwas mehr Schutz herstellen, aber auch das ist häufig einfach zu übergehen, bzw. wenn ich die Disk ausbaue hilft das leider auch nichts mehr. Wirklichen Schutz bietet tatsächlich nur eine Festplattenverschlüsselung. Aber auch hier kann es Schwachstellen geben...
Ja, entweder usb gelockt oder boot Menu gesperrt. In dem Fall müsstest du die Platte in einem anderen Rechner stecken. Ganz selten haben Disks auch Hardware Verschlüsselung die das verhindern, oder halt bitlocker. Gilt genauso für Linux
Intressant.. warum gibt es bei jeder installation den admin account ?? Könnte man den nicht bei der installation weg lassen (also wenn ich MS CEO wäre xD ) Der adminMS account den wir nicht sehen und nutzen können, um z.b. daten im system zu löschen die das system beschädigen könnten Aber um windows allgemein sicherer zu machen würde es doch mehr sinn ergeben den account weg zu lassen, und eine möglichkeit einzubauen, so ein adminMS account per backdoor einzupflegen So könnte keiner das betriebssystem bearbeiten ausser MS selber oder leute die so ein stick mit dem account halt haben ..
Bin mir nicht sicher welchen Account du genau meinst. Windows kommt idR mit einem Administrator Account der ist aber gesperrt und der Account der bei der Installation angelegt wird, wird automatisch Admin. Ohne Adminaccount wäre ja so ein PC stark eingeschränkt, was Installationen und Co angeht. Kannst du das ggf. noch etwas genauer formulieren?
Man sollte vielleicht dazusagen, dass es Bitlocker bereits seit Windows 7 gibt und nicht erst mit Windows 11. Wer heutzutage seine Platte nicht verschlüsselt ist einfach nur selber Schuld, die Möglichkeiten sind alle da.
Ich würde es nicht so drastisch formulieren - wenn jedoch das Ergebnis das Gleiche ist - Es gibt einfach viele Menschen die das einfach nicht wissen, weil sie sich damit nie auseinandergesetzt haben, es vielleicht auch gar nicht wollen. Man kann hier wieder über den PC-Führerschein debattieren. Im Ende soll dieses Video genau dafür sensibilisieren.
Grüß dich Michi, was mich immer wieder bei Windows überrascht das es immer noch den Trick mit cmd.exe über die utilman.exe zu kopieren und dann beim Anmeldebildschirmüber die erleichterte Bedienung eine Admin cmd zu haben. Dann ist net user nur noch die kleinste Hürde. Gruß Micha vom Tux-Flash
Servus Micha, danke für deinen Kommentar. Ja - das fasziniert mich tatsächlich auch immer noch - hab für das Video tatsächlich bewusst nen "komplizierteren" Weg genommen
Eigentlich nicht. Das ist völlig normal und bei fast jedem Betriebssystem ähnlich, dass wenn man physikalischen Zugang zu einer unverschlüsselten Festplatte hat, man solche Dinge machen kann. Die Lösung ist ja auch da - Festplattenverschlüsselung.
7:09 tatsächlich nicht, ich habe gestern Nachmittag bis Abends mein Windows neu aufgesetzt, also selbst mit einer Neuinstallation ohne mein Zutun ist keine Partition verschlüsselt
Das ist spannend - ich hatte nun bereits mehrere frische Windows 11 Home Installationen welche ohne zutun verschlüsselt waren 🤔 Welche Version war es genau? War die Installation auf einem PC mit TPM Modul?
@@ITanderBar pro,Rechner hat (f)TPM (Rezensionen 5800x, meine b450-a pro mainboard) , später umgestellt auf mein separates tpm Modul, Infineon für das board
@@dennistechexperience5393 so gerade getestet mit Windows 11 Home auf nem frischen Laptop. Die SSD wird sofort als Bitlocker verschlüsselt angezeigt (ohne das ich dort was ausgewählt habe) aktuellste Windows 11 Version mit MCT. Ich vermute es liegt an der Pro da dort der Prozess anders läuft - hier wird der Bitlockerkey ja direkt mitgeteilt und muss auf einem Stick gespeichert oder ausgedruckt werden - in der Home wird der im M$-Account abgelegt...
@@dennistechexperience5393 tatsächlich hab ich nun nochmal ne Installation gemacht und mit shift+f10 und der out-of-the-box expirience den MSAccount umgangen - die Disk ist weiterhin Bitlocker verschlüsselt 🫣 obwohl der Key nirgendwo gesichert wurde,...
Das Funktioniert aber auch nur mit einem Lokalem Konto aber dazu muss ich kein anderes Bootsystem haben. Wenn man sich etwas in Windows auskennt weiß man sowas. Tja im Großen ganzen Leihen nutzen kein Lokales Konto sondern ein Windows Konto und da das Passwort zu bekommen kennen wir. Mac Nutzer sind ärmer dran da bekommt man das passwort noch leichter raus, da hilft dir der mac viel besser und man braucht nicht mal ein anderes System. Es gibt einfach kaum etwas außer der Bitlocker der das system komplett verschlüsseln kann und wenn du deinen Schlüssel verlierst na dann sind auch deine Daten nicht mehr in Gefahr. Also alle gehen nur auf Windows los ob wohl auch der Mac nicht mal wirklich sicher ist. ich benutze ebenfalls den Bitlocker, hab zwar nichts was wirklich jemanden reizen könnte weil meine persönlichen Daten die mich wirklich interessieren sind auf einer anderen Platte bzw. NVME Stick und selbst der ist Bitlocker Verschlüsselt. Also für den Leihen ist dein Video leider ein Fail.
Nur zur Ergänzung - mir geht es hier nicht um Windows - das Video für Linux ist bereits gedreht und auch ein macOS Video ist in Planung... Da der Windows Konto Zwang erst mit Windows 11 kam und auch viele Personen dem Onlinekonto nicht positiv zugewandt sind. Ist weiterhin ein großer Teil der Nutzer mit lokalen Konten unterwegs. Zudem wird immer ein lokaler Admin erzeugt, dieser ist zwar deaktiviert kann aber problemlos aktiviert werden... Ein solcher User hat dann wieder die Möglichkeit das Profilverzeichnis des Windows Online Users einzusehen,.... Mit geht es darum zu sensibilisieren, oft wird der Kennwortschutz als Schutz der eigenen Daten missverstanden... Mir war es auch wichtig das im Video darzustellen, leider habe ich den Kontext etwas gesplittet, im angepinnten Kommentar gibt es dazu mehr Infos... Man könnte in dem Zusammenhang auch die Frage stellen welche Rolle VeraCrypt darstellt. Im Vergleich zu Bitlocker existiert dazu auch vom BSI eine umfangreiche Sicherheitsanalyse.
@@ITanderBar War So Programm da Kontest Alles einpacken und unter Windows nur Mit Passwort Öfen Mustest sogar 2 Mal das Passwort eingeben Einmal für die Zip oder rar Datei und Für Die Textdatei
Das PW ist in ner Datenbank??? Was höre ich da für ein unsinn :D DAS macht man aber nicht! Es wird IMMER nur ein gesaltetes und gehashtes PW abgespeichert. Never in der DB im klartext!
Weiß gerade nicht welche stelle du genau meinst? Aber bei Windows ist es in der SAM und kann da relativ einfach entfernt werden... Aber ich bin bei dir in eine DB gehören nur gesaltet und dann gehashte Passwörter
Ich möchte hier noch ein Paar Infos im Kommentar ergänzen:
Das Kennwort zu umgehen kann noch einfacher gehen, den Weg habe ich aber bewusst nicht genommen, dazu ist kein Bootmedium notwendig...
Der Angriff fand über eine VM statt, dieser ist aber auch bei physischen PCs meist recht einfach möglich, hier ein paar Optionen
- USB Stick
- CD ROM
- Boot über Netzwerk
- HDD/ SSD/ NVME ausbauen und dann in einem anderen System bearbeiten
Es ist mir aktuell kein Windows bekannt wo das nicht funktioniert (außer wenn die Festplatte verschlüsselt ist) es ist also nicht wichtig ob es ein Windows 10/11/7/8 etc. ist technisch sind auch Serverversionen betroffen, jedoch gibt es hier durch Domänen ggf. nochmal Besonderheiten.
Technisch kann man mit einem BIOS Passwort hier noch etwas mehr Schutz herstellen, aber auch das ist häufig einfach zu übergehen, bzw. wenn ich die Disk ausbaue hilft das leider auch nichts mehr.
Wirklichen Schutz bietet tatsächlich nur eine Festplattenverschlüsselung. Aber auch hier kann es Schwachstellen geben...
Was ich im Video vergessen habe zu erwähnen. Die Passwörter vom Edge Browser die gespeichert waren, sind nach dem Angriff nicht mehr zugreifbar gewesen. Was mich hier verwundert ist, das Firefox und Chrome die Passwörter weiterhin behalten haben.
Man kann doch im Browser auch nur einen Teil des Passworts speichern.Man speichert nur den kryptischen Teil des Passworts, fügt dann aber noch eine Wortfolge hinzu, etwa "Violette Zitronen tanzen Marmelde".
@@Hofer2304 Das ist natürlich eine Option.
Vielleicht ist meine Erwartung da zu hoch, ich versuche kurz zu erklären warum ich eigentlich erwarten würde das ein Browser seine gespeicherten Zugangsdaten nicht mehr preisgibt wenn das Windowskennwort wie im Video mit der Brechstange entfernt wurde. Windows erkennt dies und verarbeitet diese Tatsache auch (wie z.B. im Edge gut zu erkennen)
Dazu kommt das (jetzt wird es kurz technisch) die Windows API im speziellen die Data Protection API das out-of-the-box mitbringt.
Daher wäre es ein leichtes eine Manipulation der SAM zu erkennen und damit den Zugriff auf die Passwörter zu koordinieren.
Im C# Code sind das nur wenige Zeilen...
bool CryptProtectData(ref DATA_BLOB pPlainText,
string szDescription,
ref DATA_BLOB pEntropy,
IntPtr pReserved,
ref CRYPTPROTECT_PROMPTSTRUCT pPrompt,
int dwFlags,
ref DATA_BLOB pCipherText);
// Wrapper for CryptUnprotectData function.
[DllImport("crypt32.dll",
SetLastError = true,
CharSet = System.Runtime.InteropServices.CharSet.Auto)]
private static extern
bool CryptUnprotectData(ref DATA_BLOB pCipherText,
ref string pszDescription,
ref DATA_BLOB pEntropy,
IntPtr pReserved,
ref CRYPTPROTECT_PROMPTSTRUCT pPrompt,
int dwFlags,
ref DATA_BLOB pPlainText);
Daher verstehe ich nicht warum dies nicht implementiert wird...
Die Idee die DPAPI dazu zu verwenden ist ja auch nur eine Option von vielen.
@@ITanderBar Es kommt aber auch auf die Sicherheitsanforderungen an. Ich wäre nicht erfreut, wenn alle meine Passwörter für Spieleseiten oder Onlinekurse weg wären, nur weil ich mein Benutzerpasswort vergessen habe. Aber für sensible Konten ist es natürlich eine Katastrophe, wenn die Passwörter in die falschen Hände gelangen.
@@Hofer2304 Das wollte ich mit "und damit den Zugriff auf die Passwörter zu koordinieren." ausdrücken.
Wenn eine Manipulation erkannt/ vermutet wird, könnte dann entsprechend darauf eingegangen werden.
Das kann ja auch mit Recoverycodes, Push Nachricht, etc. abgefedert werden,....
Generell weiß ich nicht, aber mir wäre es schon wichtig das wenn eine Manipulation im Möglichen wäre lieber zu stringent vorgegangen wird - Accounts kann man ja irgendwie immer zurückholen. Der Schaden wenn die Accounts gestohlen werden ist meiner Meinung nach dort ggf. höher zu bewerten - zumindest für mich persönlich....
Technisch muss ich wohl zugeben das ich Browser generell für den falschen Ort halte um Passwörter abzulegen, aber das steht auf einem anderen Blatt.
Das nur Edge die Passwörter vergisst ist wenig verwunderlich.
Er ist ein elementarer Teil des Betriebssystems. Andere Browser sind bei weitem nicht so tief mit dem System verzahnt. Während Edge so programmiert werden kann, dIe Verschlüsselung der Passwörter an das Windows-Passwort zu binden, ist dies bei anderen Browsern (gewollt) unmöglich. Auch ist nicht wirklich klar, ob Windows bei Manipulation wirklich eine System-Meldung generiert und für Firefox, Chrome und Co zur verfügung stellt. (Ich gehe eher nicht von aus, dass Microsoft das überhaupt meldet und falls doch, dann doch sicher nicht an Konkurrenzprodukte, wenn die User doch bereits mehrfach gedrängt werden, sie sollen doch gefälligst hauptsächlich den hauseigenen Edge- Browser zu nutzen. )
sehr informativ. wer hätte das gedacht. danke für das video. nicht zu lang, aber auch nicht zu kurz. gute länge für das video. kurz was gelernt, hat spass gemacht
Danke für das Lob!
Solange die Platte unverschlüsselt ist, ist es doch völlig egal, ob ich das Passwort zurücksetzen kann oder nicht? Wenn ich die Passwortdatei lesen kann, kann ich doch gleich die Dateien (Geschäftsberichte etc.) lesen, dich ich eigentlich lesen möchte? Oder übersehe ich da was?
Den Browser mit Profil auf ein anderes System zu portieren um die gespeicherten Passwörter auszulesen ist sicherlich möglich, aber relativ aufwändig.
Auch wird es Programme geben die beim einfachen kopieren nicht starten da Registry Teile übernommen werden müssen.
Ein Laufendes Windows verrät zudem gleich auch sehr viel über seinen Nutzer, auch diese Infos sind relativ aufwändig zu rekonstruieren.
Aber technisch gebe ich dir vollkommen recht. Es geht mir in dem Video darum die Leute zu sensibilisieren das ein Kennwortschutz kein Schutz ist und nur verschlüsselte Systeme ein Grundmaß an Sicherheit bieten, viele halten dieses Kennwort als Sicherheit vollkommen ausreichend...
Das war wirklich einfach. Interessant wäre hier noch ein Vergleich mit macOS.
Wir arbeiten dran...
Das Linux Pendant ist bereits fertig und wird aktuell geschnitten...
Das ist überall das gleiche: Wenn die Platte nicht verschlüsselt ist kommt man eben an diese Daten (Die SAM-Datei gibt es seit NT/2000 (1993) vorher war der Kram sogar in Klartext, Windows war schon immer Rückständig in solchen Dingen)... Hier wurde das Passwort nicht ausgelesen sondern lediglich gelöscht. Das ist das Gleiche wie wenn du unter Linux oder vermutlich bei deinem Mac einfach die /etc/shadow (Gibt es seit Ende der 70er, vorher gab es die /etc/passwd die aber trotzdem verschlüsselt, wenn auch schwach, war) editierst.
Das macOS Video ist fertig und kommt demnächst...
@@ITanderBar Markus freut sich 🎉
Bei Windows Pro gibt es noch EFS (Seit Windows 2000 gibt es dieses Feature)
Einfach mal unter den Eigenschaften der Datei die Dateiverschlüsselung von Windows für diese Datei aktivieren.
Ab diesem Zeitpunkt darf nur noch der Nutzer selber das Passwort ändern, ansonsten wird das Zertifikat für die EFS-Verschlüsselung ungültig.
Dies ist eine gute Option wenn man einzelne Dateien oder Ordner schützen möchte, man muss etwas aufpassen, ich habe es leider schon erlebt das die Zertifikate von heute auf morgen nicht mehr nutzbar waren (sogar im Firmenumfeld mit entsprechendem GPO Rollout für Masterkeys) auch besteht die Gefahr etwas zu übersehen - meiner Meinung nach steht heute nichts mehr dagegen einfach die ganze Platte generell zu verschlüsseln für die Rechnen Leistung ist das kaum mehr relevant...
@@ITanderBar Der Trick für die Performance heißt AES-NI. Bei Windows 10 muss Microsoft noch beide Codes für den Bitlocker mitliefern (also CPU-Features abfragen und dann entweder AES-NI verwenden oder die SW-Implementierung).
Bei Intel wurden die ersten CPU's mit diesem Feature 2008 verkauft und jeder aktuelle CPU sollte das Feature haben. Also wird die Verschlüsselung mit AES direkt von den CPU's unterstützt, darum geht die Verschlüsselung heut zu Tage kaum noch auf die Performance.
Interessantes und informatives Video, danke dafür. Wie ist es eigentlich wenn man sein Benutzerkonto mit einem Hardwareschlüssel wie z.B. dem yubikey oder ähnlichem absichert. Wäre dann diese Methode auch so möglich bei unverschlüsseltem Datenträger?
Danke für das Feedback 😊
Technisch müsste es genauso funktionieren. Habe es aber noch nicht getestet
Das Problem mit der Festplattenverschlüsselung: der Datenaustausch zwischen TPM-Modul und Prozessor geschieht unverschlüsselt über die LPC-Schnittstelle. Wenn man hergeht und sich um 5 € einen Microcontroller kauft und mit 5 Kontakten und dem richtigen Code ausstattet, kann man auf den Hashwert des Bitlockerpasswort zugreifen und den Zugang mit diesem auch wieder verifizieren. Den Code kann man sich frei zugänglich rauskopieren. Mit der aktuellen Technologie ist eine Festplattenverschlüsselung keine Lösung zum Schutz seiner sensiblen Daten.
Tatsächlich ist das ein Problem. Man muss sich irgendwie fragen warum man viel Energie in ein TPM investiert und man dann zum Schluss die Daten unverschlüsselt über den Bus übermittelt.
Aber: die Aussage das es keinen Schutz bietet muss ich leider etwas differenzieren. Zum einen gibt es nicht nur Bitlocker und TPM basierte Systeme, auf der anderen Seite ist es auch möglich ein Passwort mit Bitlocker zu kombinieren, dann ist dieser Angriff so nicht mehr möglich.
Was noch dazukommt und da habe ich eine Frage: Den Angriff den ich kenne geht über die SPI Schnittstelle, da man dort den Vorteil hat das man nicht direkt an das TPM muss. Dazu benötigt man 4 Leitungen. Die Daten müssen dann in einen Logikanalyzer und man muss sich auf die Suche machen. Mir ist kein Code bekannt (was jetzt nichts heißen soll da ich mich zuletzt mit dem Thema vor 3-4 Jahren auseinandergesetzt habe, aber auch ein kurzer Blick über GitHub hat erstmal nichts gebracht) den man auf einen Mikrokontroller bringt und dieser dann den Key ausliest, hast du da bitte mehr Infos? Denn technisch müsste das schon möglich sein...
Es bleibt aus meiner Sicht die Thematik das man nicht den reinen Schutz des TPMs nutzen sollte sondern ein Passwort kombinieren, damit ist dieses Risiko dann nicht mehr existent.
Soweit so gut aber das stimmt nur bedingt.
Ja, bei discrete TMP (seperater Chip) läuft unverschlüsselte Kommunikation mit der CPU über den SPI Bus. Hier kann tatsächlich wie beschrieben + mit sehr gutem Timing der Bitlocker Hash abgegriffen werden.
Bei firmware TPM sieht das jedoch anders aus. Diese sind in modernen CPUs bereits integriert und somit funktioniert dieser Angriff nicht mehr. Hier den Bitlocker Schlüssel abzugreifen wäre eine spannende Master Thesis wert ;)
Somit würde ich meinen, dass mit der aktuellen Technologie (was fTPM sind) eine FullDiskEncryption absolut eine super Lösung zum Schutz seiner sensiblen Daten darstellt.
@@ITanderBar Ja wurde bereits erfolgreich durchgeführt: it-forensik.fiw.hs-wismar.de/images/4/45/MT-SLasogga.pdf
Hochinteressant und deutlich komplexer als hier beschrieben sowie an diverse Rahmenbedingungen gekoppelt.
@@ITanderBar Der Angriff wurde bereits erfolgreich durchgeführt. Wenn auch deutlich komplexer als hier eingangs beschrieben und an diverse Rahmenbedingungen gekoppelt. YT lässt leider nicht zu, dass ich die entsprechende Master Thesis der Hochschule Wismar hier verlinken darf...
Man findet sie wenn man bei Google "Angriffe gegen TPM basierte Festplattenverschlüsselung" sucht (mit den Anführungsstrichen "")
@@ITanderBar ich habe mehrmals versucht hier zu antworten aber YT löscht meinen Kommentar immer wieder :D
Der Angriff wurde bereits erfolgreich durchgeführt, wenn auch komplexer als hier beschreiben. Verlinken oder darauf verweisen darf ich scheinbar an dieser Stelle nicht ohne dass der Kommi gelöscht wird. LG
2:56 an dieser Stelle hätte ich angemerkt dass das nicht mit BitLocker verschlüsselten Festplatten funktioniert weil man Zugriff auf die Festplatte benötigt.
Ich hätte zudem in einem Video was sich an Laien richtet, eher die Methode mit sethc.exe oder utilman.exe ersetzen erwartet.
Dennoch ein sehr interessantes Video, da ich z.b dieses Boot Tool noch nicht kannte.
Edit: achso BitLocker wird noch später erwähnt.. ich hätte früher im Video damit gerechnet
Ja stimmt das hätte man dort direkt erwähnen sollen, so ist der Kontext etwas zerrissen, da es erst etwas später dann kommt,...
Tatsächlich hab ich mich bewusst für eine komplexere Methode entschieden, hab oben einen Kommentar angepinnt dazu.
Zur Einfachheit gebe ich dir aber komplett recht, für die Sensibilisierung die mir hier am wichtigsten ist, ist eine kleine Hürde meines Erachtens nicht so verkehrt.
Über dieses Problem hatte ich mal vor gut 20 Jahren nachgedacht, nachdem mir mein Notebook aus dem Büro entwendet wurde (Einbruch). Das war mit ein Grund, von Windows auf ein anderes Betriebssystem zu wechseln😏
Das ist leider kein direktes Betriebssystem Problem.
Heute kommt ein weiteres Video - Dort zeigen wir wie es unter Linux aussieht...
Nur Festplattenverschlüsselung kann das Problem umgehen. Wenn man also ein OS nimmt das dieser per Default nutzt, oder eben bei Installation / im Nachgang aktivieren kann, löst das die Problematik.
Welches OS hast du 2004 dann genutzt um entsprechend sicher zu werden?
@@ITanderBar ...momentan ist Manjaro Linux mein Arbeitssystem und das ganze natürlich mit LUKS (alle SSDs und ext. Speichermedien verschlüsselt) Ein altes Lenovo Notebook läuft mit Fedora, da ich unter Manjaro meinen Drucker nicht zum laufen bekomme.🙄 ...das ging vor ein paar Jahren und irgendwann war der Treiber raus🤷🏻
Funktioniert das heute noch? Das letzte Release ist vom 01.02.2014.
Macht für solche Einsatzszenarien BlueCon überflüssig.
Ja, die SAM hat sich nicht mehr geändert. Daher funktioniert es auch heute noch. Das Video ist ja auch noch Recht aktuell
Ich weiß nicht mehr, vor 10 Jahren, oder so, war ein Bild in Umlauf. Eine schmucke Villa (Windows) geschützt von einem schweren eisernen Tor und links und rechts daneben eine 30 cm hohe Hecke...
Ich erinnere mich :D
Also so ziemlich für jeden, den das neu ist wird in Zukunft eher das andere Problem haben. Es werden immer mehr Geräte mit aktiviertem Bitlocker ausgeliefert, was auch bedeutet dass wir in einigen Jahren immer mehr Fälle haben werden in denen CPU/Mainboard und damit das TPM defekt ist, und damit die Daten auf dem Datenträger verloren sind.
Der Hinweis doch bitte die Festplatte zu Verschlüsseln ist für die meisten, ich nenn sie mal "Casuals", an welche sich dieses Video richtet, die viel größere Gefahr als ein potentieller Datendiebstahl wenn ein Gerät physisch gestohlen wird. Wer entsprechend sensible Daten bei sich gespeichert hat, und noch dazu damit an Orten verkehrt, an denen ein Diebstahl wahrscheinlich ist, wird wohl hoffentlich entsprechende Vorkehrungen getroffen haben. Für alle anderen deren PC einfach nur daheim steht, und auf welchem die Familienfotos liegen ist höchstwahrscheinlich viel besser dran auf Verschlüsselung zu verzichten, die meisten dürften wohl bei einem Einbruch wesentlich größere Probleme als die Daten am PC haben.
Ich bin dabei das es ein Thema ist, das die Verschlüsselung, vor allem wenn man damit nicht rechnet, oder ggf. noch nicht mal davon weiß, eine Schattenseite hat, nämlich die des Keys, wenn z.B. der Bitlocker (warum auch immer) nach dem Notfallschlüssel frägt.
Der Rest ist für mich bisschen so wie das Thema Airbag, Gurt und Co.
Es schützt kann aber auch negative Seiteneffekte haben. Die Verantwortung sehe ich hier beim Hersteller und da muss man klar sagen ist Microsoft sehr intransparent. Der User bekommt wie von dir schon angeschnitten u.U. keine Info das dem so ist. Theoretisch sollte aber durch den .NET Kontozwang aber der Key gesichert worden sein. Die Grauzone ist hier also bei dem der den Zwang umgangen hat und das finde ich den falschen weg. Ein Sicherheitsfeature darf nicht abhängig von solchen Faktoren sein.
Kannst du mir verraten wie das Mini Betriebssystem heist dss du hier verwendet hast, und wo ich die ISO finden kann im netz. Danke im voraus
@@ITanderBar danke total übersehen
Deswegen nutze ich Linux Mint mit Luks festplattenveschlüsselung
Und BIOS Passwort 👍
Wenn man da keinen Konfigurationsfehler oder schwache Passwörter genutzt hat ist das schon eine richtig sichere Bank 👍
Dass Bitlocker hier immer wieder genannt wird, ist prinzipell nicht schlecht.
Jedoch ist Bitlocker auf den meisten - den Homeversionen - nicht einsetzbar. Oder hat mich der Zeitenlauf schon überrannt und mein Wissen ist alt und verschrumpelt.
Bitlocker ist definitiv im Home Windows mit Vorsicht zu genießen, meine Erfahrung ist das mit einem Microsoft Konto verknüpft mit Windows 11 Bitlocker auch im Home genutzt werden kann - was mich stört ist das es nur mit Microsoft Konto klappt (da sonst kein Recovery Key gesichert werden kann)
Ja gut, ist schon ewig bekannt und funktioniert, solang die HD nicht verschlüsselt ist.
Wer heute noch unverschlüsselt unterwegs ist, hat eh nichts interessantes auf dem System
Ich glaube das vielen das nicht bewusst ist und die Aussage daher nur auf einen Teil der Personen zutrifft die mit Laptop und Co auf Reise gehen,...
Hallo Leute, bezieht sich das jetzt nur auf das Windows Passwort oder kann man da auch Login mit PIN/Fingerabdruck/Face-ID löschen? Angeblich soll PIN/Fingerabdruck/Face-ID ja sicherer sein.
Danke schon mal für eure Antworten.
Ich bin relativ zuversichtlich das dass keinen weitern Schutz bei diesem Angriff bietet, da ich ja immer auf das Passwort zurückgehen kann. Aber ich teste das nachher mal kurz und berichte 😉
Bitlocker gibt es doch nur bei Windows 11 Pro, oder hat sich das geändert?
Früher war es den Pro Versionen vorenthalten.
Ich hatte nun bereits mehrfach Windows Home 11 in der Hand und dort war Bitlocker aktiv (ohne das dass bewusst aktiviert wurde). Was etwas suboptimal ist, das der Notfallkey dort vorab nicht gespeichert werden musste - angeblich wird der mit dem .NET Konto verknüpft. Doch viele umgehen das ja, daher kann es im Worst Case sein das man nicht mehr an seine Daten kommt wenn Bitlocker nach dem Key verlangt.
Vorsicht beim löschen von Passwörtern, dann gehen auch die EFS Schlüssel verloren
Guter Hinweis, würde mich interessieren wer das im Einsatz hat? Hab ich tatsächlich sehr selten gesehen...
@ ja denke es ist inzwischen sehr selten - besonders weils anfällig is. Hilft bei Roaming Profiles, (aber es ist verwunderlich warum Firefox es nicht wenigstens für die Profile Verzeichnisse nutzt)
Der Schutz ist aber auch, daß die Daten weg sind, wenn Du Dein Passwort nicht mehr zusammen bekommst - Umweg über das MS-Konto lässt Dich wieder rein - sofern Du ein MS-Konto eingerichtet hast (bin nur bis XP bei Win gewesen - also eher Halbwissen ;)).
Netter Nebeneffekt - mit aktiviertem Bit-Locker wird das Installieren eines 2.ten OS - Ubuntu oder so - erfolgreich verhindert - eben mit dem Aussperren und MS-Konto, 2-Faktor-Authentifizierung ... das ganz große Paket.
... noch darf die Kiste also öfter am Tag mit Win abschmieren, weil das Aufspielen von Ubuntu bisher äußerst umständlich und wenig erfolgreich war - und der Lust-Faktor nahe Null liegt ... Win läuft zumindest halbwegs ... bis zum Absturz ... so weit bin ich mit Ubuntu noch nihct ...
Ich habe zufällig gestern Abend ein Ubuntu parallel zu einer Bitlocker Windows 11 Home Partition installiert - das war problemlos möglich, auch Multiboot über GRUB hat tadellos funktioniert. Was ich aber noch nicht geschafft habe die Ubuntu Partition bei der Installation sofort per LVM zu verschlüsseln.
Man könnte aber auch, wenn die Bitlocker Partition bei der Installation Probleme macht, die Verschlüsselung deaktivieren - dann Ubuntu drauf und danach wieder aktivieren (hab ich auch schon so gemacht z.B. auf dem Yoga den man öfter in den Videos mal sieht)
Sensible Schlüssel wie Festplatten Recovery Keys sollte man immer sicher (ggf. sogar offline) aufbewahren, da sonst wie du schon sagst einfach alles Weg ist...
@@ITanderBar Danke Dir für die Antwort - kA, wo ich mich blöd angestellt hatte - so ein oder zwei Mal hatte ich nun doch schon Ubuntu installiert.
Bisher durfte ich noch nicht wieder an den Laptop :)
Der steht zwar öfter hier bei mir herum, aber ist halt nicht Meiner und ich hätte gerne das OK vom Besitzer - und wenn Er dabei ist, schadet Das auch nicht - spätestens zum Win per MS-Konto retten - davon ab - wenn das Benutzerkonto per MS-Konto entsperrt wird - klappt der Laptop überhaupt offline?
So schlimm ist's hier in -D- zwar nicht wirklich, aber dank Vodafone sind's auch keine 100%.
Bin selber von '95 bis XP Win-User gewesen (95 war das Erste Win, was in meinen Augen halbwegs benutzbar war, 98 war wesentlich besser, gerade als SE, und XP war, meiner Meinung, die Spitze) und seit Okt'06 Ubuntu, zwischendrin Mint.
Eigentlich mehr per Zufall, da ich damals einige Server jeweils in einer VM lokal laufen hatte - und ein klein wenig Ehrlich wollte man ja auch sein und nur für den Spieltrieb Win-Lizenzen ... neee ...
Ich bin Linux-Anfänger und finde generell, dass den Anfängern wenig Erfahrung und Tipps gegeben wird. Auch wenn man hier in youtube immer mal wieder fündig wird. Nach so etwa einem halben Dutzend Installationen (Mint/Wilma mittlerweile) gebe ich mir selber folgende Tipps (bei Installation und upgrades (nicht updates)):
Wenn's irgendwie geht, kein dual boot. Falls doch, dann, wenn's irgend geht, Linux auf eine eigene physische Disk. Dann vor dem Installieren alle andern Disks abhängen, SATA-Anschluss zum Beispiel. Das reduziert die Möglichkeiten, durch Falschmachen irgend was abzuschiessen, ganz gewaltig. Für Fortgeschrittene ist das sicher was doofes... sorry.
Es ist leider vor allem für Einsteiger nicht immer so ohne.
Aber ich kann dazu folgendes sagen, auch ich hab mir schon öfter das Betriebssystem bei solchen Aktionen gekillt. Dabei lernt man auch viel. Das erste Mal bei mir war mit 9 Jahren, bin über den Format Befehl gestolpert hat da ne Zeit gedauert bis ich MS DOS 3.11 wieder am laufen hatte 😝
@@ITanderBar ... zumindest durftest Du per FORMAT die System-Platte formatieren - ist unter Win etwas komplizierter.
Wenn Dir danach ist - unter Linux darfst Du auch Alles, wenn Du die Rechte dazu hast - als 08/15-Bediener ist Dir aber ebenso untersagt, außerhalb Deines home-Verzeichnis Unfug zu treiben - aber hier bist Du immerhin für Deine Daten recht nah an Gott :)
Der erinnert mich daran dass ich wieder VeraCrypt aktivieren sollte. Das Problem war damals dass nach größeren Updates mein Bootloader am Arsch war und ich immer aufwändig mit Offline Decryption (LAAAAAAAANGSAM) und Re-Encryption fixen musste. Ist ja für ne SSD auch nicht geil dieser massive Write. Windows hat einfach immer im UEFI rumgepfutscht und den VeraCrypt Loader entfernt. Seitdem bin ich unverschlüsselt unterwegs. Oder ich geh halt doch auf Bitlocker aber eigentlich will ich mir nicht soviel M$ Kram reinziehen.
Ja die VeraCrypt Odyssee kenne ich leider auch zu gut - wobei dort auch viel passiert ist - vielleicht ist es mal wieder einen Versuch wert 🤔
Ich werde es mal bei meinem nächsten Laptop in Erwägung ziehen - hab mich zuletzt auch für Bitlocker entschieden unter Windows da es genau aus den genannten gründen von dir nicht immer wieder in einem Desaster endet.
Wie wäre es, die Win-Platte, also das System, eher klein zu wählen und Diese per M$-BitLocker 'ganz normal' updatefest verschlüsselt zu haben und den Kram, Der Dir wirklich wichtig ist, verschlüsselt Vera?
@@aaaooaao9949 Im Prinzip hab ich das schon so, liegt alles auf eigenen VC Partitions. Trotzdem hätte ich ungern jemand in meinem Windows drin, da gibt's noch genug zum schnüffeln gerade in den Browsern.
Hab am Wochenende mal wieder veracrypt verprobt. Erster Eindruck war das auch die Systempartition problemlos verschlüsselt werden konnte (unter Windows) weitere Tests stehen aus
Als Laie finde ich es schon erschreckend wie einfach alles gehackt werden kann. Da ich fast keinem Anbieter traue, schreibe ich viele Passwörter analog in ein Notizbuch, das in den Tresor kommt :) Aber selbst das ist wohl keine Sicherheit, da das Passwort sicher irgendwo auf dem Server des Anbieters liegt.
Es gibt hier verschiedene Dimensionen ich will das vor allem für "Laien" die nächste Zeit versuchen etwas verständlicher zu machen. Auf Servern liegt "hoffentlich" immer nur ein Hash. Dies ist ein Algorithmus welcher aus z.B. einem Passwort einen Buchstabensalat macht der immer gleich groß ist. Egal wie lange das Passwort ist. Dieser Salat kann logisch / mathematisch nicht zum Kennwort zurück gebaut werden, es ist ein irreversibler Vorgang. Man kann jedoch einen Hash "ergattern" wie es bei Datenlecks zum Beispiel passiert und dann prüfen ob ein Passwort dem Hash entspricht. Das nennt man dann Wörterbuchattacke oder Brute Force Attacke - wir haben da bereits ein paar Videos gemacht und zeigen das demnächst anhand eines WLAN Kennwortes... (für die Profis ich habe bewusst auf Hashkollisionen verzichtet)
Lange Rede kurzer Sinn - Wenn die Kennwörter sicher sind (Zufall aus Buchstaben, Zahlen und Sonderzeichen - nicht in einem Wörterbuch zu finden - mind. 12 Zeichen) ist das Notizbuch wohl eine der sichersten Methoden.
Wenn dann die Festplatte verschlüsselt ist, man nicht wild auf jeden Link in E-Mail klickt, muss jemand schon ein wirklich starkes Interesse und etwas Glück haben um weiterzukommen,....
Laienhafte Frage: Geht das auch beim Mac (MacOS X?)
EDIT: Sorry, hab es jetzt auch in den Kommentaren gelesen, dass da was in der Mache ist …
Kein Problem, sind ja auch einige Kommentare 😃
Video kommt vermutlich diese Woche 😉
Ohne Virtual Box aber müßte man doch die HDD ausbauen, oder?
Und jetzt würde mich interessieren, inwieweit das mit Linux(ioiden) Systemen geht...
Bei einem physischen PC/ Laptop gibt es folgende Möglichkeiten:
- USB Stick
- CD ROM
- Boot über Netzwerk
- HDD/ SSD/ NVME ausbauen und dann in einem anderen System bearbeiten
Technisch kann ein BIOS Passwort hier noch etwas mehr Schutz bieten, aber auch das ist häufig einfach zu übergehen...
Für Linux ist das Video schon fertig - also gespannt sein 😉
@@ITanderBar Danke.
Ich warte neugierig.
@@demil3618 Bisschen heißt es noch abwarten 🙂
Jetzt kommt dann das Video wo wir eine App mit einer Malware infizieren und zeigen was damit möglich ist.
Vermutlich Freitag den 11.10 wird das Linux Video kommen,...
@@demil3618 Da Du per Live-System Dich in einem Platten-Linux ebenfalls anmelden kannst und dort als admin/root eben auch 'Dein' Passwort ändern darfst - kein größeres Problem.
Einzig - es fällt auf, wenn mein Passwort nicht mehr passt - also für die schnelle Nummer ok, für längeren Spaß unentdeckt im fremden PC ist Das Nichts.
Ebenfalls nur bei unverschlüsselter Platte - verschlüsselt sieht das Live-System auf der Platte ebenfalls nur Müll und kein System - ähnlich Windows, wenn's eine Linux-Platte zu sehen bekommt ;)
Ja so ist es. Gefühlt kann man im Linux den Hash des Passworts schneller/ einfacher extrahieren und dann wäre natürlich eine entsprechende Attacke möglich um das Passwort ggf herauszufinden....
Wie heißt denn das Tool was da verwenden wird?😊
Das Tool findet man in der Beschreibung 🙂
Unter dem Namen gibt es auch eine Website dort gibt es fertige ISO Images,...
Hey, Danke für das Informative Video. Nur nochmal für mein Verständnis.
Das heißt im Klartext wenn ich es richtig verstanden habe: So lange die USB Ports nicht gesperrt sind kann ich von jedem Windows PC das Passwort deaktivieren mit diesem Tool? Außer man hat Bitlocker natürlich Installiert.
ist die Frage, wie deine USB-Ports gesperrt sind. wenn das nur in Windows gesperrt ist, ist das an der stelle vollkommen egal - da sind wir ja beim Boot, wo der Stick gelesen wird. Wenn die Hardwaretechnisch oder im BIOS deaktiviert sind, ist das natürlich schonmal nicht mehr ganz so Trivial, aber im Zweifel kann man immernoch die SSD ausbauen und in einen anderen PC stecken - der diese Einschränkung dann nicht hat.
Bitlocker macht diese Manipulationen mit anderen Bootumgebungen erstmal unmöglich.
Die USB Ports sind nicht die einzige Stelle für einen "alternativen" Bootvorgang.
Folgende Möglichkeiten gibt es
- USB Stick
- CD ROM
- Boot über Netzwerk
- HDD/ SSD/ NVME ausbauen und dann in einem anderen System bearbeiten
Technisch kann man mit einem BIOS Passwort hier noch etwas mehr Schutz herstellen, aber auch das ist häufig einfach zu übergehen, bzw. wenn ich die Disk ausbaue hilft das leider auch nichts mehr.
Wirklichen Schutz bietet tatsächlich nur eine Festplattenverschlüsselung. Aber auch hier kann es Schwachstellen geben...
Ja, entweder usb gelockt oder boot Menu gesperrt. In dem Fall müsstest du die Platte in einem anderen Rechner stecken. Ganz selten haben Disks auch Hardware Verschlüsselung die das verhindern, oder halt bitlocker. Gilt genauso für Linux
Achso wer nutzt noch eine nicht verschlüsselte Platte? Das sollte man schleunigst ändern
Ja so ist es :)
Intressant.. warum gibt es bei jeder installation den admin account ??
Könnte man den nicht bei der installation weg lassen (also wenn ich MS CEO wäre xD )
Der adminMS account den wir nicht sehen und nutzen können, um z.b. daten im system zu löschen die das system beschädigen könnten
Aber um windows allgemein sicherer zu machen würde es doch mehr sinn ergeben den account weg zu lassen, und eine möglichkeit einzubauen, so ein adminMS account per backdoor einzupflegen
So könnte keiner das betriebssystem bearbeiten ausser MS selber oder leute die so ein stick mit dem account halt haben ..
Bin mir nicht sicher welchen Account du genau meinst.
Windows kommt idR mit einem Administrator Account der ist aber gesperrt und der Account der bei der Installation angelegt wird, wird automatisch Admin. Ohne Adminaccount wäre ja so ein PC stark eingeschränkt, was Installationen und Co angeht.
Kannst du das ggf. noch etwas genauer formulieren?
Man sollte vielleicht dazusagen, dass es Bitlocker bereits seit Windows 7 gibt und nicht erst mit Windows 11. Wer heutzutage seine Platte nicht verschlüsselt ist einfach nur selber Schuld, die Möglichkeiten sind alle da.
Ich würde es nicht so drastisch formulieren - wenn jedoch das Ergebnis das Gleiche ist - Es gibt einfach viele Menschen die das einfach nicht wissen, weil sie sich damit nie auseinandergesetzt haben, es vielleicht auch gar nicht wollen.
Man kann hier wieder über den PC-Führerschein debattieren.
Im Ende soll dieses Video genau dafür sensibilisieren.
Grüß dich Michi,
was mich immer wieder bei Windows überrascht das es immer noch den Trick mit cmd.exe über die utilman.exe zu kopieren und dann beim Anmeldebildschirmüber die erleichterte Bedienung eine Admin cmd zu haben. Dann ist net user nur noch die kleinste Hürde.
Gruß Micha vom Tux-Flash
Servus Micha,
danke für deinen Kommentar.
Ja - das fasziniert mich tatsächlich auch immer noch - hab für das Video tatsächlich bewusst nen "komplizierteren" Weg genommen
Das ist aber ein Armmutszeugnis für Microsoft. Irre. Ein Hoch auf Windows. 😮
Das Wehrmutstropfen ist das dass nicht ein reines Microsoftproblem ist...
Weitere Videos folgen demnächst,...
Eigentlich nicht. Das ist völlig normal und bei fast jedem Betriebssystem ähnlich, dass wenn man physikalischen Zugang zu einer unverschlüsselten Festplatte hat, man solche Dinge machen kann. Die Lösung ist ja auch da - Festplattenverschlüsselung.
So ist es.
Zwischenzeitlich sind die Videos für Linux und macOS auch gedreht und kommen demnächst...
7:09 tatsächlich nicht, ich habe gestern Nachmittag bis Abends mein Windows neu aufgesetzt, also selbst mit einer Neuinstallation ohne mein Zutun ist keine Partition verschlüsselt
Das ist spannend - ich hatte nun bereits mehrere frische Windows 11 Home Installationen welche ohne zutun verschlüsselt waren 🤔
Welche Version war es genau?
War die Installation auf einem PC mit TPM Modul?
@@ITanderBar pro,Rechner hat (f)TPM (Rezensionen 5800x, meine b450-a pro mainboard) , später umgestellt auf mein separates tpm Modul, Infineon für das board
@@dennistechexperience5393 so gerade getestet mit Windows 11 Home auf nem frischen Laptop. Die SSD wird sofort als Bitlocker verschlüsselt angezeigt (ohne das ich dort was ausgewählt habe) aktuellste Windows 11 Version mit MCT.
Ich vermute es liegt an der Pro da dort der Prozess anders läuft - hier wird der Bitlockerkey ja direkt mitgeteilt und muss auf einem Stick gespeichert oder ausgedruckt werden - in der Home wird der im M$-Account abgelegt...
@@ITanderBar msaccount hab ich hier auch,wird aber wohl an pro liegen,das kann sein ja
@@dennistechexperience5393 tatsächlich hab ich nun nochmal ne Installation gemacht und mit shift+f10 und der out-of-the-box expirience den MSAccount umgangen - die Disk ist weiterhin Bitlocker verschlüsselt 🫣 obwohl der Key nirgendwo gesichert wurde,...
Das Funktioniert aber auch nur mit einem Lokalem Konto aber dazu muss ich kein anderes Bootsystem haben.
Wenn man sich etwas in Windows auskennt weiß man sowas.
Tja im Großen ganzen Leihen nutzen kein Lokales Konto sondern ein Windows Konto und da das Passwort zu bekommen kennen wir.
Mac Nutzer sind ärmer dran da bekommt man das passwort noch leichter raus, da hilft dir der mac viel besser und man braucht nicht mal ein anderes System.
Es gibt einfach kaum etwas außer der Bitlocker der das system komplett verschlüsseln kann und wenn du deinen Schlüssel verlierst na dann sind auch deine Daten nicht mehr in Gefahr.
Also alle gehen nur auf Windows los ob wohl auch der Mac nicht mal wirklich sicher ist.
ich benutze ebenfalls den Bitlocker, hab zwar nichts was wirklich jemanden reizen könnte weil meine persönlichen Daten die mich wirklich interessieren sind auf einer anderen Platte bzw. NVME Stick und selbst der ist Bitlocker Verschlüsselt.
Also für den Leihen ist dein Video leider ein Fail.
Nur zur Ergänzung - mir geht es hier nicht um Windows - das Video für Linux ist bereits gedreht und auch ein macOS Video ist in Planung...
Da der Windows Konto Zwang erst mit Windows 11 kam und auch viele Personen dem Onlinekonto nicht positiv zugewandt sind. Ist weiterhin ein großer Teil der Nutzer mit lokalen Konten unterwegs. Zudem wird immer ein lokaler Admin erzeugt, dieser ist zwar deaktiviert kann aber problemlos aktiviert werden... Ein solcher User hat dann wieder die Möglichkeit das Profilverzeichnis des Windows Online Users einzusehen,....
Mit geht es darum zu sensibilisieren, oft wird der Kennwortschutz als Schutz der eigenen Daten missverstanden...
Mir war es auch wichtig das im Video darzustellen, leider habe ich den Kontext etwas gesplittet, im angepinnten Kommentar gibt es dazu mehr Infos...
Man könnte in dem Zusammenhang auch die Frage stellen welche Rolle VeraCrypt darstellt. Im Vergleich zu Bitlocker existiert dazu auch vom BSI eine umfangreiche Sicherheitsanalyse.
Geht ganz einfach Sogar Windows Spitzele Verschlüsselungsprogramme glaub es War Trust war unter Linux einfach Offen Einfach nur eine Offene TXT
Sagt mir leider ad-hoc nichts - hast du da evtl. mehr Infos dazu?
@@ITanderBar War So Programm da Kontest Alles einpacken und unter Windows nur Mit Passwort Öfen Mustest sogar 2 Mal das Passwort eingeben Einmal für die Zip oder rar Datei und Für Die Textdatei
Sagt mir leider nichts,...
Das PW ist in ner Datenbank??? Was höre ich da für ein unsinn :D
DAS macht man aber nicht! Es wird IMMER nur ein gesaltetes und gehashtes PW abgespeichert. Never in der DB im klartext!
Weiß gerade nicht welche stelle du genau meinst?
Aber bei Windows ist es in der SAM und kann da relativ einfach entfernt werden...
Aber ich bin bei dir in eine DB gehören nur gesaltet und dann gehashte Passwörter