ATA-Security-Laufwerks-Passwort bei unverschlüsseltem Laufwerk sinnvoll?

[harpo]

Ich vermute nicht nur, ich habe es, wie erwähnt, durchgestestet.

Und es ist so, wie Du bei Deiner letzten Unklarheit vermutest: Auch ohne gesetztes Supervisor-PW wird bei jedem Kaltstart immer das HDD-PW abgefragt - ob für's normale booten, für den BIOS-Zugang oder die Boot-Device-List. Bei gesetzter Option "PW at Restart" wird nach einem Warm-Restart auch immer das HDD-PW abgefragt - ebenso für alle Optionen. Also ja: in diesem Fall ist die Option "PW at Boot Device List" nicht nötig.

Aber natürlich gilt in jedem Fall: In den Boot Priority-Liste darf kein/e externe/s Medium/Option vor dem internen Speichermedium erlaubt sein, denn sonst brauch man z. B. einfach nur nen USB-Stick einstöpseln und kann von dem aus booten - zumindest beim Kaltstart (der ja notfalls nach agressivem Shutdown immer möglich ist).

- - - Beitrag zusammengeführt - - -

Noch zur Ergänzung, falls es jemanden interessiert: Wenn gleichzeitig ein Supervisor-PW und ein HDD-PW vergeben sind, wird - klar -zum normalen booten das HDD-PW abgefragt, wie auch beim Restart (bei gesetzter Option).

Beim Zugriff auf das BIOS wird - auch logisch - das Supervisor-PW abgefragt. Aber ebenso bei der Boot-Device-List (wenn die Option gesetzt ist). D.h. jemand, der nur das HDD-PW hat, aber nicht das Admin-PW, kann nur nach der im BIOS voreingestellten Reihenfolge booten und keine andere Auswahl treffen. Wie gesagt, wenn beide Passwörter gleichzeitig gesetzt sind und die jeweiligen Optionen ausgewählt.

Wenn beide Passwörter und die Optionen "at restart" und "at boot device list" gesetzt sind, werden beim Aufruf der Boot-Auswahl auch beide PWs abgefragt, also ers das HDD-PW, dann das Supervisor-PW. Ebenso natürlich beim BIOS-Aufruf nach Neustart.

Zusätzlich ist mir wieder aufgefallen, dass es ja noch das"Power-On Password" gibt, das auch nochmal ein eigenes PW ist und keine bloße Option, wenn gesetzt. Dass das dann beim Anschalten des Rechners als erstes abgefragt wird - klar. Aber wie sich das auf die anderen Optionen auswirkt, teste ich jetzt wirklich nicht noch. Zumindest beim BIOS-Aufruf und Boot-Auswahl nach Kaltstart werden da sicher alle drei abgefragt, wenn alle gesetzt sind.

 

[Mornsgrans]

Noch drei Anmerkungen:
1. Das Poweron - Passwort kann man durch Abziehen der BIOS-Batterie löschen - siehe HMM. Danach wird aber das SVP benötigt, um den Rechner zu starten.
2. Ist ein HDD-Passwort gesetzt, aber KEIN SVP, werden die gesperrten Funktionen im BIOS aktiviert, sobald ein beliebiges SVP gesetzt wurde. Es stellt also keinen Schutz für das BIOS dar.
3. Das HDD-Passwort alleine stellt keinen Boot-Schutz dar. Bricht man die Eingabe bei der Abfrage ab, kann von einem externen Laufwerk gebootet werden, der Zugriff auf die passwortgeschützte HDD ist aber blockiert. Man kann aber bei gesetztem SVP die Bootlaufwerke außer HDD deaktivieren, um Booten von externen Bootlaufwerken (USB, DVD...) zu verhindern.

 

[harpo]

2. Ist ein HDD-Passwort gesetzt, aber KEIN SVP, werden die gesperrten Funktionen im BIOS aktiviert, sobald ein beliebiges SVP gesetzt wurde. Es stellt also keinen Schutz für das BIOS dar.
3. Das HDD-Passwort alleine stellt keinen Boot-Schutz dar. Bricht man die Eingabe bei der Abfrage ab, kann von einem externen Laufwerk gebootet werden, der Zugriff auf die passwortgeschützte HDD ist aber blockiert. Man kann aber bei gesetztem SVP die Bootlaufwerke außer HDD deaktivieren, um Booten von externen Bootlaufwerken (USB, DVD...) zu verhindern.

So hatte ich mir das ursprünglich eigentlich auch vorgestellt. Ich hatte dann zum Testen - nachdem ich inzwischen das HDD-PW gesetzt hatte - das SVP gelöscht (also durch ändern per frei lassen/keine Eingabe).
Danach wurde bei allen Aktionen zuerst das HDD-PW abgefragt (außer beim Neustart bei nicht gesetzter "at restart"-Option). Ich hatte versucht die Eingabe des HDD-PW abzubrechen - aber wie? Nicht mit Esc, nicht mit Entf noch irgendeiner F-Tastre ging es. Ich musste etwas eingeben bzw. gar nichts eingeben und Enter drücken. Das wurde dann als Falscheingabe gewertet und nach drei Versuchen schaltete sich der Rechner aus und bei erneutem Start ging es von vorne los. Bis zur Eingabe des richtigen Passworts.

Wie also kann man die HDD-PW-Eingabe abbrechen/umgehen?

 

[Mornsgrans]

Dann war dies nur bei älteren Modellen möglich. Zumindest Beim T6x konnte ich es abbrechen.

 

[dark_rider]

Aber natürlich gilt in jedem Fall: In den Boot Priority-Liste darf kein/e externe/s Medium/Option vor dem internen Speichermedium erlaubt sein, denn sonst brauch man z. B. einfach nur nen USB-Stick einstöpseln und kann von dem aus booten - zumindest beim Kaltstart (der ja notfalls nach agressivem Shutdown immer möglich ist).

Sobald man "Password at Restart" gesetzt hat, kann ein Dieb das TP dann zwar ggf. von extern booten - aber, und darum geht es ja, er kommt nicht an die Daten auf der internen SSD.

2. Ist ein HDD-Passwort gesetzt, aber KEIN SVP, werden die gesperrten Funktionen im BIOS aktiviert, sobald ein beliebiges SVP gesetzt wurde. Es stellt also keinen Schutz für das BIOS dar.

Um ins BIOS zu kommen, muss man aber erst das HDD-PW eingeben!

Somit sehe ich bei aktiviertem HDD-PW und aktivierter Option "Password at Restart" auch dann, wenn das TP im Standby gestohlen wird, keine Chance, auf die Daten auf der internen SSD zu kommen, ohne sie (forensisch) auseinanderzubauen und die Speicherchips an einen anderen Controller zu hängen. Es sei denn, der Dieb knackt das Windows-Passwort beim Aufwachen aus dem Standby, wenn die Daten vor jeglichem Restart (der etwa beim Booten von extern erfolgen würde) nur durch Windows geschützt sind.

 

[harpo]

Sobald man "Password at Restart" gesetzt hat, kann ein Dieb das TP dann zwar ggf. von extern booten - aber, und darum geht es ja, er kommt nicht an die Daten auf der internen SSD.

Du hast vermutlich recht. Ich habe diesen Fall nicht getestet. Ebenso nicht, was passiert, wenn man bei gesetztem HDD-PW automatisch ein in der Bootliste vorrangiges externes Medium starten will. So wie sich das sonstige Verhalten zeigt - nämlich, dass man nach einem Kaltstart auch nicht manuell die Boot-Auswahl aufrufen kann oder das BIOS ohne das HDD-PW einzugeben - könnte es sogar sein, dass man nicht einmal vom USB-Stick ohne PW-Eingabe booten kann, selbst wenn er eigentlich in der Liste als erstes steht. Ließe sich ja leicht ausprobieren...

Um ins BIOS zu kommen, muss man aber erst das HDD-PW eingeben!

Hatten wir ja schon geklärt, Morns kannte das Verhalten von älteren Modellen halt anders.

 

[dark_rider]

Hatten wir ja schon geklärt, Morns kannte das Verhalten von älteren Modellen halt anders.

Aber das kann doch nicht am BIOS liegen, d.h. ein älteres BIOS kann doch nicht einfach ein vom SSD-Controller gefordertes HDD-PW ignorieren und ohne PW auf die SSD zugreifen?

 

[harpo]

Aber das kann doch nicht am BIOS liegen, d.h. ein älteres BIOS kann doch nicht einfach ein vom SSD-Controller gefordertes HDD-PW ignorieren und ohne PW auf die SSD zugreifen?

Darum ging es ja auch nicht, lies doch mal genau die Posts. Es ging lediglich darum, dass man - offenbar nicht bei neueren, aber wohl älteren Modellen - die HDD-PW-Eingabe abbrechen kann, und dann ins BIOS kommt, an die Bootlist, von einem externen Medium starten kann etc., wenn kein Supervisor-PW gesetzt ist. Da war nicht die Rede davon, dass man dadurch an die Daten der SSD kommt, im Gegenteil:

Bricht man die Eingabe bei der Abfrage ab, kann von einem externen Laufwerk gebootet werden, der Zugriff auf die passwortgeschützte HDD ist aber blockiert.

Dass dies bei den aktuellen Modellen offenbar nicht so ist und man nicht an der Eingabe des HDD-PW vorbei kommt, auch wenn kein Supervisor-PW gesetzt ist, habe ich ja bei meiner kleinen Test-Session und hast Du ja auch festgestellt. Außer eben in dem festgestellten Fall beim Neustart, wenn nur das HDD-PW gesetzt ist, aber nicht die Restart-Abfrage-Option.

 

[cuco]

Wo ist denn das Problem, auch eben ein SVP zu vergeben? Kann ja auch das gleiche wie das HDD-PW sein...

 

[dark_rider]

@harpo: Achso, da hast Du genauso wie Mornsgrans natürlich Recht.

Wo ist denn das Problem, auch eben ein SVP zu vergeben? Kann ja auch das gleiche wie das HDD-PW sein...

Muss man ja eben gar nicht unbedingt. Je mehr PWs, desto mehr potentielle Probleme mit vergessenem PW. Deshalb folge ich da eher dem Motto "weniger ist mehr".

 

[Mornsgrans]

Wenn Du schon Deine HDD gegen unbefugte Nutzung sichern willst, dann verfahre auch so mit dem ganzen Rechner, da er ohne HDD immer noch besser verkäuflich ist, als einer mit gesetztem SVP.
Wenn Du wie oben empfohlen, als SVP ebenfalls das HDD-Passwort verwendest, ist eh alles zu spät, falls Du es vergessen solltest, denn wirst Du kaum noch wissen, wie Du heißt

 

[Pferdle]

Wenn Du schon Deine HDD gegen unbefugte Nutzung sichern willst, dann verfahre auch so mit dem ganzen Rechner, da er ohne HDD immer noch besser verkäuflich ist, als einer mit gesetztem SVP.

Eben.
Schätzungsweise 99% aller Diebstähle finden nicht wegen der Daten statt, sondern man will einfach das Notebook haben.
Nur mit HDD-Passwort ist es für den Dieb das geringste Problem, die HDD einfach in die Tonne zu entsorgen und eine andere/neue einzubauen.
Ein SVP-Passwort schützt zwar, wie auch Überwachungskameras :thumbsup:, nicht unbedingt vor Diebstahl, nur hat der Dieb dann nichts vom Notebook. Er kann es höchstens aussschlachten.

 

[dark_rider]

Hallo zusammen,

mir geht es ausschließlich um meine Daten, die sollen im Falle eines Diebstahls sicher sein.

Was der Dieb dann mit dem TP macht, ist mir relativ egal. Und selbst wenn ich einen Aufkleber anbringen würde mit dem Text "Achtung, BIOS passwortgesichert, Computer ohne Passwort nicht verwendbar" - meint Ihr, deshalb würde auch nur irgendein Dieb das TP stehen lassen und es nicht trotzdem mitnehmen?

Eben.
Nur mit HDD-Passwort ist es für den Dieb das geringste Problem, die HDD einfach in die Tonne zu entsorgen und eine andere/neue einzubauen.

Genau das soll er ja tun, anstatt sich mühsam am Passwort abzumühen und die SSD womöglich doch noch irgendwie zu knacken.

Ich frage mich nur gerade: Wenn man die SSD ausbaut und eine andere einbaut - verschwindet die Passwort-Abfrage vor dem BIOS dann von allein, oder ist sie noch im BIOS hinterlegt, und das BIOS ist dann irritiert, weil das Laufwerk dazu nicht mehr da ist?

 

[Mornsgrans]

Das Passwort ist, wie oben geschrieben - auf der HDD/SSD abgelegt. Ohne Laufwerk keine Passwortabfrage.

http://thinkwiki.de/HDD_Passwort_zurücksetzen

 

[dark_rider]

Das las ich schon, trotzdem danke. Aber: Ist das sicher so, oder ist die Erforderlichkeit der Passwortabfrage im BIOS hinterlegt, wenn das PW selbst mangels SSD dann aber fehlt, gibt es ein Problem?

 

[Mornsgrans]

Es findet bei ausgebautem Laufwerk keine Passwortabfrage statt, sofern es das einzig vergebene ist. Wird statt dessen ein Laufwerk ohne HDD-Passwort eingebaut, findet selbstverständlich immer noch keine Passwortabfrage statt.

Aber das wurde schon mindestens ein mal weiter oben erwähnt.