Integrierter Security Chip überflüssig?!

F

Froki

New member
Themenstarter
Registriert
12 Apr. 2006
Beiträge
63
Hi,

also ich hab mein T40 und hab auch die Funktion sicheres Anmelden aktiviert, dass er also nach dem Hochfahren zum Anmelden den Security Chip benutzt. Hat auch wunderbar funktioniert das Anmelden dauerte zwar immer etwas länger aber wenns sicher ist dachte ich mir warum nicht. So jetz hatte ich aber vor ein paar Tagen ein bischen Langeweile und hab mir überlegt was denn wohl passiert wenn ich jetz mal mein Windows Passwort versuche per Knoppix STD rauszumachen. Also Live CD rein und per chspw die SAM Datei umgeschrieben und das Passwort heraus gemacht. So jetz hab ich neugestarted und war gespann was wohl nun passieren würde. Er fuhr auch normal hoch und dann kam wie immer am anfang der Anmeldung "Satus des inegrierten Security Chips wird überprüft." das stand da so ca. 2-3 min. und dann kam die ganz normale Windows anmeldung. Dort habe ich dann einfach Enter gedrückt ohne ein Passwort einzugeben und dass wars.

Ist es wirklich so einfach diesen Sekurity Chip zu umgehn oder waren meine Einstellungen nur falsch. Es kann doch nicht so einfach sein das Passwort zu knacken trotz Security Chip, dass ganze hat ja nichtmal 5min. gedauert und schon hatte ich das Passwort drausen.

mfg Froki
 
Wenn du dein System wirklich absichern willst, dann muss schon verhindert werden, das jemand ohne weiteres ein anderes Betriebssystem von einem fremden Datenträger starten kann (egal ob das ein Linux oder WinPE/BartPE ist).

Wenn du kein Passwort festlegst das auch für die Auswahl des Bootlaufwerks gilt und die Festplatte nicht als einziges Bootlaufwerk auswählst, brauchst du dich über das was du beschrieben hast nicht wundern.
 
Es ist mir klar das ich ein HDD PW setzen kann und wenn ich die HDD als einziges Bootlaufwerk setze und dazu noch ein BIOS PW das es dann schon ziemlich schwierig wird wenn nicht unmöglich ist ins OS zu kommen. Nur ging es mir darum das ich davon ausging das es vollkommen ausreicht die Abgesicherte Windows Anmeldung zu aktivieren. Nur der Security Chip hat ja anscheinend keinen großen einfluss. Ich hätte nicht gedacht das es so einfach ist.
Ich benutze das Notebook ja auch nur Privat es sind jetz keine wichtigen Daten darauf die nun unbeding geschützt werden müssen. Es ging mir halt nur darum das ich nicht gedacht hätte das Trotz Security Chip es so einfach ist das PW zu Knacken der Security Chip scheint ja auch nichts anderes als Win zu machen und zwar die SAM Datei auszulesen.
 
ich frag jetzt einfach mal blöd nach:

was genau macht dieser security chip eigentlich?
 
Der Sinn des TPM Chips ist nicht, die Windows Anmeldung zu verhindern. Das leichte Umgehen ist kein Bug, sondern ein Feature. Im TPM Chip wird das Client Security Passwort gespeichert (also besonders sicher, Daten liegen nicht auf der Festplatte), allerdings nicht das von Windows. Nochmal: CSS Passwort ist ungleich Windows Passwort. Froki hat also nur das Windows Passwort geknackt. Deshalb sollte das CSS Passwort immer anders sein als das Windows Passwort.

Der Sinn des Chips ist es, sich mit Client Security zu authentifizieren und danach gewisse Features zu nutzen, die nur mit diesem Passwort erreichbar sind. Ersetzt man die Windows Anmeldung mit der von CSS, dann authentifiziert man sich halt beim einloggen, man könnte das aber genauso gut erst dann machen wenn man das entsprechende CSS Feature nutzen will. Mit der Anmeldung hat man es einfach nur schon hinter sich. Diese Features sind beispielsweise der Passwortmanager, Secure Drive usw. Ohne einer erfolgreichen Authentifizierung beim Chip kommt man an die mit diesen Features gesicherten Daten nicht ran, an Windows anmelden kann man sich trotzdem sehr wohl. Will man Windows und die gesamte Festplatte schützen, braucht man Safeguard Easy, eine Vollverschlüsselungssoftware zusätzlich zu CSS (nicht kostenlos).
 
ich kann s0larist nur Zustimmen. Alles korrekt ;-)
Der Chip ist der Windowsanmeldung nur vorgeschaltet. Wenn du das Passwort von CSS eingibts und es korrekt ist, meldet sich CSS bei Windows an. Jetzt kann man unter Linux hergehen und sagen, nö CSS du bist doof, du machst das nicht und schon kommt die gewohnte Windowsanmeldung.

Wie auch schon s0larist gesagt hat, macht das ganze erst dann wirklich Sinn, wenn man die Festplatte verschlüsselt. Aber das ist ein heikles Thema.

Aber mit Sicherheit sieht es unter Linux ja auch nicht anders aus. Dort kannst beim booten auch deine Shell umbiegen, so dass der sich um Passwörter überhaupt nicht kümmert. Dann kannste munter auf alles zugreifen.

Hat also nichts mit Unfähigkeit von Microsoft oder IBM zu tun, sondern es liegt am "System" wie die Daten auf die Platte kommen.

Gruß
Martin
 
Hi!

Das klingt alles etwas nach dem Suchen selbstversteckter Ostereier... :shock:

besser TCPA-Chip aktivieren, Supervisorpasswort setzen....kann man zur Not auch noch knacken :( , wird aber etwas komplizierter (EEPROM muss neu beschrieben werden):

http://www.allservice.ro/forum/viewtopic.php?t=97

Ciao, troubadix
 
@s0larist: Im Security Chip wird nichts gespeichert. Er dient nur der Verschlüsselung.

Du hast aber Recht, wenn Du schreibst, dass der Sec. Chip nur Sinn mit der gesamten Security Software macht. (PW Manager, etc.)

Allerdings ist das Problem des Sec. Chips das gleiche, wie auch beim Fingerprint Reader. Das sind alles Nur Features, die dem Kunden suggerieren sollen, dass das Gerät sicher ist. Saveguard Easy kann man auch ohne den Sec. Chip verwenden....
 
Original von qwertz

@s0larist: Im Security Chip wird nichts gespeichert. Er dient nur der Verschlüsselung.
Zum Vergrößern anklicken....

Ja, das stimmt. Der Chip dient nur zur Verschlüsselung, das war von mir etwas vereinfacht ausgedrückt.

Original von qwertz

Allerdings ist das Problem des Sec. Chips das gleiche, wie auch beim Fingerprint Reader. Das sind alles Nur Features, die dem Kunden suggerieren sollen, dass das Gerät sicher ist. Saveguard Easy kann man auch ohne den Sec. Chip verwenden....
Zum Vergrößern anklicken....

Dem würde ich nur teilweise zustimmen. Ich finde dass der Chip in Verbindung mit CSS schon auch eine sehr sichere Umgebung für sensible Daten bietet. Der Chip bietet ein etwas höherer Sicherheitslevel als ohne, aber in meinen Augen ist das gar nicht das Entscheidenende. Das Problem ist, dass wenn man auf sichere Daten z.B. aus Secure Drive bzw. Private Disk zugreift, Windows noch irgendwo anders im Pagefile, Hybernate File usw. Kopien davon ablegt und man so an diese Daten herankommen könnte. Mit Truecrypt wäre das das selbe. Deshalb kann man nur mit Vollverschlüsselung wirklich sicher sein, ob mit oder ohne Chip ist letztlich nicht ganz so wichtig. Trotzdem bietet IBM/Lenovo eine vorbildliche Sicherheitssuite und der Chip macht das Knacken des Passworts mit Sicherheit nicht leichter. Der Fingerprint Reader allerdings bietet keinen Schutz, auf den würde ich mich nicht verlassen.

Das Supervisor Passwort scheint ja mittlerweile schon relativ einfach zu knacken zu sein, bietet also keinen großen Schutz mehr. Das HDD Passwort bietet auch keinen echten Schutz, Spezialfirmen kommen an die Daten trotzdem ran (wenn es auch teuer ist).
 
Hi!

Wenn der Securitychip (TCPA) aktiviert ist, wird auch das Supervisorpasswort hardwaremäßig-verschlüsselt im EEPROM gespeichert und kann nicht einfach ausgelesen werden, wie beschrieben:

http://thinkpad-forum.de/viewtopic.php?t=7677

Man muss das EEPROM mit einem geeigneten Dateidump neu überschreiben. Ist schon schwieriger, zeitaufwendiger....das knacken von Verschlüsselungen ist letzten Endes nur eine Frage der zur Verfügung stehenden Zeit, Geduld, Geld, Wille.... :evil:

Ciao, troubadix
 
@troubadix :

Da muss ich Dir widersprechen. Wenn Die Passphrase aktiviert ist, wird das PW anders abgelegt. Mit dem aktivierten TCPA Chip hat das nichts zu tun. ;)
 
Moin,

<hochhol>

Wird denn der Security Chip, der ja offensichtlich symmetrische Verschlüsselung in Hardware erledigen kann, auch von Software wie Safeguard genutzt?

Bislang war ja das Problem der HD-Verschlüsseler, dass sie wertvolle CPU-Zeit kosten.

mfg. frimp
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
  • ok1.de
  • thinkstore24.de
  • ok2.de - Notebook Computer Server
  • Preiswerte-IT - Gebrauchte Lenovo Notebooks kaufen

Werbung

Zurück
Oben