neuer Fingerabdruck als Einschaltpasswort wird nicht regestriert

[p12]

Hallo,

ich stehe vor folgendem Problem: Wir haben hier ein x220t das mit einem Einschaltpasswort versehen ist, welches leider in Vergessenheit geraten ist (ja blöd). Zum Einschalten sind glücklicherweise auch Fingerabdrücke registriert, sodass das Gerät weiterhin genutzt werden kann.

Nun soll das Gerät auch von anderen Personen hochgefahren werden können. Dazu wurden die Fingerabdrücke in der Fingerprintsoftware registriert und dort auch mit den Rechten zum Einschalten des Gerätes versehen.
Das Problem daran ist nun, dass beim Booten die Fingerabdrücke dann zwar erkannt werden, aber das Gerät nicht mit ihnen entsperrt werden kann.

Hat dazu vielleicht jemand eine Idee?

Vielen Dank!

 

[think_pad]

Das Problem daran ist nun, dass beim Booten die Fingerabdrücke dann zwar erkannt werden, aber das Gerät nicht mit ihnen entsperrt werden kann.
Hat dazu vielleicht jemand eine Idee?

Na ja, so wie man ein Betriebsystem neu aufsetzt, wenn es etwas sehr "verseucht" ist, muss man auch die Fingerprints generell neu aufsetzen, wenn sich zu viele Fremdfinger im BIOS befinden.

Auf ein Büro übertragen heißt das, dass jemand die Übersicht und Kontrolle über die verteilten Büroschlüssel verloren hat: Also Schloß austauschen...

Im BIOS kann man die alten Fingerprints löschen und dann geht es von vorn los, was auch verhindert, dass Leute Zugriff haben, die da nicht Zugriff haben sollten.

 

[p12]

Na ja, so wie man ein Betriebsystem neu aufsetzt, wenn es etwas sehr "verseucht" ist, muss man auch die Fingerprints generell neu aufsetzen, wenn sich zu viele Fremdfinger im BIOS befinden.

Im BIOS kann man die alten Fingerprints löschen und dann geht es von vorn los, was auch verhindert, dass Leute Zugriff haben, die da nicht Zugriff haben sollten.

Ja, das habe ich gesehen. Aber bisher sind nur 4 Abdrücke registriert - da müsste man doch eigentlich noch welche hinzufügen können oder? In der Software steht was von 20 Abdrücken die registriert werden können.

 

[gestern]

Im BIOS kann man die alten Fingerprints löschen und dann geht es von vorn los, was auch verhindert, dass Leute Zugriff haben, die da nicht Zugriff haben sollten.

bitte blos nichts löschen beim fingerprint, solange man das passwort dazu nicht kennt, es setzt ja nicht das passwort zurück und in diesem falle würde man sich auschliessen.

Einschaltpasswort

das müsste man genauer wissen, ist es ein power on passwort ? sind im bios superadmin (genauer name vergessen) und juser mit passwort versehen?
kommst du denn ins bios uns kannst einstellungen vornehmen ?

 

[think_pad]

bitte blos nichts löschen beim fingerprint, solange man das passwort dazu nicht kennt, es setzt ja nicht das passwort zurück und in diesem falle würde man sich auschliessen.

Es wäre mir neu, dass ein Fingerprint-Start "am Power-On-Passwort vorbei kommt", das muss man nämlich trotzdem eingeben.

Ich gehe mal davon aus, dass das Power-On-Password vergessen wurde, aber das BIOS-Passwort noch existiert? Dann kann man mit dem BIOS-Passwort das Power-On-Password zurücksetzen und alle Fingerprints löschen.

Oder wurde das BIOS-Passwort vergessen?

 

[p12]

das müsste man genauer wissen, ist es ein power on passwort ? sind im bios superadmin (genauer name vergessen) und juser mit passwort versehen?
kommst du denn ins bios uns kannst einstellungen vornehmen ?

Ja, mit Einschaltpasswort meinte ich das Power-On-Passwort. Ich denke BIOS-Passwort ist gar keines vergeben bzw. mit dem Fingerabdruck komme ich auch ins BIOS. Wenn ich allerdings im BIOS das Power-On-Passwort zurücksetzen möchte, brauche ich dazu halt das alte Power-On-Passwort. Ist halt richtig dumm sowas zu vergessen....

Es wäre mir neu, dass ein Fingerprint-Start "am Power-On-Passwort vorbei kommt", das muss man nämlich trotzdem eingeben.

Ich gehe mal davon aus, dass das Power-On-Password vergessen wurde, aber das BIOS-Passwort noch existiert? Dann kann man mit dem BIOS-Passwort das Power-On-Password zurücksetzen und alle Fingerprints löschen.

Oder wurde das BIOS-Passwort vergessen?

Doch, mit dem Fingerabdruck kommt man auch über das Power-On-Passwort.

Danke euch schonmal soweit für eure Hilfsbemühungen - es ärgert mich halt richtig, dass das dumme Passwort weg ist.

 

[gestern]

dann versuche mal ins bios zu gehen ohne fingerprinnt mit dem passwort das du hast.
dann währst du als "JUSER " im bios, wenn das so währe, könnte es sein das supervisor password und "user" passwort das selbe ist,
was zu konflickten führen kann, mann muss dan erst den juser löschen (ohne die fingerprints) und dann geht das selbe passwort auch beim supervisor.
nicht vergesssen im bios USA tastaturlayout.

hatte das problem auch mal vor jahren, aber noch mit zugehöriger passphrase gesetzt. da war dann essig aber der fingerprinnt tut heute noch.
essig weil es damals einen bug hatte im bios beim T60 wen man passphrase gesetzt hatte, konnte man sich mit sonderzeichen ausperren.

 

[p12]

dann versuche mal ins bios zu gehen ohne fingerprinnt mit dem passwort das du hast.
dann währst du als "JUSER " im bios, wenn das so währe, könnte es sein das supervisor password und "user" passwort das selbe ist,
....

Das Problem ist, das zwar kein BIOS-Passwort an sich gesetzt ist, aber ich nur mit dem Fingerabdruck über das Power-On-Passwort hinweg komme. Das Supervisor Passwort ist leider auch gesetzt, sodass ich die Daten auch nicht einfach löschen kann.



Man könnte das Problem schon sehr einfach umgehen, wenn man einfach neue Fingerabdrücke registrieren könnte, die Berechtigungen zum Einschalten haben. Leider werden neue Fingerabdrücke nicht mit diesem Recht belegt, obwohl ich es ausdrücklich in der Fingerprint Software einstelle (siehe Bild).

 

[martina]

Das Supervisor-Passwort ist ein "BIOS-Passwort". Ohne dieses geht nichts.

 

[Edgar]

Moin !

Wenn ich davon ausgehe, ist auf Deinem Rechner das SVP (Supervisorpassword) festgelegt ist, gibt es zwei Möglichkeiten:


1: Dir ist das SVP bekannt, das SVP ist aktiviert und und Du kannst in´s Bios, weil Du das SVP eingeben kannst.

2: Dir ist das SVP nicht bekannt, das SVP ist deaktiviert und und Du kannst in´s Bios, weil es beim Zugang, dadurch daß es inaktiv geschaltet ist, nicht abgefragt wird.


ad 1:
Für den Fall, daß Dir das SVP bekannt ist, gibt es eine eher einfache Methode, das POP (Power-On Password) zurückzusetzen.

ad 2:
Ist Dir das SVP nicht bekannt, sperrst Du Dich, so auf diese eben angedeutete Weise das POP gelöscht wird, aber komplett aus dem Rechner aus.
Gleichzeitig mit den POP werden im Bios nämlich auch Datum/Uhrzeit zurückgesetzt. Dadurch bootet der Rechner nicht. Um Datum/Uhrzeit wieder einstellen zu können, brauchst Du das SVP.

So far, so good!

Wichtig:
Bevor Du irgendetwas änderst, mußt Du erst einmal verstehen, was es genau mit den verschiedenen Passwörtern auf sich hat und wie sie sich auswirken.
Außerdem mußt Du genau verstehen, welche Passwörter auf Deinem Rechner vergeben sind und ob sie, so so sie vergeben sind, aktiviert oder deaktiviert sind.
Andernfalls läufst Du Gefahr, daß Du Dich aus einem bisher noch bootfähigen Thinkpad komplett ausschließst.

Gruß
Edgar

 

[gestern]

Das Supervisor-Passwort ist ein "BIOS-Passwort". Ohne dieses geht nichts.

stimmt natührlich.
ABER
man kann als supervisor einem juser diverse rechte geben und wir wissen das ja nicht, insofern ist die möglichkeit eben da, wenn das gemacht wurde.
wird aber im firmen umfeld meist bewusst nicht gemacht.
edit:
hab grad am screeshot gesehen das "single sign in" aktiviert ist,
da geht nichts, egal wie, du kannst so nichts hinzufügen, fürs power on.

wichtig: identische passwörter für verschieden funktionen führen zu konflikten, ...versuchen sich zu erinnern oder heraus zu finden.
wichtig : wurde bei der passwortvergabe passphrase aktivert, konnte man über die fingerprintsoftware,
sonderzeichen vergeben, die auf biosebene nicht zur verfügung stehen(bug) also mit dem bekannten passwort sich versuchen über die software zugriff zu verschaffen.
ja das geht die fingerprint software hat zugriff auf den securitychip und man kan ein supervisor passwort darin ändern aber nicht per fingerprint sonder über das passwort. hab das noch nicht bei der x220 serie gemacht aber bei der 60 & 61 & 201 serien.

du solltest dich auch per Esc nach dem einschalten statt via fingerprint anmelden können für ins bios. bin mir aber grad nicht sicher
und schnell ein biospasswort setzten zum versuchen ist mir doch zu riskannt.

 

[p12]

So, dass Problem ist gelöst:

Es ist wohl so, dass das Supervisor-Passwort gesetzt ist, der Fingerabdruck-User wohl aber weitgehende Rechte im BIOS hat. Nur das Zurücksetzen des Power-On-Passworts war mangels Supervisor-Passwort nicht möglich.
Allerdings konnte ich das Power-On-Passwort durch einen Start ohne Akku und CMOS-Batterie zurücksetzen. Mit den Rechten des Fingerabdruck-Users konnte dann die Systemzeit wieder einstellt werden.

Vermutlich war das Problem mit dem nicht mehr vorhandenen Passworts wirklich in irgendwelchen Sonderzeichen begründet - ich erinnere mich, dass da irgendwas ziemlich seltsam war.

Vielen Dank für eure ganzen Hinweise!

 

[think_pad]

Allerdings konnte ich das Power-On-Passwort durch einen Start ohne Akku und CMOS-Batterie zurücksetzen. Mit den Rechten des Fingerabdruck-Users konnte dann die Systemzeit wieder einstellt werden.

Man kann ein Power-On-Passwort einfach zurücksetzen, in dem man den Rechner ohne BIOS-Batterie und Akku startet? Das glaub' ich jetzt nicht...

 

[p12]

Man kann ein Power-On-Passwort einfach zurücksetzen, in dem man den Rechner ohne BIOS-Batterie und Akku startet? Das glaub' ich jetzt nicht...

Wollte ich auch nicht glauben, aber:

http://support.lenovo.com/de_DE/detail.page?LegacyDocID=migr-59377

 

[Edgar]

Moin !

Wenn man das sogar auf der Lenovo Seite nachlesen kann, dann kann ich hier ja auch offen darüber sprechen, was ich zuvor nur angedeutet habe. Den Rechner komplett stromlos zu machen, also kein Netzteil, kein Akku und Stützbatterie entfernt, dann etwas warten, löscht definitiv das Power-On Password (POP).

Wichtig: Man beachte den Hinweis in meinem Beitrag auf der vorhergehenden Seite dieses Threads um 14:32 Uhr !!

Gruß
Edgar

 

[think_pad]

Wenn man das sogar auf der Lenovo Seite nachlesen kann, dann kann ich hier ja auch offen darüber sprechen, was ich zuvor nur angedeutet habe. Den Rechner komplett stromlos zu machen, also kein Netzteil, kein Akku und Stützbatterie entfernt, dann etwas warten, löscht definitiv das Power-On Password (POP).

Und wenn ich das ganze Benzin ablasse, öffnet sich die Zentralverriegelung meines Autos?
Bloß gut, dass ich noch eine gute, alte, dampfbetriebene Klingel an der Wohnungstür habe... :facepalm:

 

[gestern]

man darf natürlich die grundregel, wenn man ein system härtet/sichert, dass das supervisorpasswort gesetzt ist, nicht vergessen!
die juser-rechte macht man je nach hirarchie oder vertrauenstellung / vorgaben ....
wer die grundregel beachtet, dem kann es egal sein wenn ein power on "switch" via "stromreset " zurückgesetzt wird.
ohne entsprechendes passwort kommt er nicht weiter.
und wenn das passwort noch per aktivierter passphrase erstellt wurde, wirds auch für spezialisierte bios firmen schwer, da noch was zu machen.

....... muss aber zugeben, das war mir auch entfallen, da bin ich doch sicher auch schon drüber gestopert. *rolleyes*.

 

[think_pad]

man darf natürlich die grundregel, wenn man ein system härtet/sichert, dass das supervisorpasswort gesetzt ist, nicht vergessen!

Man muss sich als Supervisor im BIOS per Passwort die Erlaubnis holen, ein ThinkPad so stromlos zu machen zu dürfen und damit das Power-On-Passwort zu löschen?

 

[Edgar]

Man muss sich als Supervisor im BIOS per Passwort die Erlaubnis holen, ein ThinkPad so stromlos zu machen zu dürfen und damit das Power-On-Passwort zu löschen?

Moin !

Soo ist es nicht.
Wenn Du auf das Thinkpad so zugreifen kannst, daß Du die Stützbatterie entfernen kannst, dann kannst Du auch das Power-On Passwort löschen. Gleichzeitig mit dem Rücksetzen des POP wird aber auch das Datum und die Uhrzeit zurückgesetzt, was dazu führt, daß das Thinkpad nicht mehr booten kann. Bei vergebenem SVP ist der Zugriff auf das Bios jetzt nur noch nach Eingabe dieses SVP möglich. Oder per Fingerabdruck, wenn zuvor entsprechende Rechte eingeräumt wurden.

Wer denn die entsprechenden Rechte nicht besitzt, kommt jetzt nicht mehr an das Thinkpad heran. Das ist erst einmal so gewollt.

Unangenehm kann es werden, wenn ein Thinkpad so gesperrt ist und es niemanden mehr gibt, der die Zugangsrechte besitzt. Das ist ja auf verschiedene Weise möglich, die nichts mit unbefugtem Zugriff zu tun hat. Zum Beispiel könnte das SVP vom Verantwortlichen vergessen worden sein. Oder der entsprechende IT-Mitarbeiter der Firma hat die Firma verlassen und ist nicht mehr verfügbar.
Viele gesicherte Systeme sehen jetzt Hintertüren vor. Manche PCs haben zB Jumper die man nach Öffnung des Gehäuses setzen kann, um Passwörter zu löschen.

Lenovo geht bei den Thinkpads einen Schritt weiter und hat keine Hintertür eingeplant. Die Antwort von Lenovo auf entsprechende Anfragen ist jedenfalls, daß dann nur noch der Austausch des Mainboards weiterhilft.
Wer das nachlesen möchte, klickt hier. Dort wird auch die Methode zum Zurücksetzen des POP beschrieben.

So gewollt zB von der Firma, der ein Thinkpad abhanden gekommen ist.
Nicht so gewollt von Firmen oder auch privaten Nutzern, die noch in Besitz des Gerätes sind und es weiter nutzen möchten. Richtig übel für Firmen, die darauf angewiesen sind, das Teil nutzen zu können. Da sind verschieden Szenarien erdenkbar, mit unterschiedlichen Konsequenzen.

Gruß
Edgar

 

[think_pad]

Oder der entsprechende IT-Mitarbeiter der Firma hat die Firma verlassen und ist nicht mehr verfügbar.

Diesen legendären Fall kommentiere ich nicht...

Gleichzeitig mit dem Rücksetzen des POP wird aber auch das Datum und die Uhrzeit zurückgesetzt, was dazu führt, daß das Thinkpad nicht mehr booten kann. Bei vergebenem SVP ist der Zugriff auf das Bios jetzt nur noch nach Eingabe dieses SVP möglich. Oder per Fingerabdruck, wenn zuvor entsprechende Rechte eingeräumt wurden.

Und wie geschieht das, dass einem Fingerprint-User Supervisor-Rechte eingeräumt werden? Hebelt man damt nicht das Supervisor-Passwort aus?

Ich habe auch diese Einstellung, aber er ignoriert meinen Finger und will das Passwort; gleichzeitig behauptet er, er hätte "21 Steckplätze frei"...

....​