Was bringen dir neue Quellen?
Schutz vor Keyloggern
- Ersteller Trymaster
- Erstellt am
Was bringen dir neue Quellen?
also zusammenfassend kann man sagen, dass wirksamste ist seine Netwerkverbindungen manuel zu regeln und nicht bekannte Verbindungen zu blockieren. Oder gibt es auch Programme, ich benutze mein AntiViren Programm (GData) und regle die Netzwerkverbindungen manuel, die sich daran vorbei "mogeln" können?
Edit: Wenn man davon ausgeht, dass die Daten per Internet verschickt werden und nicht physisch vom PC abgegriffen werden.
Edit: Wenn man davon ausgeht, dass die Daten per Internet verschickt werden und nicht physisch vom PC abgegriffen werden.
Zuletzt bearbeitet:
thatgui
Active member
- Registriert
- 3 Juli 2009
- Beiträge
- 1.868
Nun, ich kann hier nur aus eigener Erfahrung sprechen: Als der ccc dies 2004 veröffentlichte haben wir versucht es im Uni-Labor nachzustellen. Nach ein paar Fehlversuchen hat es auch tatsächlich geklappt, allerdings nur mit Lesern, die ein rein optisches Verfahren zur Erkennung verwendeten. Bei den teureren Geräten mit zusätzlicher Infrarotabtastung und kapazitiver Messung haben wir es nicht hinbekommen. Ausgehend davon extrapoliere ich einfach mal unverfroren, dass ein mehr als 9 Jahre alter Bericht nicht unbedingt die aktuelle Situation wiederspiegelt.
- Registriert
- 30 Juli 2009
- Beiträge
- 5.634
Dieser Herr hier http://www.zabex.de/site/kryptool.html#nanepa hat sich über das Keyloggerproblem ebenfalls ein paar Gedanken gemacht. Mordskompliziert, da Zufalls- und Zeitkomponente mit enthalten sind. Man muss nur aufpassen, dass man sich nicht selber aussperrt 
steveurkel
New member
- Registriert
- 5 Jan. 2009
- Beiträge
- 175
Der Programmierer der Alphabetuhr und der Onscreen-Tastatur hat dabei nicht bedacht das von den bösen Jungs mit jedem Klick ein Screenshot erstellt wird. Das ergibt also null Schutz, nix, nada.
Bliebe noch der Yubikey. Der kann sowohl immer das gleiche Password herausblasen, er kann aber auch OATH. Es gibt aber auch Hardware-Token die selbstständig nach einem Geheimnis immer das nächste Passwort errechnen. Der Yubikey kann das selbst eingeben da er als Tastatur erkannt wird, bei den anderen Token muss man abtippen. Das Problem ist dabei das auf der anderen Seite immer eine Software laufen muss die das übergebene Passwort überprüft und den Zugang freigibt. OATH gibt es nach Zeit (vergangene Zeit in Minuten seit einem bestimmten Datum/Uhrzeit wird in einer bestimmten Schrittweite 60/30Sek mit dem Geheimnis verrechnet was dann das OTP ergibt) oder Event-based (beide Seiten rechnen immer einen Schritt weiter und kommen so über das Geheimnis an das Passwort) Das Problem ist dabei das ganze Synchron zu halten. Hardware-Token driften ab bzw wenn man an das System das die OTPs prüft kommt und dort die Schreibzugriff bekommt kann man eine Replay-Attacke starten indem man die Uhrzeit/Datum manipuliert und ein altes verbrauchtes OTP als "neu" verkauft.
Ich bleibe dabei das wenn es um Verschlüsselung geht hier nur eine Chipkarte abhilft deren PIN über ein separates und versiegeltes PIN-Pad eingegeben wird, dann könnte man aber auch in die Gelegenheit Waterboarding mal live zu erleben.
PS: Achtet mal beim Einkaufen drauf bzw macht euch mal Gedanken darum wieviele EC-Pinpads nicht mehr versiegelt sind und was das für Konsequenzen für euren Kontostand haben könnte.
Bliebe noch der Yubikey. Der kann sowohl immer das gleiche Password herausblasen, er kann aber auch OATH. Es gibt aber auch Hardware-Token die selbstständig nach einem Geheimnis immer das nächste Passwort errechnen. Der Yubikey kann das selbst eingeben da er als Tastatur erkannt wird, bei den anderen Token muss man abtippen. Das Problem ist dabei das auf der anderen Seite immer eine Software laufen muss die das übergebene Passwort überprüft und den Zugang freigibt. OATH gibt es nach Zeit (vergangene Zeit in Minuten seit einem bestimmten Datum/Uhrzeit wird in einer bestimmten Schrittweite 60/30Sek mit dem Geheimnis verrechnet was dann das OTP ergibt) oder Event-based (beide Seiten rechnen immer einen Schritt weiter und kommen so über das Geheimnis an das Passwort) Das Problem ist dabei das ganze Synchron zu halten. Hardware-Token driften ab bzw wenn man an das System das die OTPs prüft kommt und dort die Schreibzugriff bekommt kann man eine Replay-Attacke starten indem man die Uhrzeit/Datum manipuliert und ein altes verbrauchtes OTP als "neu" verkauft.
Ich bleibe dabei das wenn es um Verschlüsselung geht hier nur eine Chipkarte abhilft deren PIN über ein separates und versiegeltes PIN-Pad eingegeben wird, dann könnte man aber auch in die Gelegenheit Waterboarding mal live zu erleben.
PS: Achtet mal beim Einkaufen drauf bzw macht euch mal Gedanken darum wieviele EC-Pinpads nicht mehr versiegelt sind und was das für Konsequenzen für euren Kontostand haben könnte.
- Registriert
- 30 Juli 2009
- Beiträge
- 5.634
Bedacht schon:
Andererseits, wenn der Rechner bereits derart kompromittiert ist, dass der Bildschirminhalt gefilmt ("gescreenshottet" :facepalm: ) und alle Tastendrücke aufgezeichnet werden, dann ist es mit dem System selbst eigentlich nicht mehr möglich, ein Passwort unbeobachtet einzugeben. (Unabhängig davon, wäre das für den geneigten Kriminellen nicht ein Riesenaufwand? Wenn man gezielt - vom wem auch immer - angegriffen wird natürlich nicht, aber für die durchschnittliche Breitseite auf den DAU sollte es doch bequemere Wege geben?)
Grundsätzlich halte ich auch die Verwendung von zusätzlicher (nicht infizierbarer) Hardware, die das Passwort dann verschlüsselt überträgt, für eine einigermaßen sichere Lösung. Vorher würde ich aber versuchen, ob es nicht möglich wäre, das zu verschlüsselnde System komplett offline zu halten.
nur nichts dagegen unternommen
Andererseits, wenn der Rechner bereits derart kompromittiert ist, dass der Bildschirminhalt gefilmt ("gescreenshottet" :facepalm: ) und alle Tastendrücke aufgezeichnet werden, dann ist es mit dem System selbst eigentlich nicht mehr möglich, ein Passwort unbeobachtet einzugeben. (Unabhängig davon, wäre das für den geneigten Kriminellen nicht ein Riesenaufwand? Wenn man gezielt - vom wem auch immer - angegriffen wird natürlich nicht, aber für die durchschnittliche Breitseite auf den DAU sollte es doch bequemere Wege geben?)
Grundsätzlich halte ich auch die Verwendung von zusätzlicher (nicht infizierbarer) Hardware, die das Passwort dann verschlüsselt überträgt, für eine einigermaßen sichere Lösung. Vorher würde ich aber versuchen, ob es nicht möglich wäre, das zu verschlüsselnde System komplett offline zu halten.
Ich denke mal das die handelsüblichen (auch im TP) verbauten Fingerprintleser keine Infrarotabtastung und ähnliche Späße haben, somit der Bericht immer noch die aktuelle Situation wiederspiegelt.
toby
New member
- Registriert
- 9 Jan. 2013
- Beiträge
- 1.118
Das Problem liegt doch weniger im "Screenshotter" oder im "Keylogger", sondern im Kommunikationsverhalten des Geräts. Irgendwie muss der Ausspäher ja an die Daten kommen, die er ausgespäht hat, und es geht in der Regel nur über Funker oder LAN.
Ein autonomes Gerät, dass nicht mit anderen kommuniziert, ist de facto ein sicheres Gerät, so wie eine Urkunde oder ein Geheimbericht im Safe. Selbst wenn auf diesem autonomen Gerät Keylogger etc. installiert wären, blieben die Informationen auf dem Rechner, würde man ihm nicht die Möglichkeiten geben, diese zu übermitteln.
Die Kommunikationskanäle sind die Gefahr, nicht die Schnüffelprogramme selbst. Da sollte man mal ansetzen... :thumbup:
Ein autonomes Gerät, dass nicht mit anderen kommuniziert, ist de facto ein sicheres Gerät, so wie eine Urkunde oder ein Geheimbericht im Safe. Selbst wenn auf diesem autonomen Gerät Keylogger etc. installiert wären, blieben die Informationen auf dem Rechner, würde man ihm nicht die Möglichkeiten geben, diese zu übermitteln.
Die Kommunikationskanäle sind die Gefahr, nicht die Schnüffelprogramme selbst. Da sollte man mal ansetzen... :thumbup:
Zuletzt bearbeitet:
Deswegen auch meine Frage...
toby
New member
- Registriert
- 9 Jan. 2013
- Beiträge
- 1.118
Wir werden in Zukunft vielleicht zwei ThinkPad-Geräte zu Hause stehen haben: Eines was mit dem Internet kommuniziert und Daten über uns und unsere Interessen sendet, und ein zweites, was nur ein Betriebssystem enthält.
Jeder kennt auch das Dilemma mit Privat- und Diensthandys, das sind zwei Arten von Geheimnissen, die der Benutzer schützen will: Private und dienstliche, da werden zwei Geräte verwendet.
thatgui
Active member
- Registriert
- 3 Juli 2009
- Beiträge
- 1.868
Bedauerlicherweise ist die Datenlage mehr als wage, da ich die Herstellerseite des in meinem Gerät verbauten Fingerabdrucklesers (UPEK Touchstrip TCRD4C) weder gestern noch heute erreichen konnte. Soviel ich mir von diversen Diskussionsseiten über fprint zusammenklauben konnte, beherrscht er aber zumindest kapazitive Messungen. Interessanter sind da wohl eher die Meldungen, über die mitgelieferte Windows-Software, die gerne mal das Benutzerkennwort im Klartext ablegt
thatgui
Active member
- Registriert
- 3 Juli 2009
- Beiträge
- 1.868
Wäre natürlich interessant zu wissen, was für Technologien in diesem Fall zu Einsatz gebracht wurden, der Artikel erweckt ja den Eindruck, dass man sich bei Apple auf ein rein optisches Verfahren verlassen hat.
laut ifixit ist es ein cmos-chip mit saphir-deckglas:
http://www.ifixit.com/Teardown/iPhone+5s+Teardown/17383/1?singlePage (schritt 9)
http://www.ifixit.com/Teardown/iPhone+5s+Teardown/17383/1?singlePage (schritt 9)
thatgui
Active member
- Registriert
- 3 Juli 2009
- Beiträge
- 1.868
Danke für den Link, scheint also sowohl eine optische, als auch kapazitive Prüfung vorzunehmen. Gibt es eigentlich noch eine andere Firma, außer AuthenTec, die in diesem Marktsegement vertreten ist (Monopole sind ja selten entwicklungsfördernd) ?
thatgui
Active member
- Registriert
- 3 Juli 2009
- Beiträge
- 1.868
Authentec selbst scheint es ja auch nicht mehr zu geben:
"AuthenTec was acquired in October 2012 and the new owner has discontinued the products and services supported on this site."
Quelle
Von welchem Hersteller sind denn die Fingerabdruckleser in den neueren Thinkpads ?
