Ich möchte hier noch ein Paar Infos im Kommentar ergänzen: Das Kennwort zu umgehen kann noch einfacher gehen, den Weg habe ich aber bewusst nicht genommen, dazu ist kein Bootmedium notwendig... Der Angriff fand über eine VM statt, dieser ist aber auch bei physischen PCs meist recht einfach möglich, hier ein paar Optionen - USB Stick - CD ROM - Boot über Netzwerk - HDD/ SSD/ NVME ausbauen und dann in einem anderen System bearbeiten Es ist mir aktuell kein Windows bekannt wo das nicht funktioniert (außer wenn die Festplatte verschlüsselt ist) es ist also nicht wichtig ob es ein Windows 10/11/7/8 etc. ist technisch sind auch Serverversionen betroffen, jedoch gibt es hier durch Domänen ggf. nochmal Besonderheiten. Technisch kann man mit einem BIOS Passwort hier noch etwas mehr Schutz herstellen, aber auch das ist häufig einfach zu übergehen, bzw. wenn ich die Disk ausbaue hilft das leider auch nichts mehr. Wirklichen Schutz bietet tatsächlich nur eine Festplattenverschlüsselung. Aber auch hier kann es Schwachstellen geben... Was ich im Video vergessen habe zu erwähnen. Die Passwörter vom Edge Browser die gespeichert waren, sind nach dem Angriff nicht mehr zugreifbar gewesen. Was mich hier verwundert ist, das Firefox und Chrome die Passwörter weiterhin behalten haben.
Man kann doch im Browser auch nur einen Teil des Passworts speichern.Man speichert nur den kryptischen Teil des Passworts, fügt dann aber noch eine Wortfolge hinzu, etwa "Violette Zitronen tanzen Marmelde".
@@Hofer2304 Das ist natürlich eine Option. Vielleicht ist meine Erwartung da zu hoch, ich versuche kurz zu erklären warum ich eigentlich erwarten würde das ein Browser seine gespeicherten Zugangsdaten nicht mehr preisgibt wenn das Windowskennwort wie im Video mit der Brechstange entfernt wurde. Windows erkennt dies und verarbeitet diese Tatsache auch (wie z.B. im Edge gut zu erkennen) Dazu kommt das (jetzt wird es kurz technisch) die Windows API im speziellen die Data Protection API das out-of-the-box mitbringt. Daher wäre es ein leichtes eine Manipulation der SAM zu erkennen und damit den Zugriff auf die Passwörter zu koordinieren. Im C# Code sind das nur wenige Zeilen... bool CryptProtectData(ref DATA_BLOB pPlainText, string szDescription, ref DATA_BLOB pEntropy, IntPtr pReserved, ref CRYPTPROTECT_PROMPTSTRUCT pPrompt, int dwFlags, ref DATA_BLOB pCipherText); // Wrapper for CryptUnprotectData function. [DllImport("crypt32.dll", SetLastError = true, CharSet = System.Runtime.InteropServices.CharSet.Auto)] private static extern bool CryptUnprotectData(ref DATA_BLOB pCipherText, ref string pszDescription, ref DATA_BLOB pEntropy, IntPtr pReserved, ref CRYPTPROTECT_PROMPTSTRUCT pPrompt, int dwFlags, ref DATA_BLOB pPlainText); Daher verstehe ich nicht warum dies nicht implementiert wird... Die Idee die DPAPI dazu zu verwenden ist ja auch nur eine Option von vielen.
@@ITanderBar Es kommt aber auch auf die Sicherheitsanforderungen an. Ich wäre nicht erfreut, wenn alle meine Passwörter für Spieleseiten oder Onlinekurse weg wären, nur weil ich mein Benutzerpasswort vergessen habe. Aber für sensible Konten ist es natürlich eine Katastrophe, wenn die Passwörter in die falschen Hände gelangen.
@@Hofer2304 Das wollte ich mit "und damit den Zugriff auf die Passwörter zu koordinieren." ausdrücken. Wenn eine Manipulation erkannt/ vermutet wird, könnte dann entsprechend darauf eingegangen werden. Das kann ja auch mit Recoverycodes, Push Nachricht, etc. abgefedert werden,.... Generell weiß ich nicht, aber mir wäre es schon wichtig das wenn eine Manipulation im Möglichen wäre lieber zu stringent vorgegangen wird - Accounts kann man ja irgendwie immer zurückholen. Der Schaden wenn die Accounts gestohlen werden ist meiner Meinung nach dort ggf. höher zu bewerten - zumindest für mich persönlich.... Technisch muss ich wohl zugeben das ich Browser generell für den falschen Ort halte um Passwörter abzulegen, aber das steht auf einem anderen Blatt.
sehr informativ. wer hätte das gedacht. danke für das video. nicht zu lang, aber auch nicht zu kurz. gute länge für das video. kurz was gelernt, hat spass gemacht
Das Problem mit der Festplattenverschlüsselung: der Datenaustausch zwischen TPM-Modul und Prozessor geschieht unverschlüsselt über die LPC-Schnittstelle. Wenn man hergeht und sich um 5 € einen Microcontroller kauft und mit 5 Kontakten und dem richtigen Code ausstattet, kann man auf den Hashwert des Bitlockerpasswort zugreifen und den Zugang mit diesem auch wieder verifizieren. Den Code kann man sich frei zugänglich rauskopieren. Mit der aktuellen Technologie ist eine Festplattenverschlüsselung keine Lösung zum Schutz seiner sensiblen Daten.
Tatsächlich ist das ein Problem. Man muss sich irgendwie fragen warum man viel Energie in ein TPM investiert und man dann zum Schluss die Daten unverschlüsselt über den Bus übermittelt. Aber: die Aussage das es keinen Schutz bietet muss ich leider etwas differenzieren. Zum einen gibt es nicht nur Bitlocker und TPM basierte Systeme, auf der anderen Seite ist es auch möglich ein Passwort mit Bitlocker zu kombinieren, dann ist dieser Angriff so nicht mehr möglich. Was noch dazukommt und da habe ich eine Frage: Den Angriff den ich kenne geht über die SPI Schnittstelle, da man dort den Vorteil hat das man nicht direkt an das TPM muss. Dazu benötigt man 4 Leitungen. Die Daten müssen dann in einen Logikanalyzer und man muss sich auf die Suche machen. Mir ist kein Code bekannt (was jetzt nichts heißen soll da ich mich zuletzt mit dem Thema vor 3-4 Jahren auseinandergesetzt habe, aber auch ein kurzer Blick über GitHub hat erstmal nichts gebracht) den man auf einen Mikrokontroller bringt und dieser dann den Key ausliest, hast du da bitte mehr Infos? Denn technisch müsste das schon möglich sein... Es bleibt aus meiner Sicht die Thematik das man nicht den reinen Schutz des TPMs nutzen sollte sondern ein Passwort kombinieren, damit ist dieses Risiko dann nicht mehr existent.
2:56 an dieser Stelle hätte ich angemerkt dass das nicht mit BitLocker verschlüsselten Festplatten funktioniert weil man Zugriff auf die Festplatte benötigt. Ich hätte zudem in einem Video was sich an Laien richtet, eher die Methode mit sethc.exe oder utilman.exe ersetzen erwartet. Dennoch ein sehr interessantes Video, da ich z.b dieses Boot Tool noch nicht kannte. Edit: achso BitLocker wird noch später erwähnt.. ich hätte früher im Video damit gerechnet
Ja stimmt das hätte man dort direkt erwähnen sollen, so ist der Kontext etwas zerrissen, da es erst etwas später dann kommt,... Tatsächlich hab ich mich bewusst für eine komplexere Methode entschieden, hab oben einen Kommentar angepinnt dazu. Zur Einfachheit gebe ich dir aber komplett recht, für die Sensibilisierung die mir hier am wichtigsten ist, ist eine kleine Hürde meines Erachtens nicht so verkehrt.
Das ist überall das gleiche: Wenn die Platte nicht verschlüsselt ist kommt man eben an diese Daten (Die SAM-Datei gibt es seit NT/2000 (1993) vorher war der Kram sogar in Klartext, Windows war schon immer Rückständig in solchen Dingen)... Hier wurde das Passwort nicht ausgelesen sondern lediglich gelöscht. Das ist das Gleiche wie wenn du unter Linux oder vermutlich bei deinem Mac einfach die /etc/shadow (Gibt es seit Ende der 70er, vorher gab es die /etc/passwd die aber trotzdem verschlüsselt, wenn auch schwach, war) editierst.
Bei Windows Pro gibt es noch EFS (Seit Windows 2000 gibt es dieses Feature) Einfach mal unter den Eigenschaften der Datei die Dateiverschlüsselung von Windows für diese Datei aktivieren. Ab diesem Zeitpunkt darf nur noch der Nutzer selber das Passwort ändern, ansonsten wird das Zertifikat für die EFS-Verschlüsselung ungültig.
Dies ist eine gute Option wenn man einzelne Dateien oder Ordner schützen möchte, man muss etwas aufpassen, ich habe es leider schon erlebt das die Zertifikate von heute auf morgen nicht mehr nutzbar waren (sogar im Firmenumfeld mit entsprechendem GPO Rollout für Masterkeys) auch besteht die Gefahr etwas zu übersehen - meiner Meinung nach steht heute nichts mehr dagegen einfach die ganze Platte generell zu verschlüsseln für die Rechnen Leistung ist das kaum mehr relevant...
@@ITanderBar Der Trick für die Performance heißt AES-NI. Bei Windows 10 muss Microsoft noch beide Codes für den Bitlocker mitliefern (also CPU-Features abfragen und dann entweder AES-NI verwenden oder die SW-Implementierung). Bei Intel wurden die ersten CPU's mit diesem Feature 2008 verkauft und jeder aktuelle CPU sollte das Feature haben. Also wird die Verschlüsselung mit AES direkt von den CPU's unterstützt, darum geht die Verschlüsselung heut zu Tage kaum noch auf die Performance.
Solange die Platte unverschlüsselt ist, ist es doch völlig egal, ob ich das Passwort zurücksetzen kann oder nicht? Wenn ich die Passwortdatei lesen kann, kann ich doch gleich die Dateien (Geschäftsberichte etc.) lesen, dich ich eigentlich lesen möchte? Oder übersehe ich da was?
Den Browser mit Profil auf ein anderes System zu portieren um die gespeicherten Passwörter auszulesen ist sicherlich möglich, aber relativ aufwändig. Auch wird es Programme geben die beim einfachen kopieren nicht starten da Registry Teile übernommen werden müssen. Ein Laufendes Windows verrät zudem gleich auch sehr viel über seinen Nutzer, auch diese Infos sind relativ aufwändig zu rekonstruieren. Aber technisch gebe ich dir vollkommen recht. Es geht mir in dem Video darum die Leute zu sensibilisieren das ein Kennwortschutz kein Schutz ist und nur verschlüsselte Systeme ein Grundmaß an Sicherheit bieten, viele halten dieses Kennwort als Sicherheit vollkommen ausreichend...
Ja gut, ist schon ewig bekannt und funktioniert, solang die HD nicht verschlüsselt ist. Wer heute noch unverschlüsselt unterwegs ist, hat eh nichts interessantes auf dem System
Der erinnert mich daran dass ich wieder VeraCrypt aktivieren sollte. Das Problem war damals dass nach größeren Updates mein Bootloader am Arsch war und ich immer aufwändig mit Offline Decryption (LAAAAAAAANGSAM) und Re-Encryption fixen musste. Ist ja für ne SSD auch nicht geil dieser massive Write. Windows hat einfach immer im UEFI rumgepfutscht und den VeraCrypt Loader entfernt. Seitdem bin ich unverschlüsselt unterwegs. Oder ich geh halt doch auf Bitlocker aber eigentlich will ich mir nicht soviel M$ Kram reinziehen.
Ja die VeraCrypt Odyssee kenne ich leider auch zu gut - wobei dort auch viel passiert ist - vielleicht ist es mal wieder einen Versuch wert 🤔 Ich werde es mal bei meinem nächsten Laptop in Erwägung ziehen - hab mich zuletzt auch für Bitlocker entschieden unter Windows da es genau aus den genannten gründen von dir nicht immer wieder in einem Desaster endet.
Wie wäre es, die Win-Platte, also das System, eher klein zu wählen und Diese per M$-BitLocker 'ganz normal' updatefest verschlüsselt zu haben und den Kram, Der Dir wirklich wichtig ist, verschlüsselt Vera?
@@aaaooaao9949 Im Prinzip hab ich das schon so, liegt alles auf eigenen VC Partitions. Trotzdem hätte ich ungern jemand in meinem Windows drin, da gibt's noch genug zum schnüffeln gerade in den Browsern.
Das Funktioniert aber auch nur mit einem Lokalem Konto aber dazu muss ich kein anderes Bootsystem haben. Wenn man sich etwas in Windows auskennt weiß man sowas. Tja im Großen ganzen Leihen nutzen kein Lokales Konto sondern ein Windows Konto und da das Passwort zu bekommen kennen wir. Mac Nutzer sind ärmer dran da bekommt man das passwort noch leichter raus, da hilft dir der mac viel besser und man braucht nicht mal ein anderes System. Es gibt einfach kaum etwas außer der Bitlocker der das system komplett verschlüsseln kann und wenn du deinen Schlüssel verlierst na dann sind auch deine Daten nicht mehr in Gefahr. Also alle gehen nur auf Windows los ob wohl auch der Mac nicht mal wirklich sicher ist. ich benutze ebenfalls den Bitlocker, hab zwar nichts was wirklich jemanden reizen könnte weil meine persönlichen Daten die mich wirklich interessieren sind auf einer anderen Platte bzw. NVME Stick und selbst der ist Bitlocker Verschlüsselt. Also für den Leihen ist dein Video leider ein Fail.
Nur zur Ergänzung - mir geht es hier nicht um Windows - das Video für Linux ist bereits gedreht und auch ein macOS Video ist in Planung... Da der Windows Konto Zwang erst mit Windows 11 kam und auch viele Personen dem Onlinekonto nicht positiv zugewandt sind. Ist weiterhin ein großer Teil der Nutzer mit lokalen Konten unterwegs. Zudem wird immer ein lokaler Admin erzeugt, dieser ist zwar deaktiviert kann aber problemlos aktiviert werden... Ein solcher User hat dann wieder die Möglichkeit das Profilverzeichnis des Windows Online Users einzusehen,.... Mit geht es darum zu sensibilisieren, oft wird der Kennwortschutz als Schutz der eigenen Daten missverstanden... Mir war es auch wichtig das im Video darzustellen, leider habe ich den Kontext etwas gesplittet, im angepinnten Kommentar gibt es dazu mehr Infos... Man könnte in dem Zusammenhang auch die Frage stellen welche Rolle VeraCrypt darstellt. Im Vergleich zu Bitlocker existiert dazu auch vom BSI eine umfangreiche Sicherheitsanalyse.
Eigentlich nicht. Das ist völlig normal und bei fast jedem Betriebssystem ähnlich, dass wenn man physikalischen Zugang zu einer unverschlüsselten Festplatte hat, man solche Dinge machen kann. Die Lösung ist ja auch da - Festplattenverschlüsselung.
Als Laie finde ich es schon erschreckend wie einfach alles gehackt werden kann. Da ich fast keinem Anbieter traue, schreibe ich viele Passwörter analog in ein Notizbuch, das in den Tresor kommt :) Aber selbst das ist wohl keine Sicherheit, da das Passwort sicher irgendwo auf dem Server des Anbieters liegt.
Es gibt hier verschiedene Dimensionen ich will das vor allem für "Laien" die nächste Zeit versuchen etwas verständlicher zu machen. Auf Servern liegt "hoffentlich" immer nur ein Hash. Dies ist ein Algorithmus welcher aus z.B. einem Passwort einen Buchstabensalat macht der immer gleich groß ist. Egal wie lange das Passwort ist. Dieser Salat kann logisch / mathematisch nicht zum Kennwort zurück gebaut werden, es ist ein irreversibler Vorgang. Man kann jedoch einen Hash "ergattern" wie es bei Datenlecks zum Beispiel passiert und dann prüfen ob ein Passwort dem Hash entspricht. Das nennt man dann Wörterbuchattacke oder Brute Force Attacke - wir haben da bereits ein paar Videos gemacht und zeigen das demnächst anhand eines WLAN Kennwortes... (für die Profis ich habe bewusst auf Hashkollisionen verzichtet) Lange Rede kurzer Sinn - Wenn die Kennwörter sicher sind (Zufall aus Buchstaben, Zahlen und Sonderzeichen - nicht in einem Wörterbuch zu finden - mind. 12 Zeichen) ist das Notizbuch wohl eine der sichersten Methoden. Wenn dann die Festplatte verschlüsselt ist, man nicht wild auf jeden Link in E-Mail klickt, muss jemand schon ein wirklich starkes Interesse und etwas Glück haben um weiterzukommen,....
Man sollte vielleicht dazusagen, dass es Bitlocker bereits seit Windows 7 gibt und nicht erst mit Windows 11. Wer heutzutage seine Platte nicht verschlüsselt ist einfach nur selber Schuld, die Möglichkeiten sind alle da.
Ich würde es nicht so drastisch formulieren - wenn jedoch das Ergebnis das Gleiche ist - Es gibt einfach viele Menschen die das einfach nicht wissen, weil sie sich damit nie auseinandergesetzt haben, es vielleicht auch gar nicht wollen. Man kann hier wieder über den PC-Führerschein debattieren. Im Ende soll dieses Video genau dafür sensibilisieren.
Grüß dich Michi, was mich immer wieder bei Windows überrascht das es immer noch den Trick mit cmd.exe über die utilman.exe zu kopieren und dann beim Anmeldebildschirmüber die erleichterte Bedienung eine Admin cmd zu haben. Dann ist net user nur noch die kleinste Hürde. Gruß Micha vom Tux-Flash
Servus Micha, danke für deinen Kommentar. Ja - das fasziniert mich tatsächlich auch immer noch - hab für das Video tatsächlich bewusst nen "komplizierteren" Weg genommen
Der Schutz ist aber auch, daß die Daten weg sind, wenn Du Dein Passwort nicht mehr zusammen bekommst - Umweg über das MS-Konto lässt Dich wieder rein - sofern Du ein MS-Konto eingerichtet hast (bin nur bis XP bei Win gewesen - also eher Halbwissen ;)). Netter Nebeneffekt - mit aktiviertem Bit-Locker wird das Installieren eines 2.ten OS - Ubuntu oder so - erfolgreich verhindert - eben mit dem Aussperren und MS-Konto, 2-Faktor-Authentifizierung ... das ganz große Paket. ... noch darf die Kiste also öfter am Tag mit Win abschmieren, weil das Aufspielen von Ubuntu bisher äußerst umständlich und wenig erfolgreich war - und der Lust-Faktor nahe Null liegt ... Win läuft zumindest halbwegs ... bis zum Absturz ... so weit bin ich mit Ubuntu noch nihct ...
Ich habe zufällig gestern Abend ein Ubuntu parallel zu einer Bitlocker Windows 11 Home Partition installiert - das war problemlos möglich, auch Multiboot über GRUB hat tadellos funktioniert. Was ich aber noch nicht geschafft habe die Ubuntu Partition bei der Installation sofort per LVM zu verschlüsseln. Man könnte aber auch, wenn die Bitlocker Partition bei der Installation Probleme macht, die Verschlüsselung deaktivieren - dann Ubuntu drauf und danach wieder aktivieren (hab ich auch schon so gemacht z.B. auf dem Yoga den man öfter in den Videos mal sieht) Sensible Schlüssel wie Festplatten Recovery Keys sollte man immer sicher (ggf. sogar offline) aufbewahren, da sonst wie du schon sagst einfach alles Weg ist...
@@ITanderBar Danke Dir für die Antwort - kA, wo ich mich blöd angestellt hatte - so ein oder zwei Mal hatte ich nun doch schon Ubuntu installiert. Bisher durfte ich noch nicht wieder an den Laptop :) Der steht zwar öfter hier bei mir herum, aber ist halt nicht Meiner und ich hätte gerne das OK vom Besitzer - und wenn Er dabei ist, schadet Das auch nicht - spätestens zum Win per MS-Konto retten - davon ab - wenn das Benutzerkonto per MS-Konto entsperrt wird - klappt der Laptop überhaupt offline? So schlimm ist's hier in -D- zwar nicht wirklich, aber dank Vodafone sind's auch keine 100%. Bin selber von '95 bis XP Win-User gewesen (95 war das Erste Win, was in meinen Augen halbwegs benutzbar war, 98 war wesentlich besser, gerade als SE, und XP war, meiner Meinung, die Spitze) und seit Okt'06 Ubuntu, zwischendrin Mint. Eigentlich mehr per Zufall, da ich damals einige Server jeweils in einer VM lokal laufen hatte - und ein klein wenig Ehrlich wollte man ja auch sein und nur für den Spieltrieb Win-Lizenzen ... neee ...
Hey, Danke für das Informative Video. Nur nochmal für mein Verständnis. Das heißt im Klartext wenn ich es richtig verstanden habe: So lange die USB Ports nicht gesperrt sind kann ich von jedem Windows PC das Passwort deaktivieren mit diesem Tool? Außer man hat Bitlocker natürlich Installiert.
ist die Frage, wie deine USB-Ports gesperrt sind. wenn das nur in Windows gesperrt ist, ist das an der stelle vollkommen egal - da sind wir ja beim Boot, wo der Stick gelesen wird. Wenn die Hardwaretechnisch oder im BIOS deaktiviert sind, ist das natürlich schonmal nicht mehr ganz so Trivial, aber im Zweifel kann man immernoch die SSD ausbauen und in einen anderen PC stecken - der diese Einschränkung dann nicht hat. Bitlocker macht diese Manipulationen mit anderen Bootumgebungen erstmal unmöglich.
Die USB Ports sind nicht die einzige Stelle für einen "alternativen" Bootvorgang. Folgende Möglichkeiten gibt es - USB Stick - CD ROM - Boot über Netzwerk - HDD/ SSD/ NVME ausbauen und dann in einem anderen System bearbeiten Technisch kann man mit einem BIOS Passwort hier noch etwas mehr Schutz herstellen, aber auch das ist häufig einfach zu übergehen, bzw. wenn ich die Disk ausbaue hilft das leider auch nichts mehr. Wirklichen Schutz bietet tatsächlich nur eine Festplattenverschlüsselung. Aber auch hier kann es Schwachstellen geben...
Bei einem physischen PC/ Laptop gibt es folgende Möglichkeiten: - USB Stick - CD ROM - Boot über Netzwerk - HDD/ SSD/ NVME ausbauen und dann in einem anderen System bearbeiten Technisch kann ein BIOS Passwort hier noch etwas mehr Schutz bieten, aber auch das ist häufig einfach zu übergehen... Für Linux ist das Video schon fertig - also gespannt sein 😉
@@demil3618 Bisschen heißt es noch abwarten 🙂 Jetzt kommt dann das Video wo wir eine App mit einer Malware infizieren und zeigen was damit möglich ist. Vermutlich Freitag den 11.10 wird das Linux Video kommen,...
@@demil3618 Da Du per Live-System Dich in einem Platten-Linux ebenfalls anmelden kannst und dort als admin/root eben auch 'Dein' Passwort ändern darfst - kein größeres Problem. Einzig - es fällt auf, wenn mein Passwort nicht mehr passt - also für die schnelle Nummer ok, für längeren Spaß unentdeckt im fremden PC ist Das Nichts. Ebenfalls nur bei unverschlüsselter Platte - verschlüsselt sieht das Live-System auf der Platte ebenfalls nur Müll und kein System - ähnlich Windows, wenn's eine Linux-Platte zu sehen bekommt ;)
Intressant.. warum gibt es bei jeder installation den admin account ?? Könnte man den nicht bei der installation weg lassen (also wenn ich MS CEO wäre xD ) Der adminMS account den wir nicht sehen und nutzen können, um z.b. daten im system zu löschen die das system beschädigen könnten Aber um windows allgemein sicherer zu machen würde es doch mehr sinn ergeben den account weg zu lassen, und eine möglichkeit einzubauen, so ein adminMS account per backdoor einzupflegen So könnte keiner das betriebssystem bearbeiten ausser MS selber oder leute die so ein stick mit dem account halt haben ..
Bin mir nicht sicher welchen Account du genau meinst. Windows kommt idR mit einem Administrator Account der ist aber gesperrt und der Account der bei der Installation angelegt wird, wird automatisch Admin. Ohne Adminaccount wäre ja so ein PC stark eingeschränkt, was Installationen und Co angeht. Kannst du das ggf. noch etwas genauer formulieren?
Hallo Leute, bezieht sich das jetzt nur auf das Windows Passwort oder kann man da auch Login mit PIN/Fingerabdruck/Face-ID löschen? Angeblich soll PIN/Fingerabdruck/Face-ID ja sicherer sein. Danke schon mal für eure Antworten.
Ich bin relativ zuversichtlich das dass keinen weitern Schutz bei diesem Angriff bietet, da ich ja immer auf das Passwort zurückgehen kann. Aber ich teste das nachher mal kurz und berichte 😉
Früher war es den Pro Versionen vorenthalten. Ich hatte nun bereits mehrfach Windows Home 11 in der Hand und dort war Bitlocker aktiv (ohne das dass bewusst aktiviert wurde). Was etwas suboptimal ist, das der Notfallkey dort vorab nicht gespeichert werden musste - angeblich wird der mit dem .NET Konto verknüpft. Doch viele umgehen das ja, daher kann es im Worst Case sein das man nicht mehr an seine Daten kommt wenn Bitlocker nach dem Key verlangt.
7:09 tatsächlich nicht, ich habe gestern Nachmittag bis Abends mein Windows neu aufgesetzt, also selbst mit einer Neuinstallation ohne mein Zutun ist keine Partition verschlüsselt
Das ist spannend - ich hatte nun bereits mehrere frische Windows 11 Home Installationen welche ohne zutun verschlüsselt waren 🤔 Welche Version war es genau? War die Installation auf einem PC mit TPM Modul?
@@ITanderBar pro,Rechner hat (f)TPM (Rezensionen 5800x, meine b450-a pro mainboard) , später umgestellt auf mein separates tpm Modul, Infineon für das board
@@dennistechexperience5393 so gerade getestet mit Windows 11 Home auf nem frischen Laptop. Die SSD wird sofort als Bitlocker verschlüsselt angezeigt (ohne das ich dort was ausgewählt habe) aktuellste Windows 11 Version mit MCT. Ich vermute es liegt an der Pro da dort der Prozess anders läuft - hier wird der Bitlockerkey ja direkt mitgeteilt und muss auf einem Stick gespeichert oder ausgedruckt werden - in der Home wird der im M$-Account abgelegt...
@@dennistechexperience5393 tatsächlich hab ich nun nochmal ne Installation gemacht und mit shift+f10 und der out-of-the-box expirience den MSAccount umgangen - die Disk ist weiterhin Bitlocker verschlüsselt 🫣 obwohl der Key nirgendwo gesichert wurde,...
@@ITanderBar War So Programm da Kontest Alles einpacken und unter Windows nur Mit Passwort Öfen Mustest sogar 2 Mal das Passwort eingeben Einmal für die Zip oder rar Datei und Für Die Textdatei
Ich möchte hier noch ein Paar Infos im Kommentar ergänzen:
Das Kennwort zu umgehen kann noch einfacher gehen, den Weg habe ich aber bewusst nicht genommen, dazu ist kein Bootmedium notwendig...
Der Angriff fand über eine VM statt, dieser ist aber auch bei physischen PCs meist recht einfach möglich, hier ein paar Optionen
- USB Stick
- CD ROM
- Boot über Netzwerk
- HDD/ SSD/ NVME ausbauen und dann in einem anderen System bearbeiten
Es ist mir aktuell kein Windows bekannt wo das nicht funktioniert (außer wenn die Festplatte verschlüsselt ist) es ist also nicht wichtig ob es ein Windows 10/11/7/8 etc. ist technisch sind auch Serverversionen betroffen, jedoch gibt es hier durch Domänen ggf. nochmal Besonderheiten.
Technisch kann man mit einem BIOS Passwort hier noch etwas mehr Schutz herstellen, aber auch das ist häufig einfach zu übergehen, bzw. wenn ich die Disk ausbaue hilft das leider auch nichts mehr.
Wirklichen Schutz bietet tatsächlich nur eine Festplattenverschlüsselung. Aber auch hier kann es Schwachstellen geben...
Was ich im Video vergessen habe zu erwähnen. Die Passwörter vom Edge Browser die gespeichert waren, sind nach dem Angriff nicht mehr zugreifbar gewesen. Was mich hier verwundert ist, das Firefox und Chrome die Passwörter weiterhin behalten haben.
Man kann doch im Browser auch nur einen Teil des Passworts speichern.Man speichert nur den kryptischen Teil des Passworts, fügt dann aber noch eine Wortfolge hinzu, etwa "Violette Zitronen tanzen Marmelde".
@@Hofer2304 Das ist natürlich eine Option.
Vielleicht ist meine Erwartung da zu hoch, ich versuche kurz zu erklären warum ich eigentlich erwarten würde das ein Browser seine gespeicherten Zugangsdaten nicht mehr preisgibt wenn das Windowskennwort wie im Video mit der Brechstange entfernt wurde. Windows erkennt dies und verarbeitet diese Tatsache auch (wie z.B. im Edge gut zu erkennen)
Dazu kommt das (jetzt wird es kurz technisch) die Windows API im speziellen die Data Protection API das out-of-the-box mitbringt.
Daher wäre es ein leichtes eine Manipulation der SAM zu erkennen und damit den Zugriff auf die Passwörter zu koordinieren.
Im C# Code sind das nur wenige Zeilen...
bool CryptProtectData(ref DATA_BLOB pPlainText,
string szDescription,
ref DATA_BLOB pEntropy,
IntPtr pReserved,
ref CRYPTPROTECT_PROMPTSTRUCT pPrompt,
int dwFlags,
ref DATA_BLOB pCipherText);
// Wrapper for CryptUnprotectData function.
[DllImport("crypt32.dll",
SetLastError = true,
CharSet = System.Runtime.InteropServices.CharSet.Auto)]
private static extern
bool CryptUnprotectData(ref DATA_BLOB pCipherText,
ref string pszDescription,
ref DATA_BLOB pEntropy,
IntPtr pReserved,
ref CRYPTPROTECT_PROMPTSTRUCT pPrompt,
int dwFlags,
ref DATA_BLOB pPlainText);
Daher verstehe ich nicht warum dies nicht implementiert wird...
Die Idee die DPAPI dazu zu verwenden ist ja auch nur eine Option von vielen.
@@ITanderBar Es kommt aber auch auf die Sicherheitsanforderungen an. Ich wäre nicht erfreut, wenn alle meine Passwörter für Spieleseiten oder Onlinekurse weg wären, nur weil ich mein Benutzerpasswort vergessen habe. Aber für sensible Konten ist es natürlich eine Katastrophe, wenn die Passwörter in die falschen Hände gelangen.
@@Hofer2304 Das wollte ich mit "und damit den Zugriff auf die Passwörter zu koordinieren." ausdrücken.
Wenn eine Manipulation erkannt/ vermutet wird, könnte dann entsprechend darauf eingegangen werden.
Das kann ja auch mit Recoverycodes, Push Nachricht, etc. abgefedert werden,....
Generell weiß ich nicht, aber mir wäre es schon wichtig das wenn eine Manipulation im Möglichen wäre lieber zu stringent vorgegangen wird - Accounts kann man ja irgendwie immer zurückholen. Der Schaden wenn die Accounts gestohlen werden ist meiner Meinung nach dort ggf. höher zu bewerten - zumindest für mich persönlich....
Technisch muss ich wohl zugeben das ich Browser generell für den falschen Ort halte um Passwörter abzulegen, aber das steht auf einem anderen Blatt.
sehr informativ. wer hätte das gedacht. danke für das video. nicht zu lang, aber auch nicht zu kurz. gute länge für das video. kurz was gelernt, hat spass gemacht
Danke für das Lob!
Das Problem mit der Festplattenverschlüsselung: der Datenaustausch zwischen TPM-Modul und Prozessor geschieht unverschlüsselt über die LPC-Schnittstelle. Wenn man hergeht und sich um 5 € einen Microcontroller kauft und mit 5 Kontakten und dem richtigen Code ausstattet, kann man auf den Hashwert des Bitlockerpasswort zugreifen und den Zugang mit diesem auch wieder verifizieren. Den Code kann man sich frei zugänglich rauskopieren. Mit der aktuellen Technologie ist eine Festplattenverschlüsselung keine Lösung zum Schutz seiner sensiblen Daten.
Tatsächlich ist das ein Problem. Man muss sich irgendwie fragen warum man viel Energie in ein TPM investiert und man dann zum Schluss die Daten unverschlüsselt über den Bus übermittelt.
Aber: die Aussage das es keinen Schutz bietet muss ich leider etwas differenzieren. Zum einen gibt es nicht nur Bitlocker und TPM basierte Systeme, auf der anderen Seite ist es auch möglich ein Passwort mit Bitlocker zu kombinieren, dann ist dieser Angriff so nicht mehr möglich.
Was noch dazukommt und da habe ich eine Frage: Den Angriff den ich kenne geht über die SPI Schnittstelle, da man dort den Vorteil hat das man nicht direkt an das TPM muss. Dazu benötigt man 4 Leitungen. Die Daten müssen dann in einen Logikanalyzer und man muss sich auf die Suche machen. Mir ist kein Code bekannt (was jetzt nichts heißen soll da ich mich zuletzt mit dem Thema vor 3-4 Jahren auseinandergesetzt habe, aber auch ein kurzer Blick über GitHub hat erstmal nichts gebracht) den man auf einen Mikrokontroller bringt und dieser dann den Key ausliest, hast du da bitte mehr Infos? Denn technisch müsste das schon möglich sein...
Es bleibt aus meiner Sicht die Thematik das man nicht den reinen Schutz des TPMs nutzen sollte sondern ein Passwort kombinieren, damit ist dieses Risiko dann nicht mehr existent.
2:56 an dieser Stelle hätte ich angemerkt dass das nicht mit BitLocker verschlüsselten Festplatten funktioniert weil man Zugriff auf die Festplatte benötigt.
Ich hätte zudem in einem Video was sich an Laien richtet, eher die Methode mit sethc.exe oder utilman.exe ersetzen erwartet.
Dennoch ein sehr interessantes Video, da ich z.b dieses Boot Tool noch nicht kannte.
Edit: achso BitLocker wird noch später erwähnt.. ich hätte früher im Video damit gerechnet
Ja stimmt das hätte man dort direkt erwähnen sollen, so ist der Kontext etwas zerrissen, da es erst etwas später dann kommt,...
Tatsächlich hab ich mich bewusst für eine komplexere Methode entschieden, hab oben einen Kommentar angepinnt dazu.
Zur Einfachheit gebe ich dir aber komplett recht, für die Sensibilisierung die mir hier am wichtigsten ist, ist eine kleine Hürde meines Erachtens nicht so verkehrt.
Das war wirklich einfach. Interessant wäre hier noch ein Vergleich mit macOS.
Wir arbeiten dran...
Das Linux Pendant ist bereits fertig und wird aktuell geschnitten...
Das ist überall das gleiche: Wenn die Platte nicht verschlüsselt ist kommt man eben an diese Daten (Die SAM-Datei gibt es seit NT/2000 (1993) vorher war der Kram sogar in Klartext, Windows war schon immer Rückständig in solchen Dingen)... Hier wurde das Passwort nicht ausgelesen sondern lediglich gelöscht. Das ist das Gleiche wie wenn du unter Linux oder vermutlich bei deinem Mac einfach die /etc/shadow (Gibt es seit Ende der 70er, vorher gab es die /etc/passwd die aber trotzdem verschlüsselt, wenn auch schwach, war) editierst.
Bei Windows Pro gibt es noch EFS (Seit Windows 2000 gibt es dieses Feature)
Einfach mal unter den Eigenschaften der Datei die Dateiverschlüsselung von Windows für diese Datei aktivieren.
Ab diesem Zeitpunkt darf nur noch der Nutzer selber das Passwort ändern, ansonsten wird das Zertifikat für die EFS-Verschlüsselung ungültig.
Dies ist eine gute Option wenn man einzelne Dateien oder Ordner schützen möchte, man muss etwas aufpassen, ich habe es leider schon erlebt das die Zertifikate von heute auf morgen nicht mehr nutzbar waren (sogar im Firmenumfeld mit entsprechendem GPO Rollout für Masterkeys) auch besteht die Gefahr etwas zu übersehen - meiner Meinung nach steht heute nichts mehr dagegen einfach die ganze Platte generell zu verschlüsseln für die Rechnen Leistung ist das kaum mehr relevant...
@@ITanderBar Der Trick für die Performance heißt AES-NI. Bei Windows 10 muss Microsoft noch beide Codes für den Bitlocker mitliefern (also CPU-Features abfragen und dann entweder AES-NI verwenden oder die SW-Implementierung).
Bei Intel wurden die ersten CPU's mit diesem Feature 2008 verkauft und jeder aktuelle CPU sollte das Feature haben. Also wird die Verschlüsselung mit AES direkt von den CPU's unterstützt, darum geht die Verschlüsselung heut zu Tage kaum noch auf die Performance.
Solange die Platte unverschlüsselt ist, ist es doch völlig egal, ob ich das Passwort zurücksetzen kann oder nicht? Wenn ich die Passwortdatei lesen kann, kann ich doch gleich die Dateien (Geschäftsberichte etc.) lesen, dich ich eigentlich lesen möchte? Oder übersehe ich da was?
Den Browser mit Profil auf ein anderes System zu portieren um die gespeicherten Passwörter auszulesen ist sicherlich möglich, aber relativ aufwändig.
Auch wird es Programme geben die beim einfachen kopieren nicht starten da Registry Teile übernommen werden müssen.
Ein Laufendes Windows verrät zudem gleich auch sehr viel über seinen Nutzer, auch diese Infos sind relativ aufwändig zu rekonstruieren.
Aber technisch gebe ich dir vollkommen recht. Es geht mir in dem Video darum die Leute zu sensibilisieren das ein Kennwortschutz kein Schutz ist und nur verschlüsselte Systeme ein Grundmaß an Sicherheit bieten, viele halten dieses Kennwort als Sicherheit vollkommen ausreichend...
Ja gut, ist schon ewig bekannt und funktioniert, solang die HD nicht verschlüsselt ist.
Wer heute noch unverschlüsselt unterwegs ist, hat eh nichts interessantes auf dem System
Ich glaube das vielen das nicht bewusst ist und die Aussage daher nur auf einen Teil der Personen zutrifft die mit Laptop und Co auf Reise gehen,...
Der erinnert mich daran dass ich wieder VeraCrypt aktivieren sollte. Das Problem war damals dass nach größeren Updates mein Bootloader am Arsch war und ich immer aufwändig mit Offline Decryption (LAAAAAAAANGSAM) und Re-Encryption fixen musste. Ist ja für ne SSD auch nicht geil dieser massive Write. Windows hat einfach immer im UEFI rumgepfutscht und den VeraCrypt Loader entfernt. Seitdem bin ich unverschlüsselt unterwegs. Oder ich geh halt doch auf Bitlocker aber eigentlich will ich mir nicht soviel M$ Kram reinziehen.
Ja die VeraCrypt Odyssee kenne ich leider auch zu gut - wobei dort auch viel passiert ist - vielleicht ist es mal wieder einen Versuch wert 🤔
Ich werde es mal bei meinem nächsten Laptop in Erwägung ziehen - hab mich zuletzt auch für Bitlocker entschieden unter Windows da es genau aus den genannten gründen von dir nicht immer wieder in einem Desaster endet.
Wie wäre es, die Win-Platte, also das System, eher klein zu wählen und Diese per M$-BitLocker 'ganz normal' updatefest verschlüsselt zu haben und den Kram, Der Dir wirklich wichtig ist, verschlüsselt Vera?
@@aaaooaao9949 Im Prinzip hab ich das schon so, liegt alles auf eigenen VC Partitions. Trotzdem hätte ich ungern jemand in meinem Windows drin, da gibt's noch genug zum schnüffeln gerade in den Browsern.
Das Funktioniert aber auch nur mit einem Lokalem Konto aber dazu muss ich kein anderes Bootsystem haben.
Wenn man sich etwas in Windows auskennt weiß man sowas.
Tja im Großen ganzen Leihen nutzen kein Lokales Konto sondern ein Windows Konto und da das Passwort zu bekommen kennen wir.
Mac Nutzer sind ärmer dran da bekommt man das passwort noch leichter raus, da hilft dir der mac viel besser und man braucht nicht mal ein anderes System.
Es gibt einfach kaum etwas außer der Bitlocker der das system komplett verschlüsseln kann und wenn du deinen Schlüssel verlierst na dann sind auch deine Daten nicht mehr in Gefahr.
Also alle gehen nur auf Windows los ob wohl auch der Mac nicht mal wirklich sicher ist.
ich benutze ebenfalls den Bitlocker, hab zwar nichts was wirklich jemanden reizen könnte weil meine persönlichen Daten die mich wirklich interessieren sind auf einer anderen Platte bzw. NVME Stick und selbst der ist Bitlocker Verschlüsselt.
Also für den Leihen ist dein Video leider ein Fail.
Nur zur Ergänzung - mir geht es hier nicht um Windows - das Video für Linux ist bereits gedreht und auch ein macOS Video ist in Planung...
Da der Windows Konto Zwang erst mit Windows 11 kam und auch viele Personen dem Onlinekonto nicht positiv zugewandt sind. Ist weiterhin ein großer Teil der Nutzer mit lokalen Konten unterwegs. Zudem wird immer ein lokaler Admin erzeugt, dieser ist zwar deaktiviert kann aber problemlos aktiviert werden... Ein solcher User hat dann wieder die Möglichkeit das Profilverzeichnis des Windows Online Users einzusehen,....
Mit geht es darum zu sensibilisieren, oft wird der Kennwortschutz als Schutz der eigenen Daten missverstanden...
Mir war es auch wichtig das im Video darzustellen, leider habe ich den Kontext etwas gesplittet, im angepinnten Kommentar gibt es dazu mehr Infos...
Man könnte in dem Zusammenhang auch die Frage stellen welche Rolle VeraCrypt darstellt. Im Vergleich zu Bitlocker existiert dazu auch vom BSI eine umfangreiche Sicherheitsanalyse.
Deswegen nutze ich Linux Mint mit Luks festplattenveschlüsselung
Und BIOS Passwort 👍
Wenn man da keinen Konfigurationsfehler oder schwache Passwörter genutzt hat ist das schon eine richtig sichere Bank 👍
Das ist aber ein Armmutszeugnis für Microsoft. Irre. Ein Hoch auf Windows. 😮
Das Wehrmutstropfen ist das dass nicht ein reines Microsoftproblem ist...
Weitere Videos folgen demnächst,...
Eigentlich nicht. Das ist völlig normal und bei fast jedem Betriebssystem ähnlich, dass wenn man physikalischen Zugang zu einer unverschlüsselten Festplatte hat, man solche Dinge machen kann. Die Lösung ist ja auch da - Festplattenverschlüsselung.
Als Laie finde ich es schon erschreckend wie einfach alles gehackt werden kann. Da ich fast keinem Anbieter traue, schreibe ich viele Passwörter analog in ein Notizbuch, das in den Tresor kommt :) Aber selbst das ist wohl keine Sicherheit, da das Passwort sicher irgendwo auf dem Server des Anbieters liegt.
Es gibt hier verschiedene Dimensionen ich will das vor allem für "Laien" die nächste Zeit versuchen etwas verständlicher zu machen. Auf Servern liegt "hoffentlich" immer nur ein Hash. Dies ist ein Algorithmus welcher aus z.B. einem Passwort einen Buchstabensalat macht der immer gleich groß ist. Egal wie lange das Passwort ist. Dieser Salat kann logisch / mathematisch nicht zum Kennwort zurück gebaut werden, es ist ein irreversibler Vorgang. Man kann jedoch einen Hash "ergattern" wie es bei Datenlecks zum Beispiel passiert und dann prüfen ob ein Passwort dem Hash entspricht. Das nennt man dann Wörterbuchattacke oder Brute Force Attacke - wir haben da bereits ein paar Videos gemacht und zeigen das demnächst anhand eines WLAN Kennwortes... (für die Profis ich habe bewusst auf Hashkollisionen verzichtet)
Lange Rede kurzer Sinn - Wenn die Kennwörter sicher sind (Zufall aus Buchstaben, Zahlen und Sonderzeichen - nicht in einem Wörterbuch zu finden - mind. 12 Zeichen) ist das Notizbuch wohl eine der sichersten Methoden.
Wenn dann die Festplatte verschlüsselt ist, man nicht wild auf jeden Link in E-Mail klickt, muss jemand schon ein wirklich starkes Interesse und etwas Glück haben um weiterzukommen,....
Man sollte vielleicht dazusagen, dass es Bitlocker bereits seit Windows 7 gibt und nicht erst mit Windows 11. Wer heutzutage seine Platte nicht verschlüsselt ist einfach nur selber Schuld, die Möglichkeiten sind alle da.
Ich würde es nicht so drastisch formulieren - wenn jedoch das Ergebnis das Gleiche ist - Es gibt einfach viele Menschen die das einfach nicht wissen, weil sie sich damit nie auseinandergesetzt haben, es vielleicht auch gar nicht wollen.
Man kann hier wieder über den PC-Führerschein debattieren.
Im Ende soll dieses Video genau dafür sensibilisieren.
Grüß dich Michi,
was mich immer wieder bei Windows überrascht das es immer noch den Trick mit cmd.exe über die utilman.exe zu kopieren und dann beim Anmeldebildschirmüber die erleichterte Bedienung eine Admin cmd zu haben. Dann ist net user nur noch die kleinste Hürde.
Gruß Micha vom Tux-Flash
Servus Micha,
danke für deinen Kommentar.
Ja - das fasziniert mich tatsächlich auch immer noch - hab für das Video tatsächlich bewusst nen "komplizierteren" Weg genommen
Kannst du mir verraten wie das Mini Betriebssystem heist dss du hier verwendet hast, und wo ich die ISO finden kann im netz. Danke im voraus
Das Tool findest du im Titel. Unter der gleichnamigen Seite findest du fertige images,...
@@ITanderBar danke total übersehen
Der Schutz ist aber auch, daß die Daten weg sind, wenn Du Dein Passwort nicht mehr zusammen bekommst - Umweg über das MS-Konto lässt Dich wieder rein - sofern Du ein MS-Konto eingerichtet hast (bin nur bis XP bei Win gewesen - also eher Halbwissen ;)).
Netter Nebeneffekt - mit aktiviertem Bit-Locker wird das Installieren eines 2.ten OS - Ubuntu oder so - erfolgreich verhindert - eben mit dem Aussperren und MS-Konto, 2-Faktor-Authentifizierung ... das ganz große Paket.
... noch darf die Kiste also öfter am Tag mit Win abschmieren, weil das Aufspielen von Ubuntu bisher äußerst umständlich und wenig erfolgreich war - und der Lust-Faktor nahe Null liegt ... Win läuft zumindest halbwegs ... bis zum Absturz ... so weit bin ich mit Ubuntu noch nihct ...
Ich habe zufällig gestern Abend ein Ubuntu parallel zu einer Bitlocker Windows 11 Home Partition installiert - das war problemlos möglich, auch Multiboot über GRUB hat tadellos funktioniert. Was ich aber noch nicht geschafft habe die Ubuntu Partition bei der Installation sofort per LVM zu verschlüsseln.
Man könnte aber auch, wenn die Bitlocker Partition bei der Installation Probleme macht, die Verschlüsselung deaktivieren - dann Ubuntu drauf und danach wieder aktivieren (hab ich auch schon so gemacht z.B. auf dem Yoga den man öfter in den Videos mal sieht)
Sensible Schlüssel wie Festplatten Recovery Keys sollte man immer sicher (ggf. sogar offline) aufbewahren, da sonst wie du schon sagst einfach alles Weg ist...
@@ITanderBar Danke Dir für die Antwort - kA, wo ich mich blöd angestellt hatte - so ein oder zwei Mal hatte ich nun doch schon Ubuntu installiert.
Bisher durfte ich noch nicht wieder an den Laptop :)
Der steht zwar öfter hier bei mir herum, aber ist halt nicht Meiner und ich hätte gerne das OK vom Besitzer - und wenn Er dabei ist, schadet Das auch nicht - spätestens zum Win per MS-Konto retten - davon ab - wenn das Benutzerkonto per MS-Konto entsperrt wird - klappt der Laptop überhaupt offline?
So schlimm ist's hier in -D- zwar nicht wirklich, aber dank Vodafone sind's auch keine 100%.
Bin selber von '95 bis XP Win-User gewesen (95 war das Erste Win, was in meinen Augen halbwegs benutzbar war, 98 war wesentlich besser, gerade als SE, und XP war, meiner Meinung, die Spitze) und seit Okt'06 Ubuntu, zwischendrin Mint.
Eigentlich mehr per Zufall, da ich damals einige Server jeweils in einer VM lokal laufen hatte - und ein klein wenig Ehrlich wollte man ja auch sein und nur für den Spieltrieb Win-Lizenzen ... neee ...
Hey, Danke für das Informative Video. Nur nochmal für mein Verständnis.
Das heißt im Klartext wenn ich es richtig verstanden habe: So lange die USB Ports nicht gesperrt sind kann ich von jedem Windows PC das Passwort deaktivieren mit diesem Tool? Außer man hat Bitlocker natürlich Installiert.
ist die Frage, wie deine USB-Ports gesperrt sind. wenn das nur in Windows gesperrt ist, ist das an der stelle vollkommen egal - da sind wir ja beim Boot, wo der Stick gelesen wird. Wenn die Hardwaretechnisch oder im BIOS deaktiviert sind, ist das natürlich schonmal nicht mehr ganz so Trivial, aber im Zweifel kann man immernoch die SSD ausbauen und in einen anderen PC stecken - der diese Einschränkung dann nicht hat.
Bitlocker macht diese Manipulationen mit anderen Bootumgebungen erstmal unmöglich.
Die USB Ports sind nicht die einzige Stelle für einen "alternativen" Bootvorgang.
Folgende Möglichkeiten gibt es
- USB Stick
- CD ROM
- Boot über Netzwerk
- HDD/ SSD/ NVME ausbauen und dann in einem anderen System bearbeiten
Technisch kann man mit einem BIOS Passwort hier noch etwas mehr Schutz herstellen, aber auch das ist häufig einfach zu übergehen, bzw. wenn ich die Disk ausbaue hilft das leider auch nichts mehr.
Wirklichen Schutz bietet tatsächlich nur eine Festplattenverschlüsselung. Aber auch hier kann es Schwachstellen geben...
Ohne Virtual Box aber müßte man doch die HDD ausbauen, oder?
Und jetzt würde mich interessieren, inwieweit das mit Linux(ioiden) Systemen geht...
Bei einem physischen PC/ Laptop gibt es folgende Möglichkeiten:
- USB Stick
- CD ROM
- Boot über Netzwerk
- HDD/ SSD/ NVME ausbauen und dann in einem anderen System bearbeiten
Technisch kann ein BIOS Passwort hier noch etwas mehr Schutz bieten, aber auch das ist häufig einfach zu übergehen...
Für Linux ist das Video schon fertig - also gespannt sein 😉
@@ITanderBar Danke.
Ich warte neugierig.
@@demil3618 Bisschen heißt es noch abwarten 🙂
Jetzt kommt dann das Video wo wir eine App mit einer Malware infizieren und zeigen was damit möglich ist.
Vermutlich Freitag den 11.10 wird das Linux Video kommen,...
@@demil3618 Da Du per Live-System Dich in einem Platten-Linux ebenfalls anmelden kannst und dort als admin/root eben auch 'Dein' Passwort ändern darfst - kein größeres Problem.
Einzig - es fällt auf, wenn mein Passwort nicht mehr passt - also für die schnelle Nummer ok, für längeren Spaß unentdeckt im fremden PC ist Das Nichts.
Ebenfalls nur bei unverschlüsselter Platte - verschlüsselt sieht das Live-System auf der Platte ebenfalls nur Müll und kein System - ähnlich Windows, wenn's eine Linux-Platte zu sehen bekommt ;)
Intressant.. warum gibt es bei jeder installation den admin account ??
Könnte man den nicht bei der installation weg lassen (also wenn ich MS CEO wäre xD )
Der adminMS account den wir nicht sehen und nutzen können, um z.b. daten im system zu löschen die das system beschädigen könnten
Aber um windows allgemein sicherer zu machen würde es doch mehr sinn ergeben den account weg zu lassen, und eine möglichkeit einzubauen, so ein adminMS account per backdoor einzupflegen
So könnte keiner das betriebssystem bearbeiten ausser MS selber oder leute die so ein stick mit dem account halt haben ..
Bin mir nicht sicher welchen Account du genau meinst.
Windows kommt idR mit einem Administrator Account der ist aber gesperrt und der Account der bei der Installation angelegt wird, wird automatisch Admin. Ohne Adminaccount wäre ja so ein PC stark eingeschränkt, was Installationen und Co angeht.
Kannst du das ggf. noch etwas genauer formulieren?
Hallo Leute, bezieht sich das jetzt nur auf das Windows Passwort oder kann man da auch Login mit PIN/Fingerabdruck/Face-ID löschen? Angeblich soll PIN/Fingerabdruck/Face-ID ja sicherer sein.
Danke schon mal für eure Antworten.
Ich bin relativ zuversichtlich das dass keinen weitern Schutz bei diesem Angriff bietet, da ich ja immer auf das Passwort zurückgehen kann. Aber ich teste das nachher mal kurz und berichte 😉
Bitlocker gibt es doch nur bei Windows 11 Pro, oder hat sich das geändert?
Früher war es den Pro Versionen vorenthalten.
Ich hatte nun bereits mehrfach Windows Home 11 in der Hand und dort war Bitlocker aktiv (ohne das dass bewusst aktiviert wurde). Was etwas suboptimal ist, das der Notfallkey dort vorab nicht gespeichert werden musste - angeblich wird der mit dem .NET Konto verknüpft. Doch viele umgehen das ja, daher kann es im Worst Case sein das man nicht mehr an seine Daten kommt wenn Bitlocker nach dem Key verlangt.
Wie heißt denn das Tool was da verwenden wird?😊
Das Tool findet man in der Beschreibung 🙂
Unter dem Namen gibt es auch eine Website dort gibt es fertige ISO Images,...
7:09 tatsächlich nicht, ich habe gestern Nachmittag bis Abends mein Windows neu aufgesetzt, also selbst mit einer Neuinstallation ohne mein Zutun ist keine Partition verschlüsselt
Das ist spannend - ich hatte nun bereits mehrere frische Windows 11 Home Installationen welche ohne zutun verschlüsselt waren 🤔
Welche Version war es genau?
War die Installation auf einem PC mit TPM Modul?
@@ITanderBar pro,Rechner hat (f)TPM (Rezensionen 5800x, meine b450-a pro mainboard) , später umgestellt auf mein separates tpm Modul, Infineon für das board
@@dennistechexperience5393 so gerade getestet mit Windows 11 Home auf nem frischen Laptop. Die SSD wird sofort als Bitlocker verschlüsselt angezeigt (ohne das ich dort was ausgewählt habe) aktuellste Windows 11 Version mit MCT.
Ich vermute es liegt an der Pro da dort der Prozess anders läuft - hier wird der Bitlockerkey ja direkt mitgeteilt und muss auf einem Stick gespeichert oder ausgedruckt werden - in der Home wird der im M$-Account abgelegt...
@@ITanderBar msaccount hab ich hier auch,wird aber wohl an pro liegen,das kann sein ja
@@dennistechexperience5393 tatsächlich hab ich nun nochmal ne Installation gemacht und mit shift+f10 und der out-of-the-box expirience den MSAccount umgangen - die Disk ist weiterhin Bitlocker verschlüsselt 🫣 obwohl der Key nirgendwo gesichert wurde,...
Geht ganz einfach Sogar Windows Spitzele Verschlüsselungsprogramme glaub es War Trust war unter Linux einfach Offen Einfach nur eine Offene TXT
Sagt mir leider ad-hoc nichts - hast du da evtl. mehr Infos dazu?
@@ITanderBar War So Programm da Kontest Alles einpacken und unter Windows nur Mit Passwort Öfen Mustest sogar 2 Mal das Passwort eingeben Einmal für die Zip oder rar Datei und Für Die Textdatei