it-swarm.com.de

Können manuell eingegebene Passwörter nicht wirklich aus dem Speicher oder der Festplatte wiederhergestellt werden?

Im Rahmen einer Erhöhung der Sicherheitsmaßnahmen für unser Unternehmen stellen wir sicher, dass alle Kennwortanmeldungen (Datenbanken, Server usw.) über eine Kennwortabfrage erfolgen und niemals gespeicherte Kennwörter verwenden. Die Hoffnung hier ist, dass wir nicht alle unsere Passwörter ändern müssten, wenn ein Firmen-Laptop verschwinden würde.

Reicht das wirklich aus, um anzunehmen, dass wir die Passwörter nicht ändern müssen? Ist es nicht möglich, Kennwörter aus dem Speicher oder der Festplatte wiederherzustellen, wenn sie interaktiv eingegeben werden?

26
chrismarx

Dies ist auf mehreren Ebenen ein Trugschluss.

Erstens können Sie nicht erwarten, dass sich Benutzer Kennwörter merken, die für jeden Dienst sowohl sicher als auch eindeutig sind. Es wird einfach nicht passieren. Um dies zu implementieren, muss nur "passwords.xlsx" an die Hälfte der Benutzer-Desktops angeheftet werden (die andere Hälfte verwendet "passwords.docx").

Zweitens ist der Versuch, eine Kennwortänderung zu verhindern, eine Bewegung in die völlig falsche Richtung. Stattdessen sollten Sie in eine Strategie investieren, die es problemlos macht, Kennwörter so oft wie nötig oder gewünscht zu ändern, und Benutzern (einschließlich Administratoren) helfen, diese Kennwörter sicher und effizient zu verwalten.

Der Grund für diese letzte Aussage ist, dass Sie an einem Punkt ändern müssen, wenn eines mit Passwörtern sicher ist. Ein Administrator geht weiter? Ändern Sie alle Ihre Systemkennwörter. Ein Manager hat das gleiche Passwort für das Unternehmensnetzwerk sowie für das Fußballmannschaftsforum seines Sohnes verwendet? Ändern Sie sein Passwort. Haben Sie ein Post-It gefunden, das der Lohnbuchhalter auf seinem Bildschirm festgehalten hat? Ändern Sie sein Passwort.

Verwenden Sie Single-Sign-On, wann immer Sie können, stellen Sie Ihren Benutzern einen praktischen Passwort-Manager zur Verfügung, schulen Sie sie so gut wie möglich und machen Sie das Ändern ihrer Passwörter ganz einfach. Nur so kann die Verwendung von Kennwörtern in einem Unternehmen weniger riskant werden.

50
Stephane

Dies ist die falsche Lösung für dieses Problem. Erstens, nein, es ist nicht sicher anzunehmen, dass Kennwörter nicht von der Festplatte oder im Speicher wiederhergestellt werden können. Auf der Festplatte ist die wirkliche Bedrohung ... Wenn Sie gegen einen Gegner antreten, der Daten aus dem RAM ziehen kann, haben Sie es wahrscheinlich mit einem Gegner zu tun, den Sie auf keinen Fall besiegen können.

Außerdem ist Passwortdiebstahl nur eine der Bedrohungen, denen Sie mit einem gestohlenen Laptop ausgesetzt sind. Sensibler Datenverlust ist eine weitere und im Allgemeinen schwerwiegendere Bedrohung. Ihr Schema löst dieses Problem nicht.

Die richtige Lösung ist also die vollständige Festplattenverschlüsselung. Dies schützt alle der Daten auf dem Laufwerk eines gestohlenen Laptops und löst beide Probleme mit einer einzigen Lösung. Sie können auch die Mechanismen verwenden, die am besten geeignet sind, um die bestmöglichen Kennwörter zu fördern, ohne sich über den zusätzlichen Kompromiss Gedanken machen zu müssen, dass Kennwörter niemals gespeichert werden müssen.

52
Xander

Wenn Benutzer gezwungen sind, sich eine große Anzahl von Passwörtern zu merken, haben sie einige Optionen:

  • Passwörter wiederverwenden
  • Verwenden Sie schwache Passwörter, die leicht zu merken sind (Passwort123)
  • Verwenden Sie Kennwörter, die von einem Hauptkennwort abgeleitet sind (PasswordSQL, PasswordWin, Password1, Password2).

Alle diese Optionen sind aus Sicherheitsgründen schlecht. Die meisten Systeme benötigen eine Möglichkeit zum Speichern von Benutzerkennwörtern oder Werten, die aus diesen Kennwörtern generiert werden (z. B. Hashes). Dies geschieht für Windows SAM-Dateien) und Linux- (/ etc/shadow) Systeme, für Datenbanken usw. Wenn die Passwörter schwach sind, ist es relativ einfach, die Passwörter hinter den gehashten/verschlüsselten Werten herauszufinden.

Wenn andererseits ein sicherer Kennwortmanager verwendet wird, können für jeden Dienst sichere Kennwörter verwendet werden, und es müssen nur ein (oder einige) komplexe Kennwörter gespeichert werden.

Ein guter Ansatz wäre:

24
Dinu

OK, zuerst müssen wir behandeln, was ein gutes Passwort ausmacht:

"Gute" Passwörter sind von beträchtlicher Länge und haben die Fähigkeit (häufig eine Voraussetzung), Sonderzeichen zu verwenden.

Warum ist das mögliche Hinzufügen von Sonderzeichen wichtig? Durch mehr mögliche Zeichen haben Sie für jedes Passwort einen wesentlich größeren Satz von Kombinationen erstellt.

Beispiele :

  • Passwörter müssen aus 8 Zeichen bestehen und Kleinbuchstaben enthalten.

    Es gibt 26 mögliche Zeichen für jede Position, also 26 ^ 8 = 208827064576 mögliche Kombinationen.

  • Passwörter müssen aus 8 Zeichen bestehen. Passwörter können Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen enthalten.

    26 Kleinbuchstaben + 26 Großbuchstaben + 10 Ziffern + 30 (ish) verschiedene Sonderzeichen = 92 Möglichkeiten für jedes Zeichen.

    92 ^ 8 = 5.13E15 mögliche Kombinationen!

Wir können also sehen, dass wir durch Erhöhen der möglichen Werte für jedes Zeichen die Leistung, die erforderlich ist, um diese Passwörter brutal zu erzwingen, erheblich erhöht haben.

Warum ist das hier wichtig?

Einfach ausgedrückt, längere Passwörter sind für die Menschen schwerer zu merken. Infolgedessen neigen Menschen eher dazu, Passwörter aufzuschreiben und sie wiederzuverwenden. Beantworten Sie daher Ihre erste Frage wie folgt: Nein, Sie müssen die Kennwörter noch ändern. Personen melden möglicherweise, wenn sie einen Firmen-Laptop verlieren, teilen der Firma jedoch möglicherweise nicht mit, ob ihre Brieftasche gestohlen wurde (mit Kennwörtern) geschrieben) oder dass ihr Yahoo-Account gehackt wurde (der bequemerweise das gleiche Passwort verwendete ... aber das Unternehmen weiß das natürlich nicht.)

In Bezug auf Ihre zweite Frage ...

I t hängt davon ab, Key Logger beiseite:

  • Nehmen wir an, die Laptops verfügen über kennwortverschlüsselte Laufwerke.

    Wenn der Laptop bei Diebstahl ausgeschaltet ist. Du bist ziemlich sicher.

    Wenn der Laptop eingeschaltet ist, haben Sie Probleme - unabhängig davon, ob der Computer angemeldet ist oder nicht. Ein paar kurze Beispiele:

    - Programme wie Cain & Abel können alle in Browsern oder auf dem lokalen Computer gespeicherten Passwörter sichern.

    - Darüber hinaus können einige Computer mit Firewire anfällig für Direct Memory Access-Angriffe sein, bei denen Speicherinhalte verloren gehen können. (Zum Glück für Hacker sind einige Firewire-Karten Plug-and-Play!)

    Wenn sich der Laptop im Ruhemodus befindet, behält der RAM gerade genug Strom, um den Speicherinhalt am Leben zu erhalten. Daher könnten kürzlich verwendete Passwörter theoretisch von "Personen mit Kenntnissen über diese Dinge" abgerufen werden. (ZB Flüssigstickstoffbad zum RAM und Austausch in einen bereits laufenden PC.)

  • Wenn die Laptops keine verschlüsselten Laufwerke haben ...

    - Unabhängig davon, ob der Laptop ein- oder ausgeschaltet ist, können Daten von einem anderen Betriebssystem abgerufen werden, sodass Tools wie Cain & Abel möglicherweise etwas Magie wirken können.

Also abschließend :

  • Vollständige Festplattenverschlüsselung von Laptops erforderlich (z. B. TrueCrypt)
  • Benutzerkennwörter sollten mindestens 8 Zeichen lang sein und Kombinationen aus Groß-, Klein-, Zahlen und/oder Sonderzeichen enthalten.
  • Passwörter sollten sich regelmäßig ändern (z. B. 120-180 Tage).
  • Verwenden Sie einen zugelassenen Passwort-Manager.
  • Last but not least Schulung Ihrer Mitarbeiter. Erläutern Sie die grundlegenden Risiken des Kennwortverlusts und decken Sie ab, dass der Schutz des Unternehmens/Netzwerks Teil der Pflicht jedes Benutzers ist. Schließen Sie grundlegende Vorgehensweisen ein, z. B. das Anschließen fremder USB-Geräte Lassen Sie unbeaufsichtigte Systeme nicht angemeldet und schreiben Sie keine Passwörter auf.

*** Dies hat normalerweise nicht "viel Kraft" von der IT-Abteilung. Es ist wichtig, dass sich die Führungskräfte/Eigentümer Ihres Unternehmens diesem letzten Punkt anschließen, ihn verstehen und ihn mit ihrer Autorität unternehmensweit fördern.

4
Ramrod

Zunächst einmal ist Dinu S korrekt, dass die Kennwörter lokaler Computer (z. B. das Kennwort, mit dem Sie sich am Computer anmelden, wenn es sich nicht um eine Domänenanmeldung handelt) tatsächlich auf dem Computer gespeichert sein müssen. Diese Anforderung besteht nicht für Konten in Domänen oder Remote-Systemen, obwohl solche Systeme den Kennwort-Hash möglicherweise lokal zwischenspeichern (Windows führt dies normalerweise beispielsweise bei Domänenanmeldungen durch, damit Sie nicht vom Computer ausgeschlossen werden, wenn Sie nicht da sind von einem Domänencontroller.)

Darüber hinaus gibt es jedoch dieses böse kleine Ding, von dem nur wenige Leute außerhalb der Sicherheit, Dateisystemdesigner und Computerforensiker wissen: File Slack . Grundsätzlich tritt dieses Problem dadurch auf, dass das Betriebssystem immer einen gesamten Dateisektor gleichzeitig auf die Festplatte schreibt - selbst am Ende einer Datei, die nicht gleichmäßig durch eine Sektorlänge teilbar ist. Vermutlich ist dieses Verhalten auf das Design der DMA Engine) oder eine ähnliche Überlegung zurückzuführen (oder vielleicht war der Autor des Dateisystemtreibers nur faul). Das Ergebnis ist, dass alles, was gerade passiert Das RAM unmittelbar nach dem Ende des Puffers, der in eine Datei geschrieben werden soll wird auch auf die Festplatte geschrieben Füllen Sie nach dem Ende der eigentlichen Dateidaten die Reste des letzten Sektors in der Datei. Wenn Sie die Datei über normale APIs zum Lesen von Dateien lesen, können Sie nicht auf diese Daten zugreifen, sondern nur die Daten des Rohplattensektors. Forensiker untersuchen dies häufig Verwenden Sie diese Option, um Informationen wiederherzustellen, die sich gerade im RAM des Computers) befinden. Welche Daten sich am Ende einer bestimmten Datei befinden, ist mehr oder weniger zufällig. Dies können Passwörter sein gespeichert in RAM (dh nach dem Lesen von der Tastatur, aber bevor sie gehasht und/oder verschlüsselt wurden)) E-Mail- oder Dokumententeile, belastende Beweise oder irgendetwas anderes t Was jemals im RAM des Computers gespeichert wird. Dies war eines der besonders wichtigen Dinge, nach denen wir gesucht haben, als ich einen Computerforensikkurs belegte.

Ich sollte beachten, dass es eine Weile her ist, seit ich diesen Forensikkurs besucht habe. Daher kann es sein, dass moderne Betriebssysteme tatsächlich den gesamten Puffer überschreiben, den sie vor dem Senden auf die Festplatte senden möchten, um dieses Problem zu vermeiden. Ich bin mir ziemlich sicher, dass es zumindest einige Dateisystemtreiber gibt, die dies aus Sicherheitsgründen tun, aber ich bin mir nicht sicher, wie weit verbreitet sie sind oder welche Betriebssysteme solche Gegenmaßnahmen standardmäßig verwenden.

2
reirab

Ich gehe davon aus, dass Sie eher Passwörter (generische Passwörter, die keinem Benutzer zugeordnet sind) als Benutzernamen/Passwörter sprechen, da Sie in letzterem Fall nicht "alle Ihre Passwörter" ändern müssten, sondern nur die des Benutzers, dessen Laptop verloren gegangen ist.

Wenn der Laptop eines Benutzers verloren geht, sollten alle seine individuellen Passwörter geändert werden.

Wenn Sie Passcodes verwenden, müssen diese geändert werden, wenn ein Laptop verloren geht, der diese Codes verwendet hat.

Der Grund dafür ist, dass der Speicher des Computers auf der Festplatte des Computers zwischengespeichert wird. Dies wird als "virtueller Speicher" bezeichnet. Durch Pech konnte die Variable, die einen Passcode im Klartext enthält, als Teil dieses virtuellen Speichers auf dem Laufwerk gespeichert und somit wiederhergestellt werden.

1
Tyler Durden