Daten auf FW-Platte vor unberechtigtem Zugriff schützen

[j-man]

Hallo!

Wie schütze ich die Daten auf meiner Firewire Platte vor unberechtigtem Zugriff?

Auf meinem internen Volume scheint es zu genügen, für die Anmeldung ein Passwort zu setzen, aber was mache ich mit der externen Platte?

Vielen Dank für Hilfe.

 

[simon.weber]

System auf externer Platte installieren, alle Daten in das Home-Verzeichnis kopieren, mit FileVault verschlüsseln.

Dann immer von der Platte starten.

Ich persönlich würde aber FileVault nie verwenden - habe schon schlechtes darüber gehört (kann einem die Daten zerhauen).

Simon

 

[lundehundt]

du kannst die Daten auf deiner externen Platte mit Boardmitteln nur wie oben beschrieben ueber Filevault oder ein verschluesseltes Image schuetzen. Fuer die 2te Variante muss auf der Platte kein System installiert sein.

Du richtest dir einfach mit dem Festplattendienstprogram ein sparse image auf der externen platte ein, dass die maximale Groesse der Festplatte ereichen kann. Als Option waehlst du Veraschluesselt aus. Um das image von der Platte zu mounten muss ein passwort angegeben werden. Der Inhalt des images ist 128 bit Verschluesselt und wird on-the-fly codiert/dekodiert

 

[BalkonSurfer]

Hallo!

Wie schütze ich die Daten auf meiner Firewire Platte vor unberechtigtem Zugriff?

Auf meinem internen Volume scheint es zu genügen, für die Anmeldung ein Passwort zu setzen, aber was mache ich mit der externen Platte?

Vielen Dank für Hilfe.

Dauert 2 Minuten und jeder mit ner OSX CD kommt an Deine Daten. also sooo sicher wäre ich mir da nicht.
Es kommt auf den Einsatzwunsch an.

 

[lundehundt]

Nicht, wenn du ein open firmware passwort vergeben hast.

 

[SilentCry]

Gesamteinheitliches Sicherheistkonzept: 3P

Hallo!

Wie schütze ich die Daten auf meiner Firewire Platte vor unberechtigtem Zugriff?

Auf meinem internen Volume scheint es zu genügen, für die Anmeldung ein Passwort zu setzen, aber was mache ich mit der externen Platte?

Auf der externen Platte ist ein verschlüsselter Container (geht mit dem Festplattendienstprogramm) zwingend nötig.
Auf dem Powerbook ist ein Anmeldekennwort und FileVault zwingend nötig, um Angriffe zu verhindern
Weiters ist ein Openfirmwarepassword zwingend nötig. Das kann man zwar aushebeln, aber in DEM Moment weisst Du, dass Dein Rechner kompromittiert wurde.

Konzept 3P - Drei Perimeter also:
- Nur verschlüsselte Containerfiles, inkl. FileVault am $HOME [0]
- Anmeldepasswort und pro Gerät nur EIN Benutzer [1]
- Openfirmware Password um Manipulationen zu verhindern [2]

[0] Eine externe Platte mit Cryptocontainer darf niemals auf einem fremden Rechner angemeldet werden (der Container). Der fremde Rechner könnte kompromittiert sein und Deine Containerpassphrase somit abgegriffen werden.

[1] Ein Recher :: Ein Benutzer. Somit verhinderst Du, dass fehlerhafte Zugriffsrechte tragisch werden. Beispiel: Die Vodafone Connect SW. Sie liegt im Libraryordner mit rw für alle, sonst könnte man sie nur als Admin benutzen. User Engel benutzt diese SW um via UMTS ins Netz zu gehen. User Teufel geht ins Libraryverzeichnis und wrapped die SW mit einem Script, das zuerst einen Keylogger startet oder Daten aus dem $HOME von Engel kopiert (was möglich ist, trotz Filevault, da ja Engel zu dem Zeitpunkt angemeldet ist und das Wrapperscript mit den Rechten von Engel läuft.

[2] OF-Password. Sollte der Rechner kompromittiert werden, muss der Angreifer das OF PWD killen. Das merkst Du, stopst den Bootvorgang und bootest den kompromittierten Rechner nur noch von einem anderen Rechner aus im Firewiretargetmode, kopierst Deine reinen Userdaten auf einen Cleanen rechner und reinstallierst völlig neu. Ein Angreifer könnte Dir nämlich direkt im Filesystem des Systems einen Trojaner untergeschoben haben. An Deine Filevaultdaten kann er nicht, aber er kann mit dem Trojaner auf Systemebene die Keyboardeingaben abgreifen, dann kann er auch Deinen Filevaultcontainer aufmachen.

 

[SilentCry]

Was ich "vergessen" habe, was zwar nicht zwingend zum "Konzept 3P" gehört, aber natürlich in meiner Umgebung auch erzwungen wird:
- Notebooks benutzen, keine Standmaschinen, Notebooks sind praktisch kompromittierungssichere Hardware
- Keine externe Tastatur benutzen, es gibt Hardwaredevices, die man zwischenstöpseln kann, die alle Eingaben mitprotokolliert
- Full stealth Firewall settings
- mit dem Rücken nicht zu Fenstern oder Türen oder Glasscheiben sitzen.
- Bei Passworteingaben auch von Frau, Freundin, Freunden, Lebensrettern, Polizisten... verlangen, dass sie wegsehen
- Den phyischen Zugang zum Rechner radikal minimieren
- Keine Röhrenmonitore verwenden, deren Abstrahlung kann man abgreifen

Und zuguterletzt: Wenn man den Verdacht hat, der Rechner könnte kompromittiert worden sein, dann MUSS man sich so verhalten als WÄRE das Realität. UNsicherheit ist KEINE Sicherheit.

 

[Larzon]

nun hab ich aber ein bisschen angst.

das kling wie gröbste spionage...

was ist denn da los @ silentcry?

 

[SilentCry]

nun hab ich aber ein bisschen angst.
das kling wie gröbste spionage...
was ist denn da los @ silentcry?

In Deinem Auto hast Du eine Knautschzone, Airbag und gurtest Dich an.
Warum wird in der EDV jede vorausschauende Sicherheitsmassnahme als Paranoia wahrgenommen?
Bei mir ist noch nie eingebrochen worden, trotzdem habe ich eine gepanzerte Sicherheitstür zuhause. Vielleicht deshalb? Ich hatte noch nie einen Autounfall, trotzdem gurte ich mich an.
Sicherheit muss man leben, sonst hat man sie nicht, wenn man sie braucht. Ist ein Rechner einmal kompromittiert, ist alles danach zu spät, auch die Reue. Was bleibt ist der Widerhall des Jammers.

 

[NeoSD]

@ SilentCry
Nett geschrieben, wobei diese " Full stealth Firewall settings" aber auch nicht Weisheit letzter Schluss ist. Soweit ich hier im Forum mitgelesen habe weiß ein Angreifer auch das Du da bist wenn Du im Stealth Modus bist, da der Ping fallen gelassen wird. Also eine Haustür die sagt " ich bin nicht da"!
Bin aber kein Experte, hab das nur hier im Forum aufgeschnappt!

neoSD

 

[Larzon]

In Deinem Auto hast Du eine Knautschzone, Airbag und gurtest Dich an.
Warum wird in der EDV jede vorausschauende Sicherheitsmassnahme als Paranoia wahrgenommen?
Bei mir ist noch nie eingebrochen worden, trotzdem habe ich eine gepanzerte Sicherheitstür zuhause. Vielleicht deshalb? Ich hatte noch nie einen Autounfall, trotzdem gurte ich mich an.
Sicherheit muss man leben, sonst hat man sie nicht, wenn man sie braucht. Ist ein Rechner einmal kompromittiert, ist alles danach zu spät, auch die Reue. Was bleibt ist der Widerhall des Jammers.

ja klar ist vorsicht besser als nachsicht. die von dir geschilderten sachen klangen bloß etwa abenteuerlich...

 

[SilentCry]

@ SilentCry
Nett geschrieben, wobei diese " Full stealth Firewall settings" aber auch nicht Weisheit letzter Schluss ist. Soweit ich hier im Forum mitgelesen habe weiß ein Angreifer auch das Du da bist wenn Du im Stealth Modus bist, da der Ping fallen gelassen wird. Also eine Haustür die sagt " ich bin nicht da"!
Bin aber kein Experte, hab das nur hier im Forum aufgeschnappt!

Hi - danke Die Applefirewall im Tiger kennt TCP und UDP als Protokoll, ich habe noch nicht geprüft, ob mein Powerbook auf Ping reagieren würde (ICMP-Protokoll), aber ICMP Pakete sind nicht in dem Sinn gefährlich, DOS Attacken gehen theoretisch, wenn der Stack angreifbar ist, aber auf einer Clientmaschine... Hier geht es um echte Kompromittierung, d.h. Datenspionage, das kann man mit ICMP meines Wissens nicht durchführen.

 

[snoopy67]

[2] OF-Password. Sollte der Rechner kompromittiert werden, muss der Angreifer das OF PWD killen.

Und das kann er doch nur, wenn er physikalisch zugang zum rechner hat, oder??

cheers,
gab.

 

[SilentCry]

Und das kann er doch nur, wenn er physikalisch zugang zum rechner hat, oder??

Richtig. OF PWD aushebeln erfordert physischen Zugang. Aber zB jetzt bin ich nicht zuhause. Sollte jemand durchs Fenster klettern und meinen Rechner kompromittieren (jaja, das ist nicht sehr wahrscheinlich, ich weiss)...
Ich meine, _hätte_ ich eine Familie, würde ich mein Büro wahrscheinlich absperren oder meinen Rechner einschliessen, aber man kann nicht immer überall sein. Ein Sicherheitskonzept muss sich aufzwingen, wie ein Backupkonzept, auch wenn es unbequem ist, sonst verschleift man es. Und ich bin nicht sicher, ob ich jedesmal, wenn ich auch nur auf's Klo gehe, den Rechner in einem Safe versenken würde, auch wenn ich wüsste, dass noch eine andere Person im Haushalt lebt.

Bevor die Paranoia-Vorwürfe kommen: Verrat und Spionage treten häufig aus den vormals eigenen Reihen auf. Weil man es von dort am wenigsten vermutet UND weil natürlich Partner/innen von "Innen" angreifen können, da die Abstandsperimeter nicht einhaltbar sind, muss man automatische Sicherungen einbauen, die unabhängig vom Nahverhältnis funktionieren.

Edit: Tippfehler beseitigt.

 

[lundehundt]

voellig richtig ! Und wenn es soweit ist dann hilft eh nur noch ein verschlusseltes image.

Es haengt sicher von der Art der Daten ab welchen Aufwand ich zu ihrem Schutz vor Dritten betreibe. Von daher finde ich das Beispiel mit dem Anschnallen im Auto auch ein bisschen fragwuerdig. Wenn es sich wirklich nur um Allerwelts Daten wie mp3, Fotos oder Korrespondenz handelt wuerde ich das anders beurteilen als wenn es sich um wirklich Vertrauliches wie zum Beispiel eine Patentschrift oder ein Testaments Entwurf handelt.

Der Verlust von meiner Hardware wuerde mich im Moment haerter Treffen als wenn der Dieb damit auch Zugriff auf meine Daten erhaelt. Von daher ist ein regelmaessiges unverschluesseltes Backup meiner Daten und ein Kensington Schloss fuer Mobile Rechner und externe Devices fuer mich wahrscheinlich wichtiger als ein verschluesseltes Image meiner mp3 Sammlung und meiner DV Filmchen.

 

[SilentCry]

voellig richtig ! Und wenn es soweit ist dann hilft eh nur noch ein verschlusseltes image.
Es haengt sicher von der Art der Daten ab welchen Aufwand ich zu ihrem Schutz vor Dritten betreibe. [...]

Das verschlüsselte Image, und genau DAS versuchte ich mit meinem "Konzept 3P" darzustellen, hilft eben nicht _alleine_. Wenn ich zulasse, dass die Passphrases abgegriffen werden, habe ich nicht nur keine Sicherheit, ich _glaube_ auch noch fälschlicherweise, ich _hätte_ welche.

Und die Art der Daten kann sich ändern. Plakativ nenne ich immer die diversen Aktphotos meiner (Ex-)Freundin(nen). Es muss nicht immer so sein, dass der Schutz der Daten vor Ausspähung nur dem eigenen Interesse dient. Es kann auch sein, dass man anderen gegenüber die Verplflichtung hat.

 

[lundehundt]

Vollste Zustimmung - trotzdem geht es auch ein bisschen um die Verhaeltnismaessigkeit der Mittel.

 

[SilentCry]

Vollste Zustimmung - trotzdem geht es auch ein bisschen um die Verhaeltnismaessigkeit der Mittel.

Jetzt sag bloss, meine zwei bewaffneten Elitesoldaten bei jedem Fenster und jeder Tür und mein Elektrokäfig zusammen mit den Nebelgranaten bei jeder Passworteingabe hältst Du für übertrieben?
Dann erzähle ich Dir lieber nichts von meinem Jammer-Satelliten und meinen Nanobots in der Luft zur Spionageabwehr.

 

[Ghettomaster]

@SilentCry

Du weißt schon das sich ein TFT auf die Ferne fast genauso leicht auslesen lässt wie ein Röhrenmonitor... aber es gibt da nenn 17 Zöller von Siemens für ~4000 Euro der gegen sowas geschützt ist. Ich glaub ein Kupferkäfig verlegt unter der Tapete wär da die günstigere Lösung gegen unerwünschte EM Strahlung

CU
Ghettomaster

 

[lundehundt]

Die wirklich wichtigen Sachen sollte man sich eh auf die Kopfhaut taetovieren lassen