News Dell, Lenovo und Microsoft: Forscher umgehen Login per Fingerabdruck unter Windows

[pseudopseudonym]

Stimmt einfach nicht! Häufig wird eine Festplatte verschlüsselt in einem Notebook und da kommt dann auch keiner heran, außer er kennt den Schlüssel.

Physischer Zugriff kann auch bedeuten, dass ich dir einen Hardeare-Keylogger einbaue und die Erkenntnisse beim nächsten physischen Zugriff nutze.
Sofern ich etwas gegen Secure-Boot in der Hand hab, kann ich dir auch was auf die Boot-Partition schieben.

 

[Herdware]

Physischer Zugriff kann auvh bedeuten, dass ich dir einen Hardeare-Keylogger einbaue und die Erkenntnisse beim nächsten physischen Zugriff nutze.

Das ist aber wesentlich komplizierter. Der Datendieb muss das Notebook erst unbemerkt klauen, manipulieren, dann dem Besitzer wieder unterschieben und dann nochmal klauen.

Bei diesem Hack des Fingerabdrucksensors reicht es, einfach ein Notebook zu klauen bzw. zufällig zu finden.

Neben dem Zugriff auf die Festplatte, bekommt man vielleicht sogar Zugriff per VPN auf ein Firmen-Intranet usw. Das ist potentiell schon eine ziemlich heftige Sicherheitslücke für professionell genutzte Notebooks.

 

[PusteBlume0815]

Jeder zweite Artikel auf CB hat gefühlt mit Sicherheitslücken zu tun. Ich als "Normalo-User" bin da schon längst überfordert. Da wird einem schwindlig, wenn man an die Zukunft denkt.

 

[Bart1]

Ehrlicherweise muss man sagen, dass bei vielen dieser Lücken 1. physischer Zugriff nötig ist und 2. es sich kaum lohnt einem zufälligen „Normalo“ den Laptop (für die Daten) abzuziehen, abgesehen vom reinen Wert des Gerätes.

Ergänzung (23. November 2023)

Jeder zweite Artikel auf CB hat gefühlt mit Sicherheitslücken zu tun. Ich als "Normalo-User" bin da schon längst überfordert. Da wird einem schwindlig, wenn man an die Zukunft denkt.

 

[tollertyp]

Trotzdem scheint das ein besonders einfacher Weg zu sein, um z.B. an den Inhalt einer verschlüsselten Festplatte eines "gefundenen" Notebooks zu kommen.

Ist dem so? Für mich hört sich das nicht so an. Aber bei der Beschreibung von Sicherheitslücken ist ComputerBase selten so exakt wie sie sein sollten. Ich gebe nämlich zu, aus dem CB-Artikel heraus hört es sich so an. Bei den Quellen bin ich mir darüber aber dann doch nicht mehr sicher.

Okay, scheint wohl möglich zu sein laut der Folie:

Ergänzung (23. November 2023)

Jeder zweite Artikel auf CB hat gefühlt mit Sicherheitslücken zu tun. Ich als "Normalo-User" bin da schon längst überfordert.

Mein Gefühl sagt, dass die Autoren der Meldungen da meist auch überfordert sind.

 

[|Moppel|]

Da wird einem schwindlig, wenn man an die Zukunft denkt.

Dann bitte nicht an die Vergangenheit denken, da sollte dir auch schwindelig werden.

Statistisch gesehen sind andere Probleme weitaus gravierender für den Normalnutzer.
Und daran sind die Leute meist selbst schuld.

Auf der anderen Seite kann man dadurch auch selbst etwas dagegen tun.
Niemals 2x das gleiche Passwort usw.

 

[IV52]

Wozu Fingerabdruck auslesen? Windows ein paar mal per Hardreset/Stromverlust starten bis die Reparaturkonsole kommt und voila: Da kann man Windows resetten und ohne Passwort/Fingerprint starten. (Wenn ich das noch richtig in Erinnerung habe.) Da haben die ein Schloss geknackt von einem Tor welches schon lange offen steht.

Ergänzung (23. November 2023)

Wie geht das? Hatte es auch mal versucht vor längerer Zeit aber bin nicht weitergekommen.

Der Hauptunterschied besteht wohl darin, dass man mit einem lokalen User meist recht wenig anfangen kann. Mit Windows Hello bist du aber mit einem AD-User angemeldet und kannst deutlich mehr Unfug anstellen.

Grundsätzlich sollte jeder der "geheime" Daten auf dem Gerät hat eine Art von Pre-Boot Authentification aktiv haben, dass erschwert dann in beiden Fällen die Angrifsmöglichkeit.

 

[Gordon-1979]

Bei Android und IOS ist es ja auch möglich:
https://www.kaspersky.de/blog/fingerprint-brute-force-android/30242/

Am sichersten bleibt das Passwort, was natürlich gut sein muss und nicht 12345 .

 

[rovster]

Windows Hello... na gute Nacht, wenn da jemand explizit ein Target ist.
Jede grosse Unternehmung hat Windows Hello integriert und natürlich SSO zu jeder Business-Application.
Sprich man bekommt Zugang zu:

• Verschlüsselter Festplatte
• AD/AAD
• per SSO zu jeder Business-Applicationen (für diesen User natürlich...)

 

[MaLow17]

Viel zu kompliziert. Jedes Kind kommt mit Bordmitteln ins Windows. Verstehe nicht, wieso überhaupt Geld investiert wird, um die Sicherheit zu testen, wenn es doch so leicht geht:

Spoiler: Windows Passwort Reset mit Bordmitteln

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Und das hat Microsoft noch immer nicht behoben...
Bei Windows 11 ist es noch leichter.

Spoiler: How to Reset Windows 11 Password Without Any Software

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

 

[Accutrauma]

Jeder zweite Artikel auf CB hat gefühlt mit Sicherheitslücken zu tun. Ich als "Normalo-User" bin da schon längst überfordert. Da wird einem schwindlig, wenn man an die Zukunft denkt.

Vielleicht braucht man das Wissen ueber Sicherheitsluecken in der Zukunft.

 

[Skidrow1988]

Da bin ich mal gespannt, wie das bei den MacBooks aussieht.

Um die geht es sich aber doch gar nicht. Wieso wird immer wieder gegenübergestellt? Kein System ist sicher!

 

[Celticon]

Jeder zweite Artikel auf CB hat gefühlt mit Sicherheitslücken zu tun. Ich als "Normalo-User" bin da schon längst überfordert. Da wird einem schwindlig, wenn man an die Zukunft denkt.

Mag ja sein, daß es da gefühlt dauernd Artikel über Sicherheitslücken gibt und dir das etwas Angst macht. Bei solch komplexer Hard- und Software ja auch nicht weiter verwunderlich das immer wieder Schwachstellen gefunden werden. Die meisten der hier beschriebenen Sicherheitslücken betreffen Otto-Normal-User kaum oder gar nicht.

Vergiss nicht wer eigentlich die größte Sicherheitslücke und Schwachstelle ist: eben der Otto-Normal-User der wild auf jeden Link in Emails klickt und selbst auf jede noch so billig und vor Rechtschreibfehlern strotzende Phishing Email reinfällt. Das sollte dir eigentlich Angst machen und schwer zu denken geben.
Denke mal üben den sogenannten "Hackerangriff" auf die Funke Mediengruppe nach: für mich war das kein "echter Hackerangriff", es war nämlich so das irgendein armer Trottel auf einen Link in einer Mail geklickt hat. Nur, und nur darum konnte in das System eingedrungen und alle Dateien verschlüsselt werden. Sieht man halt schon wieder schön wer das größte Sicherheitsrisiko ist..

 

[Land_Kind]

Jeder zweite Artikel auf CB hat gefühlt mit Sicherheitslücken zu tun. Ich als "Normalo-User" bin da schon längst überfordert. Da wird einem schwindlig, wenn man an die Zukunft denkt.

Da bist Du nicht der einzige, im Gegenteil, Du gehörst zur Mehrheit.
Die allerwenigsten sichern ihre Geräte wirklich einigermassen gut ab. Wenn ich bsp. meinem Nachbarn ein Windowspasswort "aufschwatzen" (sein Kommentar) will, dann rollt der schon mit den Augen. Weil, wofür soll das nötig sein, es komme ja eh kein Schwein an seinen Laptop.
Bitlocker? Für jedes Login im Internet ein anderes Passwort? Keypass? Alles viel zu umständlich.
Und deshalb will er davon partout nichts hören. Und er ist nur einer von vielen.

 

[Aragonion]

Wirklich sicher ist nur der PreBoot dafor wenn man veracrypt hat.

Ja Ich sags ja immer bleibt bei PW allein weil bsp. die Cops euch so ganz einfach zur entspeerung nötigen können von Mobilfunkgeräten.

 

[Martin1969]

Ja und? Ist dein Nachbar Geheimnisträger? Geheimagent? Dies das....😜

Die Meldung besitzt jetzt für wie viele Nutzer tatsächlich Relevanz?

0,01 %?

Nachtrag.... wenn die Polizei mich zur Entsperrung nötigen will, muss ich mich aber auch hier in einem dem entsprechenden Umfeld bewegen.

Und wieder sind wir bei wie vielen Nutzern?.....

 

[Askat86]

Computer sind nicht sicher, sobald jemand physischen Zugriff auf das Gerät hat. Also alles wie vorher.

Bedingt, eine vernünftige Festplattenverschlüsselung mit einem ausreichend langen Passwort wird nur per Bruteforce knackbar sein und je nach Länge des Passwortes kann das halt ausreichend lang dauern, dass sich der Aufwand nicht mehr lohnt man ein in der Praxis sicheres Gerät hat, auch wenn es theoretisch knackbar ist.

Biometrie ist halt nie sicher, egal ob da MitM Methoden gehen, man einen angefassten Gegenstand entwendet oder ein Foto der Hand mit ausreichend guter Kamera macht.

 

[FOSS-Fox]

Man kann sagen, was man möchte, aber ich bin fest davon überzeugt, dass eine Sicherung mit einem Fingerabdruck zu den unsichersten und schlechtesten Methoden gehört.

Ich habe schon Kinder gesehen, die zum Spaß den Finger eines schlafenden Freundes für die Entsperrung genutzt haben, um auf dem Smartphone das Hintergrundbild zu ändern.
Es fängt immer klein an...

 

[SheepShaver]

Wenn die Authentifizierung darauf basiert, dass der Chip nach dem Scan dem System einfach nur mitteilt „ja, passt!“, ist das natürlich per Design schon Käse. Diese „ja, passt!“-Message wird sich immer auf die ein oder andere Weise kopieren und einschleusen lassen.
Das muss schon so laufen wie z.B. bei einem TPM, dass der Chip bei erfolgreicher Authentifizierung eine Challenge beantwortet bzw. einen Einmalkey erzeugt, der begrenzt gültig ist und genau einmal verwendet werden kann um ins System zu kommen. Dann bringt MITM nichts, da abgegriffene Keys kein weiteres Mal nutzbar sind. Man kann sie zwar mitschneiden, aber der Mitschnitt ist wertlos.
Und neue Keys erzeugen und einschleusen geht auch nicht, weil das Secret dafür im Chip liegt und nicht bekannt ist, und dieser es nicht rausrückt.

Du verwechselst MitM- mit Replay-Attacken. Bei MitM greife ich den Datenverkehr ab und ändere ihn in Echtzeit ab. Da hilft dann auch kein Nonce. Selbstverständlich schützt SDCP gegen Replay-Attacken.

Aus der SDCP-Spec:

• The input has to be authenticated.
• The input cannot be replayable.
• The input needs to be “fresh” (i.e. nothing in the pipeline has held on to it and used it later).

Zur Veranschaulichung:

 

[lorpel]

Bitlocker mit Bootscreen Passwort Abfrage. Alles andere kann man vergessen.