Frage, Datensicherheit im Unternehmen

[Domi83]

Hallo Leute, ich habe da mal eine Frage zum Thema Sicherheit der Daten und gebe mal vorweg einen Übersicht.
Wir haben einen Server, Windows 7 und Windows XP Clients um Haus. Der Server hat eine verschlüsselte Partition die mit TrueCrypt verschlüsselt ist und führt die Datensicherung auf verschlüsselte externe Festplatten aus.

Die Clients sind völlig normal und nicht durch irgendetwas geschützt... Es existiert zwar eine Benutzeranmeldung beim Starten von Windows, aber das ist ja keine wirkliche Sicherheit. Auf z.B. Chef seinem System ist Windows 7, Firefox, Thunderbird, Office und diverse Unterlagen auf Partition D!

Chef fragte mich nun, wie man sein System und gegebenenfalls die anderen Systeme so sichern könnte, dass man die Kennwörter im Firefox nicht so einfach bekommt oder seine Dateien auf dem System vor großen Augen geschützt sind.

Seine wichtigen Dateien auf D könnte ich ganz einfach in ein Netzlaufwerk verschieben. Wenn jemand den PC von Chef klaut, hat er schon mal die wichtigen Dateien nicht mehr auf der Festplatte und kann diese vielleicht einsehen. Aber wie kann ich denn den Thunderbird oder Firefox so schützen, dass man nicht sofort alle Kennwörter aus dem System raus ziehen und irgendwo einloggen kann..?!

Im Prinzip könnte man jetzt "TrueCrypt" für den Client verwenden und ihn voll verschlüsseln, aber ich vermute mal die Eingabe eines ordentlichen Kennwortes beim Boot überfordert schon ein wenig die Kollegen.. vor allem wenn sie sich so Kennwörter wie "vWvrpgzWtx" merken sollen.

Habt Ihr da vielleicht ein oder zwei Ansätze für mich über die man mal grübeln könnte?!
Gruß, Domi

 

[miac]

Tja, mit so Passwörtern, 16 bis 20 stellig müssen sich Mitarbeiter anderer Firmen auch rumschlagen.

Edit: Und die müssen natürlich auch noch alle paar Monate geändert werden, dürfen sich nicht gleichen, und und und

 

[aliriza]

Die Beste Sicherheit ist immer noch auf zu passen welche Seiten man besucht, was man Downloaded usw., meine eher Allgemeine Meinung dazu

Alle wichtigen Daten würde ich immer auf einem Rechner Speichern ohne jegliche Verbindung zur Außenwelt, weder Wlan noch Bluetooth. So ist man geschützt vor angriffen.

 

[HaZu]

Also, generell wird empfohlen seine Passwörter (Firefox, Thunderbird) in einem Passwortsafe wie KeePass unterzubringen und mit einem starken Mastepasswort zu versehen. http://keepass.info/

Generell bietet sich eine Verschlüsselung des Gesamtsystems an. Entweder mit Trucrypt oder mit dem Windows eigenen Bitlocker. Dieses bietet die Möglichkeit der Entschlüsselung über das AD wenn mal der Schlüssel abhanden kommt, o. ä..

Durch die verwendeten Hash-Algorithmen bei Truecrypt ist es in absehbarer zeit nicht zu schaffen auch verhältnismäßig leicht zu merkende Passwörter zu knacken. Mal davon abgesehen, dass diese mit einem Salt "gesalzen" werden. Immerhin besser als garkeine Verschlüsselung.

 

[eraser92]

Aber wie kann ich denn den Thunderbird oder Firefox so schützen, dass man nicht sofort alle Kennwörter aus dem System raus ziehen und irgendwo einloggen kann..?!

​Vielleicht ein Programm zur Verwaltung von Passwoertern zb KeePass

 

[rIQ]

1. die Clientrechner/Benutzer haben auf dem Server dedizierte Freigaben
2. dort liegt/liegen READONLY Dateien (-> später Keyfiles)
3. für die Truecrypt-Container-anmeldung pro Client verwendest du ein "relativ"-einfaches Passwort (z.b. Benutzernamen) und
http://www.truecrypt.org/docs/?s=keyfiles Keyfile aus dem Freigabenordner.

Ein Dieb könnte zwar die Containerdatei mitnehmen und wüsste das Passwort, jedoch kommt er nicht an die Key-files auf der Serverfreigabe.

Nur mal so als Denkanstoß

 

[firexs]

Holt euch nen Terminalserver, arbeitet nur dort und sichert diesen. Auf den Clients nur eine lokale Anmeldung, sonst nix. Ist im Endeffekt einfacher und für die Verschlüsselung ebenfalls. Dann braucht man nur den Server gut sichern.

lg
fire

 

[d4nY]

masterpasswort bei firefox und thunderbird wäre auch schonmal ein anfang^^

 

[miac]

Durch die verwendeten Hash-Algorithmen bei Truecrypt ist es in absehbarer zeit nicht zu schaffen auch verhältnismäßig leicht zu merkende Passwörter zu knacken

Der Algorithmus ist hier schon fast egal. Wichtiger ist das Passwort an sich. Am besten, wie schon angedeutet, ein 2-Wege Verfahren z.B. mit einer Schlüsseldatei oder einem Fingerabdruck, einem Token oder...

 

[Domi83]

@aliriza, Chef geht es dabei um die Sicherheit der Daten falls im Büro eingebrochen und die Hardware geklaut wird. Meinen Leuten (Mitarbeiter und Chefs) zu erklären "tu dies nicht, tu das nicht" versuche ich seit ungefähr 6 Jahren erfolglos. Mittlerweile habe ich aufgegeben...

In unserem kleinen 12 Personen Betrieb haben selbst die Chefs auf Admin-Rechte bestanden. Als ich diese mal beschränkt hatte, hat Chef 1 sofort geknört und gesagt das er diese wieder haben will. Also hat er diese wieder bekommen... viele Tage später ging etwas nicht und er meinte "ich bin nicht schuld!"... ja ne ist klar

Zurück zum Thema.. die Lösung von rIQ finde ich eigentlich sehr gut.
Ich würde dann auf jedem Client Laufwerk D mit einem Keyfile verschlüsseln welches auf dem Server liegt. Die Daten und auch Firefox und Thunderbird müssten dann auf D ausgeführt und auch dort komplett gespeichert sein. So entlaste ich das Netzwerk, auf den Clients ist es verschlüsselt und die Mitarbeiter müssten sich nur noch kleine Kennwörter merken.

Die Idee mit KeePass ist auch nicht verkehrt, verwende es für diverse Kennwörter selbst und habe meinen KeePass Container in der DropBox. Allerdings wäre jetzt die Frage, wenn man KeePass verwendet.. kann man es so einrichten, dass alle Clients Synchron darauf zugreifen könnten?

Aktuell sind die Firefox Kennwörter in einem eigenen Firefoxsync Server drin den ich im Intranet aufgebaut habe... somit haben unsere Frauen den Vorteil, das sie ein Portal von einem Versicherer nur öffnen brauchen, und auf Login drücken können weil die Kennwörter schon eingetragen sind

Tja, mit so Passwörtern, 16 bis 20 stellig müssen sich Mitarbeiter anderer Firmen auch rumschlagen.

Ja, dass ist immer einfacher gesagt als getan

Nachtrag: Der Gedanke mit dem Terminal System ist auch nicht verkehrt.. das behalte ich mal im Hinterkopf für die Zukunft wenn wir wieder einen neuen Server kaufen. Unser Server den wir jetzt stehen haben, ist gerade 1,5 Jahre alt und hat schon ein paar Scheine gekostet. Ich tippe finde die Idee mit dem 2-Wege System sehr interessant und werde das mal durchspielen, wenn ich wieder im Büro bin.

Falls ich irgendwo einen Denkfehler gemacht habe... bitte nicht gleich steinigen

 

[kernel panic]

1) Verschlüsselung auf einem Server bringt nichts. Es ist wahrscheinlicher, dass die Daten übers Internet entwendet werden anstatt den Server zu klauen.
2) Kennwörter würde ich niemals speichern, ggf. unwichtige wie das hier im Forum kann man speichern. Ansonsten in Firefox ein Masterpasswort setzen oder Keepass nehmen.

 

[Domi83]

Zu 1.) Du meinst, indem sich jemand von Außen Zugriff auf unser Netzwerk verschafft, richtig?
Ich vermute mal, dafür sind wir dann nicht interessant genug.. denn wir haben keine feste IP auf unserem DSL 1.500 Anschluss.

Zu 2.) Wie sicher ist denn die Funktion vom Masterpasswort in Firefox, war es nicht mal so das diese Funktion nicht wirklich was bringt?!

Nachtrag: Was die Terminal Geschichte angeht, funktioniert das nur mit dem Windows eigenen System... oder gibt es da noch irgend welche kostengünstigen Lösungen / Varianten?

 

[Daaron]

Windows, egal welches, ist immer (wieder mal) angreifbar, dagegen helfen auch keine Crypt-Container.

http://www.golem.de/news/microsoft-usb-stick-anschliessen-und-windows-rechner-kapern-1303-98150.html
Nehmen nur mal diesen Fall: Nachdem sich ein Eindringling hier Zugriff verschafft hat modifiziert er einfach 1-2 Passwörter um sich als authentifizierter User anzumelden. Von da aus hat er ja legitimen Zugriff auf die Crypts... Arschkarte.

 

[kernel panic]

@TE
zu 1) ich halte sowas für einen Drugschluss. Und eine statische IP und eine lahme DSL Anbindung ist kein Argument. Wenn einer euer Clients verseucht ist, bringt euch die TC-Partition herzlich wenig und dann hat ein möglicher Angreifer auf alles Zugriff.
zu 2) Meines Wissens nach verschlüsselt das Masterpasswort die Datenbank und sollte solange man einen virenfreien Rechner hat sicher sein, wenn das System kompromittiert ist, bringt Keepass und Co auch nichts.

 

[Domi83]

Ah.. Alles klärchen, ich verstehe die Argumente..
Im Prinzip passt bei der Sicherheit das gleiche wie bei der Virengeschichte.. Hirn 2.0 benutzen, denke ich mal.

Ich werde ihm dann erst einmal die Geschichte mit dem Masterpasswort nennen, allerdings muss er sich dann etwas besseres einfallen lassen als das Kennwort was er sonst immer verwendet