Passwörter, Sessions oder Cookies "gestohlen"? Kompromittierung möglich?

[Gomix]

Hallo.

Mich würde mal folgendes interessieren:


Computer: Windows XP, Teil eines Firmennetzwerks / Domäne.
"Eigene Dateien" und die Benutzerdaten sind im Netzwerk gespeichert, nicht lokal.

Lediglich Firefox wurde lokal installiert / benutzt. (irgendwo auf C

Browser: Firefox 3.6 ist der "vom Admin im Netz bereitgestellte" Browser.
Lokal, also durch den User selbst, wurde ein aktueller Firefox nachinstalliert
bzw teilweise auch als Portable Version genutzt
(Firefox 17-19 im relevanten Zeitraum)

Bei einer bestimmten Webseite wurde ein Login Cookie verwendet. (also "Angemeldet bleiben")

Rechner ist bei Abwesenheit "Gesperrt" oder ausgeschaltet.

Aber er ist physikalisch zugänglich. Boot von cd usw ist im bios ausgeschaltet und mit passwort geschützt.

Der "Eindringling" besitzt aber einen eigenen Netzwerk User Account, mit dem er sich regulär auf den Rechner anmelden könnte. (Miot den gleichen Rechten wie der eigentliche Nutzer)


Kann der "Angreifer" unter diesen Umständen die "Browsersitzung" des Opfers irgendwie benutzen/fortsetzen?
Kann die Session gestohlen werden?
Kann der Angreifer das Login Cookie "Entwenden und verwenden"

Ist der Cookie in dem Fall auf dem lokalen Filesystem oder in der Domäne gespeichert?

Die Webseite kann einen "Einbruchsversuch" vermutlich auch schwer erkennen, da die Rechner alle fast gleich sind und die externe IP identisch ist. möglicherweise könnte man auch irgendwie gleich die ganze "session" übernehmen.
Aber ist das bei der oben beschriebenen Netzumgebung ohne weiteres möglich?


Wäre es sogar möglich, das "Klartextpasswort" raus zu bekommen?



P.S. Mir gehts hier nicht darum, soetwas zu machen.
Ihr braucht hier keine Anleitung zu liefern wie man das eventuell macht.

Sofern es möglich ist, würde ich mich aber freuen, wenn ihr mir sagt, wo die Schwachstelle ungefähr liegt. (um dann da besonders aufzupassen)
Mir reicht aber auch schon ein definitives "Ja ist möglich" falls es möglich ist und ihr keine Auskünfte dazu geben wollt.
Tipps zu einer besseren Sicherheit nehme ich auch gerne an.


Als mir einiges "seltsam" vorkam und ich darauf kam, dass eventuell mein Account kompromittert ist, natürlich direkt mein Passwort geändert.


Jenachdem, wie hoch ihr die Gefahr einschätzt, muss ich aber auch alle anderen Passwörter ändern und darf auch keines mehr nach dem gleichen Muster verwenden.
Hab zwar nicht überall das gleiche Passwort, aber immer ein ähnliches Muster.



mfg

 

[Daaron]

Wäre es sogar möglich, das "Klartextpasswort" raus zu bekommen?

Im Firefox? Kinderspiel. In den Optionen des PW-Managers gibts sogar direkt einen Knopf dafür...
Ein Angreifer via Boot-CD muss also nru deinen Profilordner kopieren, bei sich zuhause oder sonstwo das Profil in einen Firefox einbinden und hat alles. wirklich alles. Er hat deine Cookies nebst gespeicherten Login-Sitzungen. Er hat deinen Browserverlauf, dein Auto-Ausfüllen... und eben auch deine gesammelten Passwörter.

Genau dafür gibts ja Verschlüsselung. Wenn die Maschine für Fremde zugänglich ist, sollten wenigstens die eigenen Profilordner stark verschlüsselt werden. Im Extremfall sollte man zusätzlich darüber nachdenken, eine Full Disk Encryption zu nutzen. Dann kann man zwar von einem USB-Stick booten, sieht aber überall nur Rauschen.

 

[Gomix]

oh, das hört sich nicht gut an.

Ok, Boot CD war nicht möglich, bios passwortgeschützt.
Er könnte sich aber mit seinem Account/Profil ganz normal einloggen. (Ghat aber auch nur userrechte, kein Admin)

Ob er dann auch an diese Daten rankommt? Wenn ich den Firefox lokal installiert hatte, bzw den Portable genutzt hatte?


Jedenfalls sollte ich dann alles mal ändern.
X Passwörter ändern, neues muster ausdenken und merken, na klasse
Ob der Privatmodus vom FF mich zukünftig schützt?
Oder ist es "Hoffnungslos" so dass ich besser nirgendwo mehr von da aus drauf gehe?

 

[Neon_]

Das Klartextpasswort bekommt man aber nur raus, wenn du die Passwort speichern Funktion genutzt hast.

Zum BootCD: Biospasswörter bringen nichts!
Das Windows Passwort ist ein Witz, er kann sich auch in deinen Acc. einloggen, seinen Acc zum Admin machen etc., wenn er sich damit auseinandersetzt.

Der Privatmodus= Pornomodus
Es schütz halt davor das jemand im nachnein sehen kann wo du warst, aber die aktuelle Session wird "irgendwo" natürlich zwischengespeichert - also auch das Cookie für "angemeldet beleiben".

 

[miac]

Wobei im beschriebenen Fall weder eine Full Disk Encryption noch eine Ordnerverschlüsselung etwas bringt...

 

[Neon_]

Wobei im beschriebenen Fall weder eine Full Disk Encryption noch eine Ordnerverschlüsselung etwas bringt...

ist mir auch grade aufgefallen

....sonst wird das surfen etwas "rauschig"

 

[Gomix]

Ja der Computer ist in einer Windows Domäne.

Also so ohne weiteres kommt man da nicht mit admin drauf.

Das Bios passwort könnte er aber zurückgesetzt haben und dann die boot cd benutzt haben.
muss mal schauen obs noch da ist.

Disk encryption und so haben sie nicht.
Die "Eigenen Dateien" werden im Netzwerk gespeichert.
Ein Lokal installierter FF oder gar der Portable wird aber lokal speichern?
Auf den Ordner kommt dann eventuell sogar ein anderer Normalbenutzer?


Welche Sicherheit habe ich?
FF Portable nur noch von USB Stick starten?
Oder kann ich Webmail, Facebook und Co von da aus zukünftig besser vergessen?

Ergänzung (1. März 2013)

Aber danke für eure Auskünfte.

Wollte nur mal wissen, ob eine "Kompromittierung" im Bereich des Möglichen liegt.

Ob das letztendlich auch passiert ist, weiß ich nicht.
Und ob sich jemand überhaupt die Arbeit macht, nur um jemanden anders "zu kontrollieren"?

Es gab eben nur "Seltsame vorkommnisse", die ich nicht nachvollziehen kann.

 

[Daaron]

Ja der Computer ist in einer Windows Domäne.

Also so ohne weiteres kommt man da nicht mit admin drauf.

Pft... von wegen. BIOS-Passwörter kann man oftmals umgehen. Ich sag nur "lkwpeter". Wenn du erst einmal von nem eigenen Bootmedium starten kannst ist alles andere nur noch Schlachtvieh. Ich musste letztens bei einem Windows Small Business Server das Admin-Passwort herausfinden/ändern. Da muss man nur von ner Windows CD (Reparaturmodus) oder gleich nem Live Linux booten, nach c:\windows\system32 gehen und die .exe der Eingabehilfe durch die cmd.exe ersetzen. Im Loginscreen kann man jetzt unten links auf die "Hilfe" klicken und hat ne Eingabeaufforderung als Admin. Der Rest ist Kinderkram.

Disk encryption und so haben sie nicht.
Die "Eigenen Dateien" werden im Netzwerk gespeichert.
Ein Lokal installierter FF oder gar der Portable wird aber lokal speichern?
Auf den Ordner kommt dann eventuell sogar ein anderer Normalbenutzer?

Je nachdem... Ein lokaler regulärer FF speichert seine Profildaten da, wo du angibst. Standardmäßig in den Eigenen Dateien (also sollte es auf dem Server liegen). Ein Portable lagert die Profildaten da, wo er selbst liegt. Liegt er in deinem Windows Profil, dann liegen da auch die FF Profildaten. Liegt er in C:\Programme\... heißt es gute Nacht Datensicherheit.

Welche Sicherheit habe ich?
FF Portable nur noch von USB Stick starten?

Gute Idee. Genau dafür ist er ja "portable". Auf die Weise hast du immer deinen personalisierten FF, TBird, Notepad++,.... dabei.
Gibt sogar spezielle USB-Sticks, z.B. die Sandisk Cruzer U3, bei denen du über eine Verwaltung gezielt Portable Apps installieren kannst. Die starten dann im Windows ein kleines Tray-Tool, mit dem du die Portable Apps einfach aus ner Auswahlliste starten kannst.