Passwort eingabe: Was ist sicherer?

[L!mp]

Moin, moin...

Ich hab da heut Morgen im Büro was aufgeschnappt das mir keine Ruhe mehr lässt. Ich muss Euch jetz mal fragen ob da was dran ist...

Kollege im Büro meinte:
Ich gebe meine Passwörter nicht über die Tastatur ein... das ist viel zu unsicher! Ich gebe sie immer über die Bildschirmtastatur ein... dann kann kein Keylogger mitschreiben... bla bla...

Ist das denn wahr? Oder hat er einfach keine Ahnung und lacht sich über die 4 Sekretärinen schlapp die jetz nur noch die PWs über die Bildschirmtastaur "einklicken"?

Danke schon mal für Eure Klarstellungen!

 

[Chi||Ang3L]

Meint er eine Eingabe über einen Touchscreen ?

 

[elite-kampfsau]

Nein, Windows hat eine Bildschirmtastatur.

(Bei Windows 7 über Start- Programme - Zubehör - Bedienung - Bildschirmtastatur)

 

[Mr. Snoot]

Wenn der Keylogger tatsächlich nur die Tastatureingaben abfängt, dann würde die Bildschirmtastatur Abhilfe schaffen.

 

[Aimr]

ein Keylogger parst die Tastatureingaben, welche der Treiber ans System weiterleitet (imho).
Insofern würde er auch die Bildschirm-Tastatur Eingaben aufzeichnen.

Edit: Bei einem Hardware-Keylogger würde es hingegen funktionieren.

 

[elite-kampfsau]

Nein ein Keylogger steckt doch zwischen Tastatur und USB-Eingangsport (in Tastatur eingebaute Keylogger ausgeschlossen). Damit fängt er nur die Signale der Tastatur ab. Wenn der Rechner softwaremäßig sicher ist, sollte also die Eingabe über die Bildschirmtastatur sicherer sein. Ich bin aber kein Experte, meine nur so etwas von unserem EDV-Lehrer auch gehört zu haben. Es gibt wohl aber verschiedene Keylogger ... manche erfassen mehr, manche weniger.

 

[rony]

ich denke mal ihr werdet doch überall eine gute antivierensoftware drauf haben, so dass es ein keylogger schwerer hätte.

aber nur so nebenbei.... es ist quatsch NUR sein pw zu schützen.

Denn keylogger haben es nicht auf das windows pw abgesehen, sondern auf bankdaten, und diese unterscheiden sich in der regel von den windows anmelde daten ^^

edit:

Nein ein Keylogger steckt doch zwischen Tastatur und USB-Eingangsport (in Tastatur eingebaute Keylogger ausgeschlossen). Damit fängt er nur die Signale der Tastatur ab. Wenn der Rechner softwaremäßig sicher ist, sollte also die Eingabe über die Bildschirmtastatur sicherer sein. Ich bin aber kein Experte, meine nur so etwas von unserem EDV-Lehrer auch gehört zu haben. Es gibt wohl aber verschiedene Keylogger ... manche erfassen mehr, manche weniger.

w00t?
wo sitzt der?
im kabel?

keylogger sind einfach software welche in der regel nur die tastur und ggf. sogar mausklicks speichern.

Es gibt auch keylogger welche sich in dei controller von unterschiedlichen geräten setzten... diese sind aber sehr selten, und erreichen nur eine kleine zielgruppe

 

[L!mp]

Nein, Windows hat eine Bildschirmtastatur.

(Bei Windows 7 über Start- Programme - Zubehör - Bedienung - Bildschirmtastatur)

Genau diese Funktion ist gemeint!

 

[Aimr]

Wikipedia schreibt dazu folgendes: Software-Keylogger schalten sich zwischen Betriebssystem und Tastatur [...] Schützen kann man sich vor Hardware-Keyloggern mit einer virtuellen Tastatur. [...] Gegen Softwarekeylogger bietet dies allerdings keinen Schutz.

 

[L!mp]

Wikipedia schreibt dazu folgendes: Software-Keylogger schalten sich zwischen Betriebssystem und Tastatur [...] Schützen kann man sich vor Hardware-Keyloggern mit einer virtuellen Tastatur. [...] Gegen Softwarekeylogger bietet dies allerdings keinen Schutz.

Also erzählt der Kollege mal wieder nur halb Wahrheiten... Und da wir hier in einem Großraumbüro sitzen und unsere IT-ler das ganze natürlich entsprechend absichern werde ich das Passwort "einklicken" gleich nach der Mittagspause wieder beenden!

Danke Euch allen! Ihr seit echt verdammt schnell!

 

[rony]

wie gesagt, hardware keylogger sind sehr sehr selten.
so könnte sich der keylogger in den ROM der tastatur setzten, da dieser aber so extrem klein ist, müsste es auf dem rechner eine software geben, welche diese eingaben zwischenspeichert und weiterschickt.... denn irgendwo muss das abgefangene hin^^

die Tastatur mit dem größten speicher ist die von apple mit ich glaueb 4KB... was unglaublich viel ist

 

[STFLX]

Wie schon gesagt wurde, kommt es darauf ob es sich um einen Hardware-Keylogger handelt oder um einen Software-Keylogger. Bei einem Hardware-Keylogger schafft die Eingabe über eine virtuelle Tastatur abhilfe, bei einem Software-Keylogger dagegen nicht. Allerdings gibt es die Möglichkeit die Eingabe zu verschlüsseln z.B. mit dem kleinen Programm KeyScrambler.


Gruß, Loki_83

 

[reaper2507]

und daführ kann dann jeder über die Schulter kucken? ROFL sorry nur banane wenn die arbeitgeber nen keylogger haben dann einen der von jedem mausclick nen screenshot macht und keys mitlogged so wies sich gehört^^

 

[h3@d1355_h0r53]

Ich sehe das anders. Wenn ein Keylogger auf dem System ist - dann kann auch alles andere auf dem System sein; sprich dann guckt der vermeintliche Angreifer eben zu wenn die Bildschirmtastatur aufgerufen wird oder es zeichnet automatisch mit auf sobald Bildschirmtastatur gestartet wird. Insofern würde ich den Sicherheitsgewinn als minimal bezeichnen, zusätzlich kann jeder Mensch vor dem Monitor sehen, was eingegeben wird.

Wirklich sichere Systeme gibt es nicht. Sehr sicher wäre meiner Meinung nach eine Karte im Format einer EC-Karte, die dich einerseits identifiziert und andererseits ein verschlüsselte Verbindung zu einem Server aufbaut und du nur über ein Keypad auf deiner eigenen Karte das Passwort eingeben kannst. Somit lässt sich weder Username noch Passwort abfangen bzw. dein kompromittierter PC würde nur verschlüsseltes abfangen können. Natürlich gibt es auch Schwachstellen beim Verschlüsseln und Authentifizieren, aber ein Passwort könnte nicht mehr ausgepäht werden weil es direkt bei der Eingabe in der Karte verschlüsselt wird. Im Prinzip wie ein Bankautomat ohne die Möglichkeit die PIN einzugeben. Man kann also keine Tastatur mehr fälschen und ein falscher Kartenschlitz liest maximal verschlüsselte Daten aus. Hätte man beim neuen Personalausweis so machen können, aber das Ding ist ja der größte Fail aller Zeiten und genau die billigen Lesegeräte zur Eingabe der PIN sind unsicher und bilden einen großen Schwachpunkt!

 

[yaegi]

was ist, wenn man sich textdatei mit allen tastaturzeichen anlegt und eins nach dem andren rauskopiert. ist zwar eher sinnfrei, weil das ja jeder sehen könnte. aber kann der keylogger die zeichen im zwischenspeicher auslesen?

 

[quityper]

Das ist ja geil:

"...Wenn man sich z.B. auf einer Webseite anmeldet, entfernt man zwischen den einzelnen Zeicheneingaben des Passwortes den Fokus des Cursors, in dem man auf eine freie Stelle der Webseite klickt, tippt die verunreinigenden Buchstaben ein und tippt am Passwort weiter. Grenzen und eine genauere Beschreibung der Methode sind in „How To Login From an Internet Cafe Without Worrying About Keyloggers“ (Weblinks) zu finden.

Jetzt wissen es die Cracker und zeichnen die Mausklicks auch auf und wissen wann wieder das PW weiter geht.

Habe mal gehört, dass auch Mausklicks aufgezeichnet werden können und die Position der Bildschirmtastatur.

Übrigens. Im Unternehmen einer bestimmten Größe würde ich mir beim PW eintippen keine großen Sorgen machen.

 

[Twin_Four]

Man kann auch das ganze Bild per Video aufzeichen und später anschauen, da kannst du kopieren soviel du willst, nachvollziehbar bleibt da alles...

 

[mightymartin]

ICh würde den 4 Damen erklären, das es noch sicherer wäre, die einzelnen Parts des Passwortes aus bestehenden Artikeln verschiedener Online-Websites zu kopieren.
Also per Kopieren/Einfügen das Passwort zusammensetzen....




(und dabei teile des schon geparsten PWs überschreiben, ggf. manuelle eingaben vermischen)

 

[quityper]

Oder per Fingerprint und 2ter Verifitierung über PIN aufs Handy. So etwas sollte Standard bei Anmeldungen im Internet sein, wie bei Bloomberg. Dann gilt es aber nicht aufs PW aufzupassen, sondern auf seinen Finger.

Bloomberg bietet auch ein Verfahren über B-Unit an, da wird ein Muster von Bloomberg auf dem Bildschirm angezeigt und nur der Besitzer einer elektronischen Karte (B-Unit) kann das Muster umwandeln und für sein normales Username-PW-Login nutzen.
http://ferreemoney.amplify.com/2010/02/26/bloomberg-b-unit/

 

[Jehova0815]

Also ich würde sagen wenn ein Keylogger audf dem System ist, dann ist es glaub ich egal mit welcher tastatur die eingebe gemacht wird. Aufgezeichnet wird immer.