SIGNFIKANTE Sicherheitslücken bei mir gefunden (und Fragen zu Linux

[loltroll00]

Hallo Leute,

ich bin seit meiner Kindheit schon im netz aktiv und habe mich wirklich sehr dumm mit meinem PW Management angestellt und bin auch persönlich im Umgang mit meinen eigenen Kontodaten EXTREM unvorsichtig und naiv gewesen. (BSp. PP, Online Banking etc. zwar mit TAN aber alles auf dem gleichen Handy mit dubiosen Apps von unbekannten Websites "Warez", Root zugang und immer Berechtigungen gegeben auf Costum ROM's.)

Tatsächlich bekomme ich auch verschiedene Mails dass mein Online-Zugang gesperrt wurde von verschiedenen Diensten. Jedoch waren diese nie wirklich relevant. Nachdem die Konten meiner Familie geknackt wurden mach ich mir natürlich berächtigterweise Angst um meine eigenen Konten.

Mein aktueller Plan sieht so aus:
Mein Online Banking App wird ausschließlich auf einem ChromeOS/Windows Laptop laufen. Alle weiteren Webseiten bei denen Geld involviert ist EBay/Amazon/Debots werden nur von diesem Laptop aus benutzt. Es wird nur legale und kommerzielle Software von diesem Laptop aus genutzt. Alle meine Backups und E-mails laufen über ein gratis Gmail Konto. Achja für das TAN/SMS verfahren werde ich dann altes Handy (kein Smartphone) nutzen.


Netzwerkkonfiguration:

versteckte SSID/Macfilter (bringen beide nicht so viel, aber dennoch). Zudem wird WLAN Konsequent ausgeschaltet und nur genutzt sobald wenn ich zuhause bin (es wird auch deaktiviert wenn ich schlafe).


Nutzverhalten:
Ich bin in verschiedenen Szene-Foren aktiv, installiere Software aus extrem dubiosen Quellen und nutze Root. Daran wird sich auch nix ändern. Jedoch werde ich dies nur noch auf meinem Gaming PC und Handy machen, wo ich keine wichtigen privaten Daten habe. Mein Whatsapp/Telegram/Facebook etc. kann dann "ruhig" gehackt werden. Achja natürlich würde ich nie mehr reelle Daten von mir verwenden. Zudem werde ich kein Googlepay/Applepay nutzen.


Ich habe jedoch noch einige Fragen:
Wie Sicher sind eBay Keys. Also, die 10€ Windows und office Keys? Ich schätze mal dass es sich um OEM Keys handelt. Wäre es i.jemandem möglich mittels diesen Windows/Office Key eine Remote Verbindung oder sonst was zu meinem Laptop aufzubauen?
Und wie vertrauenswürdig sind eigentlich Linux Distros wie Ubuntu, Linux Mint wenn es um sensible Daten geht? Kann man den Dev's dahinter vertrauen?
Wie sicher ist es diesen Laptop bei aussgeschaltetem WLAN-Netz via LAN zu betreiben. Mir ist bewusst dass es für Dritte möglich ist via dem WLAN meinen Traffic zu sniffen und auszulesen (oder einfach Wireshark). Aber wie sieht es bei einer ausgeschalteten WLAN-Verbindung aus wenn es jemanden bereits gelungen ist einmal von außen sich ins WLAN-Netz zu hacken? Wäre es ihm theoretisch möglich mein Netzwerk lokal mitzuverfolgen und zu infizieren sodass ich, sobald ich wieder das WLAN eingeschaltet habe, die dritte Person alle mitgesnifften Daten via WLAN bekommt?

Sprich sollte mein Banking-Laptop nur mit dem mobilen Netzwerk verbunden sein?

 

[Nilson]

Wäre es i.jemandem möglich mittels diesen Windows/Office Key eine Remote Verbindung oder sonst was zu meinem Laptop aufzubauen?

Nein

Und wie vertrauenswürdig sind eigentlich Linux Distros wie Ubuntu, Linux Mint wenn es um sensible Daten geht? Kann man den Dev's dahinter vertrauen?

Mehr als Windows

Wie sicher ist es diesen Laptop bei aussgeschaltetem WLAN-Netz via LAN zu betreiben[...]

WLAN ist auch nur ein Medium. Wenn jemand in deinem Netzwerk ist, ist er in deinem Netzwerk. Ohne WLAN gibt es halt nur ein Einfallswinkel weniger.

Sonst solltest du dich ggf. mal mit VMs und Sandboxen etc. auseinander setzen, wenn du "dubiose" Dinge herunterlädst.

 

[loltroll00]

WLAN ist auch nur ein Medium. Wenn jemand in deinem Netzwerk ist, ist er in deinem Netzwerk. Ohne WLAN gibt es halt nur ein Einfallswinkel weniger.

Was kann er denn genau in meinem Netzwerk anstellen? Mitsniffen kann man doch nur den aktuellen Content. Er kann ja nicht die Pakete abfangen die ich ggf. vor einigen Stunden versendet bzw. bekommen habe, oder? Und was sind denn andere Gefahren in einem gehackten Netzwerk?

Sonst solltest du dich ggf. mal mit VMs und Sandboxen etc. auseinander setzen, wenn du "dubiose" Dinge herunterlädst.

Der Performance hit bei einer VM war bisher einfach zu groß, insbesondere bei Hardware intensiven Anwendungen. Jedoch werde ich mich noch mehr über diese Informieren. Danke für den Tip!

 

[Nilson]

Und was sind denn andere Gefahren in einem gehackten Netzwerk?

Er kann alles machen, was du auch kannst. Auf Geräte zugreifen, Dateien herunterladen ...

Der Performance hit bei einer VM war bisher einfach zu groß, insbesondere bei Hardware intensiven Anwendungen.

Bei reinen CPU Dingen ist es eigentlich nicht nennenswert. Musst ja nicht drin zocken. Aber für gekapselte Umgebungen fürs Banking etc. ideal.

 

[Twostone]

Bei so viel Blauäugigkeit ist es eigentlich schon schwer, eine passende, neutrale Antwort zu schreiben...

Stattdessen ein paar Empfehlungen.

[paranoia]Online-Banking nur auf einem Laptop, der nur dafür ist. Mit Qubes kannst Du auf diesem Laptop (mit ein wenig mehr Hintergrundwissen, als Du es jetzt hast) eine Umgebung schaffen, in der Du (verhältnismäßig) sicher auch Dein Onlineshopping bei vertrauenswürdigen Anbietern erledigen kannst. Mehr nicht auf dieser Maschine.[/paranoia)

Es nutzt Dir herzlich wenig, eine gehärtete Maschine zu nutzen, wenn sich die Welt frei in Deinem Netzwerk tummeln darf, da Du es selber mit Spielwiesen kompromittierst. Ist eine Maschine im Netzwerk kompromittiert (und wird nicht erkannt und gebannt), ist es das gesamte Netzwerk. Interessant für Dich, sich hier einmal in NIDS/HIDS einzulesen.

WLAN kann man halbwegs sicher gestalten, man kann auch (halbwegs gut) verhindern, daß sich fremde Leute ins LAN einklinken. Solange man jedoch keinen unverschlüsselten AP betreibt, ist die Wahrscheinlichkeit, daß sich jemand unbefugtes einklinkt, für Privatpersonen recht gering. Es ist zwar nicht schwierig, bei WEP (und nur mittelmäßig schwierig bei WPA-PSK), erfordert jedoch auch wieder Hintergrundwissen, welches nur bei einem verschwindend geringen Teil der Bevölkerung vorhanden ist. Solange man sich nicht mit den falschen Leuten anfeindet, ist alles gut. Wenn doch, ist's eh egal.

Du bist nur eine Privatperson, kein lohnendes Ziel. Allzu viel kriminelle Energie wird man in Dich nicht investieren. Das heißt zwar nicht, daß Du die Sicherheit komplett vernachlässigen kannst, aber wenigstens bist Du kein Primärziel.

Sicherheit fängt beim Nutzer an. Das beste Konzept nutzt nichts, wenn der Nutzer leichtfertig agiert.

Und wie vertrauenswürdig sind eigentlich Linux Distros wie Ubuntu, Linux Mint wenn es um sensible Daten geht? Kann man den Dev's dahinter vertrauen?

Kann man gewinnorientierten Unternehmen mehr trauen? Windows kann ich mir nicht aus den Quellen selber kompilieren. Linux, BSD o.ä. schon. Was auch bedeutet, daß ich mir den Quellcode anschauen kann, ihn verändern kann (und darf) und Schwachstellen finden kann (und darf).

 

[G-Red]

@TE
Du kannst für wichtigen Mailverkehr einen anderen Provider nehmen. Ich nutze z.B. protonmail. Das ist ein Schweizer unternehmen wo die Mailboxen der User verschlüsslt sind und somit relativ sicher.

Bei WLAN wie hier schon gesagt wurde sollte man ein längeres alphanumerisches Passwort mit Sonderzeichen. verwenden, dass nicht kürzer als 12 Zeichen sein sollte. Noch besser sind natürlich 32 Zeichen dann ist der Aufawand den man betreiben muss, um so ein PW zu knacken einfach nur gigantisch.

 

[BeBur]

Dein Ansatz ist schon in Ordnung.
Aber das Smartphone so nutzen wie du es vorhast.. u kidding? Wie viele Logins du da verwendest.
W-LAN brauchst du nicht ausschalten, es reicht ein starkes Passwort. Und WPA2 selbstredend. WPS selbstredend deaktiviert.
Macfilter/SSID verstecken: Verschwende keine Energie auf unnützes Zeug, dass dich am Ende mehr nervt als es hilft.
Fast alles relevante im Web heute läuft über TLS ab, von daher ist die Angriffsfläche, Netzwerkverkehr mitzuschneiden wenn man im Netzwerk ist ziemlich klein.

Wäre es i.jemandem möglich mittels diesen Windows/Office Key eine Remote Verbindung oder sonst was zu meinem Laptop aufzubauen?

Das nicht, aber du solltest die Software selber dann bei Microsoft beziehen und nicht über den Händler-Link runterladen.

Und Passwörter nicht wiederverwenden. Schwache oder wiederverwendete Passwörter sind so ziemlich die größte Angriffsfläche. Sicherheit ist zu 95% ganz langweilig und kommt ohne fancy 'hardening' o.ä. aus.

 

[Twostone]

Sicherheit ist zu 95% ganz langweilig und kommt ohne fancy 'hardening' o.ä. aus.

Genau richtig. Der erste Ansatz (und der erste Angriffspunkt) ist stets das Verhalten des Nutzers.

 

[loltroll00]

[paranoia]Online-Banking nur auf einem Laptop, der nur dafür ist. Mit Qubes kannst Du auf diesem Laptop (mit ein wenig mehr Hintergrundwissen, als Du es jetzt hast) eine Umgebung schaffen, in der Du (verhältnismäßig) sicher auch Dein Onlineshopping bei vertrauenswürdigen Anbietern erledigen kannst. Mehr nicht auf dieser Maschine.[/paranoia)

Bzgl. dem Banking-Rechner, kann ich da einfach 2 Partitionen machen und nach dem Einrichten die System Partition schreibgeschützt machen (und somit quasi als "live cd" verwenden)? Ich würde den Schreibschutz dann immer nur entfernen um eben Die Distro inkl. der Software zu updaten und nach dem Update direkt wieder den Schreibschutz einlegen.
Auf der anderen Partition würde ich wichtige Dokumente (keine Anwednungen) lagern. Besteht ein größeres Sicherheitsrisiko wenn diese Partition keinen Schreibschutz hat?

Zudem werde ich mich nun mehr ins NIDS/HIDS einlesen.


Auch werde ich ein langes WLAN passwort (inkl. Sonderzeichen etc.) verwenden und es wöchentlich ändern (nur mein Smartphone ist im WLAN aktiv). Zudem sollte ich für jeden Online-Händler ein eigenes Passwort nutzen. Am besten mit SMS Aktivierungsverfahren auf ein normales Mobiltelefon.
Für das TAN-Verfahren nochmal ein Extra Gerät.

Wie manage ich alle meine Passwörter? Sollte ich True-Crypt Partition haben, die ich nur via Live CD boote, in der ich innerhalb einer Textdatei meine Passwörter hinterlege?

Es scheint mir als sei mein Hauptproblem dann noch meine Netzwerkabsicherung. Die Wahrscheinlichkeit das eine Maschiene kompromittiert wird ist bei meinem Nutzverhalten extrem hoch. Ich informiere mich mal ein wenig weiter.


Erstmal vielen Dank für den vielen Input! Ich melde mich in ein paar Tagen nochmal! Ich werde mich genauer einlesen und muss nochmal untertauchen.
Danke!

 

[Nilson]

Auch werde ich ein langes WLAN passwort (inkl. Sonderzeichen etc.) verwenden und es wöchentlich ändern (nur mein Smartphone ist im WLAN aktiv).

Das ist dein kleinstes Problem. Die Wahrscheinlichkeit dass da einer vor deinem Haus hockt (oder dein Nachbar) und versucht sich in ein per WPA2 verschlüsseltes WLAN einzuwählen ist doch eher gering.

Zudem sollte ich für jeden Online-Händler ein eigenes Passwort nutzen. Am besten mit SMS Aktivierungsverfahren auf ein normales Mobiltelefon.
Für das TAN-Verfahren nochmal ein Extra Gerät.

2FA sollte man wo möglich eh aktiveren. Wobei TOTP als noch ein Tick sicherer gilt als mTAN

Wie manage ich alle meine Passwörter? Sollte ich True-Crypt Partition haben, die ich nur via Live CD boote, in der ich meine Passwörter hinterlege?

Passwortmanager wie KeyPass, Bitwarden etc.
https://www.computerbase.de/forum/threads/keepassxc-keepass2android.1852503/

 

[loltroll00]

Top!

Mir ist zudem die Idee gekommen einfach mein Gaming PC als Dualboot rechner zu nutzen.

zu 70%:
Qubes (Linux eigenes Format nutzen) und dann eine Windows VM für andere nicht so intensive aber Dubiose Software

zu 30%:
Windows für Hardware intensive Anwendungen und extrem gefährliche Software (geht nie online) bzw. LAN Adapter würde unter Windows Einstellungen deaktiviert werden.

 

[Twostone]

Das Wichtigste ist eigentlich das Überdenken des eigenen Nutzungsverhaltens. Wahllos irgendwelche Seiten anzusurfen, mag vielleicht in einem Internet-Café (gibt's die Dinger eigentlich heute noch?) ok sein, am Rechner, mit dem man auch home-banking betreibt, ist dies jedoch eine mäßig gute Idee.

Selbst eigentlich vertrauenswürdige Seiten können (über CDN) auch gerne mal Ungewünschtes verbreiten, von Anti-Adblocker-Kampagnen verschiedener Verlage bin ich auch nur mäßig begeistert, da die ausgelieferten Inhalte sich der Kontrolle der eigentlich vertrauenswürdigen Kommunikationspartner entzieht. Besser, selber die Kontrolle über den eigenen Datenverkehr zu behalten, was jedoch auch mit eigenen Risiken verbunden ist (man muß tatsächlich auch mal selber MITM spielen).

Es gibt keine ultimative Sicherheit, aber leichtfertiges Verhalten. Zur Surf-Grundausstattung sollte gehören: (Bei Windows) Firewall, AV, Adblocker, Scriptblocker, ggf. auch etwas, was domainübergreifende Anfragen abfangen kann.

Zur Netzwerk-Grundausstattung sollte gehören: Ein Router mit dpi-fw, NIDS (z.B. snort oder suricata), proxy mit Filtermöglichkeiten (nicht mehr ganz so wichtig, will man sich nicht auch noch mit SSL MITM herumschlagen), kein UPnP, ggf. einen RADIUS für WiFi und einen vernünftigen DNS-Resolver (z.B. unbound) mit IPSec/DNSSec, SSL/TLS-Fähigkeit u.a. statt nur einem DNS-Relay.

Nutzt man homebanking, sollte man definitiv über einen eigenen Rechner nur für diesen Zweck nachdenken, den man nach Möglichkeit auch gar in ein eigenes Subnetz verfrachtet. DualBoot in Zeiten von UEFI und "riesigen" EEPROMs (da kann man auch mal ein ganzes Betriebssystem drin unterbringen!) ist keine Sicherheit. Selbst beim klassischen BIOS gab es Möglichkeiten, dieses zu kompromittieren, UEFI macht's tlw. noch leichter.

Ein eigenes Netz für Gäste (wenn diese unbedingt in die weite welt telefonieren müssen, statt sich mit den Gastgebern zu unterhalten) kann auch mal dazu genutzt werden, einen "Wegwerf-Rechner" von den Rechnern mit privaten Dokumenten und der eigenen Urlaubsfoto-Sammlung zu trennen.

Und das sind nur die ersten Schritte.

Sicherheit ist vor allem: nicht das komfortabelste, viel Arbeit, laufend Arbeit, Selbstüberwachung, Selbsteinschränkung.

 

[BeBur]

Zur Netzwerk-Grundausstattung sollte gehören:

Nein, das ist übertrieben für den Heimanwender. Er sollte erstmal die 08/15 Standardsachen zu 100% umsetzen, bisschen sacken lassen und dann ganz vielleicht darüber nachdenken sich einen Server zu bauen der diverse Dienste anbietet.

WiFi Passwort wöchentlich ändern ist auch Quark. Nimm ein sicheres Passwort das du nirgends anders verwendest und dann belasse es dabei.

 

[Twostone]

Gab mal auf Heise für Otto-Normal-Anwender vor Kurzem ein paar nette Kommentare zum Ändere-Dein-Passwort-Tag (und warum dieser eher weniger hilfreich sei).

 

[Tenferenzu]

Der Performance hit bei einer VM war bisher einfach zu groß, insbesondere bei Hardware intensiven Anwendungen. Jedoch werde ich mich noch mehr über diese Informieren. Danke für den Tip!

Gnome pfeifft aus dem letzten Loch wenn du es virtualisieren willst. Nimm etwas anderes wie Xfce oder Cinnamon, wenns sein muss auch die 16.04er LTS Version von Ubuntu mit Unity.


Die ganzen omninösen Websites die du besuchst... hol dir dafür auch eine extra VM. Gerade bei Webseiten gibt es keinen Grund Windows zu verwenden.
Für die ganze Software du du nutzt... wenns sein muss auch gerne in einer Windows VM mit dem 10€ Ebay Aktivierungscode.

Zu den Passwörtern:
Jemand der dir online schaden will hat keinen zugriff auf deine Offlinedaten. Geh auf eine von den 1000 Zufallsgenerator Seiten, lass dir 10 Passwörter ausgeben, schreib' sie auf und füg die 10 dann nach belieben zusammen. Alles natürlich auf Zettel&Papier. Davon machst du dann ein paar Kopien und verstaust es nach belieben.


brain.exe sollte natürlich auch immer im Hintergrund mitlaufen mit höchster Priorität.

Edit: Danke für den Hinweis @andy_m4, wurde geändert.

 

[andy_m4]

Die ganzen omninösen Websites die du besuchst... hol dir dafür auch eine extra VM

Gerade dann würde man ja eher nicht zu Windows greifen.
Und überhaupt gibts bei den ganzen Online-Sachen kaum ein Grund Windows zu verwenden, womit man dann auch gleich die meistangegriffene Plattform aus der Schusslinie nimmt.
Eine einfachere und gleichzeitig auch wirksamere Schutzmaßnahme gibts kaum.

 

[chrigu]

und was soll das alles bringen, wenn du bewusst Trojaner und malware mit offenen armen empfängst?
mal mit linux oder Windows booten und im vergessen wieder eine warez installieren?
einziger tipp: ändere dich. säubere deine platten und finger weg von "zeugs das vom laster gefallen ist". denn: die malware ist, scheinbar, immer ein tick intelligenter als du....

 

[loltroll00]

Nutzverhalten ändern wird schwer. Meine Geräte sind auch kein Spielfeld für Trojaner oder Viren. Ich habe halbwegs sichere privat tracker und vergleiche oft die MD5, lass auch 1 mal im Monat mal Malewarebytes über ne LiveCD rüber gehen etc.

Mir geht es drum im Fall der Fälle relativ abgesichert zu sein.
Beispielsweise denke ich das ein Hauptrechner ein Dual-Boot System sein sollte mit einer Linux Distro inkl. VM (Linux für die tiefen Seiten vom Netz & abgekappseltes Windows für Rootkits etc.) als Hauptsystem. Und einer Windows installation mit deaktivierter Netzwerkkarte für die verschiedenen Anwendungen. Dies sollte ja für 99% der Keylogger/Spyware/Trojaner ausreichend sein. UEFI Viren wie LoJax sind ja kaum verbreitet. Zudem ist die Wahrscheinlichkeit dass ich eine Datei ausführe welche die neusten (nicht in der Distro) Sicherheitslücken ausnutzt und sich via VM/Windows System in mein Linux System einnisten einfach sehr gering.

Ein weiteres Gerät welches auf einer schreibgeschützen Platte (quasi als konfigurierte "Live CD") welches nur für Online-Banking, vertrauenswürdige Online-Shops (Ebay, Paypal & Co.) und meine persönliche E-Mail/Dokumente verwendet wird. Scheint mir auch sehr sicher.

Auf meinen Smartphone verwende und habe ich keine Kritische Daten und nutze es nicht um mich in Bezahldienste etc. einzuloggen (also kein Netflix, Spotify, Bahnapp etc.) es werden keine persönliche Daten hinterlegt bis auf meine Chatverläuft in diversen Social Media Netzen. Hier nutze ich halt aber auch oft Hombrew/Mods von XDA & Co., jedoch kann doch keine infezierte App so leicht mein Netzwerk ausspionieren, oder?

Zudem werde ich mich an die meisten Standard sachen halten (verschiedene extrem lange zufallsgenerierte Passwörter, 2FA, TOTP etc.) und auch alle 1-2 Monate mal Virencheck via Live CD und mein Netzwerk auch mal alle paar Wochen beoachten.


EDIT:

 

[loltroll00]

Nochmal Vielen Dank für eure Hilfe!

Ich habe mittlerweile mein Handy zurück auf Stock geflasht inkl. geschlossenem Bootloader. Zudem auch genug Alternativen für Root apps gefunden, sodass Root eh unnötig ist.

Zudem habe ich mir neue E-mail,Paypal etc. angelegt und verwende nun einen Passwort Manager mit Random Werten (Keepass2Android), Überall 2FA (mit HOTP).

Piraterie, Mods etc. unterlasse ich alles auf meinem Android (außer Youtube Vanced und Gcam von XDA). Für alles was mit Geld zutun hat (Debot, Banking, Amazon Einkäufe, Paypal) wollte ich mir ein Chromebook anschaffen.

Auf meinem Burner-PC läuft Manjaro Deepin, wobei ich noch eine Windows VM für diverse random .exe einbauen will.

 

[Twostone]

Schonmal über Qubes nachgedacht?

Ach, hatte ich bereits vorgeschlagen.