Bitlocker fail?

Microsoft Windows

Windows 10 újraindította a gépemet. Éppen egy videót néztem, a közepén elvágta. Közölte hogy frissít. Oké. Kiírta hogy többször újra fog indulni. Hát nem viccelt, tényleg újraindult vagy 4-szer. Legalább 10 perc. Sebaj, ezt is kibírom. De ami kiverte a biztosítékot, az a következő.

A rendszer lemez bitlocker-rel van titkosítva. A többszöri újraindítást úgy kell elképzelni, hogy volt közte olyan amikor a BIOS screen jött be. Rendes hard reset. A frissítések telepítése után boot-olt, és úgy jött be a login screen, hogy EGYSZER SEM KÉRTE A BITLOCKER FELOLDÁSHOZ A JELSZÓT.

Mivel az egész lemez titkosítva van, és mivel oda pakolta fel a frissítéseket, ezért erre csak egyetlen egy magyarázatot tudok: a frissítő valahogyan hozzáfért a titkos kulcsomhoz, és feloldotta a lemez titkosítását. Ha a frissítő ezt meg tudja tenni, akkor a Microsoft is, meg kb. bármilyen hárombetűs (vagy épp név nélküli) szervezet is.

Ilyen amatőr módon lebukni! Szerintem fail factor 10/10.

Várom a többiek véleményét is! :-)

( Hubman | 2016. 10. 26., sze – 19:08 )

Hát még is mit gondoltál, kinek nincs hozzáférése a Te kulcsodhoz? Vagy más áthidaló megoldása a feloldáshoz? Nézzük csak, Microsoft, titkosszolgálatok, NSA..soroljam? :)

( ncc1701 | 2016. 10. 26., sze – 19:11 )

Nocsak, mennyire meglepődtem! Ja, nem is. :)

( manfreed (nem ellenőrzött) | 2016. 10. 26., sze – 19:14 )

Nézd, a rendszer nyilván ismeri az adatok visszanyeréséhez szükséges kulcsot, hiszen aktívan használja arra, hogy hozzáférjen a vinyódhoz. Ott van a memóriában, te adod meg neki minden boot alkalmával.

Nem elképzelhetetlen, hogy kényelmi funkcióként a rendszer eltárolja ezt a kulcsot frissítéskor egy, vagy egykét boot erejéig. Ez még nem jelenti azt, hogy maga a microsoft tudja a kulcsodat...

... ez jelenti azt:
http://www.thewindowsclub.com/microsoft-windows-10-device-encryption-key

ennek viszont nincs köze ahhoz, hogy boot-kor nem kéri. Hidd el, amit te tapasztalsz annak nincs oka gyanút ébreszteni benned. Az általad tapasztaltak csak azt jelentik, hogy helyben rögzül a kulcsod ideiglenesen, semmi kifogásolnivaló nem volna igazán ezzel, ha nem volnánk amúgy is paranoiások.

Egy szóval sem mondtam, hogy megbízom az MS-ben, és hogy alaptalan volna aggódni amiatt, hogy az MS lenyúlja a kulcsaidat, jelszavaidat, stb. Sőt, nagyon nem bízom meg bennük, de...

(ha már megengeded magadnak a személyeskedést, én is megengedem magamnak)

... hülye vagy, ha nem látod be, hogy egy ilyen funkció megvalósításához (márhogy kulcs nélkül bootoljon) nem kell adatot lopnia, teljesen megbízható működés része is lehet, és ha valamelyik linux disztró oldotta volna meg ugyanezt, akkor fel se merülne senkiben az adatlopás.

Namégegyszer: Nem azt mondom, hogy az MS megbízható, hanem hogy nem a fenti jelenséggel árulja el magát, mert a fenti jelenség megvalósítható adatlopás nélkül. Ennyi.

Köszi a személyeskedést mégegyszer :)

> hülye vagy, ha nem látod be, hogy egy ilyen funkció megvalósításához (márhogy kulcs nélkül bootoljon) nem kell adatot lopnia, teljesen megbízható működés része is lehet

"Hülye vagy" - úgy érted: tévedsz ? :-)

"Nem kell adatot lopnia" - tényleg nem *kell*, ezt senki nem is mondta. Csak azt, hogy megvan rá a lehetősége. Kriptográfában az elvi kérdések is fontosak.

"teljesen megbízható működés része is lehet" - hogy mi a megbízható, az itt nem objektív kérdés, legalább részben szubjektív. Az a szoftver ami az engedélyem nélkül úgy dönt, hogy (akár ideiglenesen) titkosítás nélkül lemezre tárolja a titkos kulcsomat, az számomra (szubjektíve!) nem megbízható. Az objektív megbízhatósággal kapcsolatban inkább nem állítok semmit, nem érzem magam annyira okosnak hogy ilyet tehessek.

> Nem azt mondom, hogy az MS megbízható, hanem hogy nem a fenti jelenséggel árulja el magát, mert a fenti jelenség megvalósítható adatlopás nélkül

Na akkor én is szeretnék pontosítani: én azt sosem mondtam, hogy magában a fenti jelenség az adatlopás bizonyítéka. De azt mondom, hogy nekem ettől megrendült benne a bizalmam. Ez egy szubjektív vélemény ami nem csak tényeken alapul. A megalapozottságát tehet lehet vitatni. Nekem az a tény (!!!) szolgáltatja az alapot hozzá, hogy a kérdezésem nélkül titkosítatlan kulcsot tárolt. Szerintem nem vagyok egyedül azzal a véleményemmel, hogy ilyet egy valamirevaló biztonsági szoftvernek nem szabadna csinálnia. Attól még lehet hogy az MS jóhiszeműen a kényelmet helyezte előtérbe, és nagyon szeretné megvédeni az adataimat. (Bár talán nem annyira mint én.)

Szerintem nem is létezik általános érvényű objektív ítélet a kérdésben. Lehetnek olyan emberek is akik semmit nem titkosítanak, és mégsincs belőle bajuk.

Nem csak a megbízhatóság az egyetlen szempont. Van olyan, hogy windows-t kell használnod, más okokból. (Például arra kaptál munkát.)

Ettől függetlenül igaz, hogy nem bízom benne annyira, mint pl. Linuxban. Eddig rühelltem a bitlocker-t, de a TrueCrypt és a VeraCrypt már nem használható Windows 10-hez. (Nyakamat rá hogy ennek szintén vagy a Microsoft vagy valamelyik 3 betűs szervezet az oka.) Most meg még inkább rühellem, sőt most lehet hogy az lesz a következő lépésem hogy egy normálisan titkosított Linuxra teszem föl virtuális gépként. Ha már muszáj.

Ez nem igaz. Vannak OS-től független dolgok is.

Pl. Korábbi cégnél bootolás előtt kellett a beépített lemeztitkosítást jelszóval feloldani. Az egész boot folyamat és az OS csak ezután indult el, az ekkor már szabadon olvasható lemezről.

Megfeszülhetett volna az OS, akkor sem tudta volna a lemezt újraindítás után jelszó nélkül olvashatóvá tenni.*

Persze mikor fut az OS, akkor az összes lemezen tárolt adat olvasható, tehát ha akarja, a teljes lemezről másolatot küldhet valakinek. Csak azt mondom, hogy nem tud bármit megtenni a géppel.

*régen volt, de úgy emlékszem, a jelszót csak akkor kérte újra, ha a lemeznek az áramellátása megszűnt, szóval sima reboot esetén nem, csak leállítás és újraindítás után.

>Nézd, a rendszer nyilván ismeri az adatok visszanyeréséhez szükséges kulcsot, hiszen aktívan használja arra, hogy hozzáférjen a vinyódhoz.

Alap dolog, hogy az ilyen teljes lemezes titkosításnál ne legyen meg a lemezen sehol sem. Csak az én fejemben.

> Ott van a memóriában, te adod meg neki minden boot alkalmával.

A jelszavamból visszafejtett titkos kulcs ott lehet, a kernel memória egy eldugott zugában ami csak a kernelnek read-only a többieknek meg sehogy nem hozzáférhető. A jelszavam az meg sehol ne legyen meg, soha. Csak a fejemben.

> Nem elképzelhetetlen, hogy kényelmi funkcióként a rendszer eltárolja ezt a kulcsot frissítéskor egy, vagy egykét boot erejéig. Ez még nem jelenti azt, hogy maga a microsoft tudja a kulcsodat...

Hát izé. Előszöris, ha bitlocker-t használok akkor annak van egy oka. Szóval legyen szíves ne mentse ki a titkosítatlan kulcsomat a lemezre "mert az nekem kényelmes lesz". Már az ötlet is abszurd.

Egyébként meg a következőt is jelenti: hozzá akarok férni egy géphez. Megvárom amíg elkezd frissíteni (tegyük föl hogy ezt megtehetem), akkor kirántom belőle a vinyót és máris megvan a kulcs. Ugyebár.

Pedig milyen jó lenne, ha lenne valami központi ilyen telefonkönyv-szerűség, ahova a gép biztonságosan el tudná menteni a kulcsot (nem a jelszavadat, amivel a kulcsot felnyitod!), hogy amikor elfelejted a jelszavad, akkor is vissza lehessen állítani. Vagy ha nem te, akkor a szervezetben levő 1000+ másik user.
Igen, az AD-be szépen be tudja pakolni a titkosítási kulcsokat.

Aztán... csak ezért nem cryptelem le a lemezem, de ajánlom figyelmedbe a winmgmts:\\.\root\CIMV2\Security\MicrosoftVolumeEncryption kifejezést... néhány metódusnév, amit egy Win32_EncryptableVolume keresésre kapott objectből használhatsz:
* ProtectKeyWithTPM
* ProtectKeyWithTPMAndPIN
* ProtectKeyWithTPMAndStartupKey
* SaveExternalKeyToFile
* ProtectKeyWithExternalKey
* SaveExternalKeyToFile
* EnableAutoUnlock

(a lista csak azokból, amiket a Deployment Toolkit használ beállítástól függően, de van itt még más is: https://msdn.microsoft.com/en-us/library/windows/desktop/gg196263(v=vs…)

Szerk.: ill a DisableKeyProtectors, ha jól értelmezem, ezt használhatja a WU is

BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)

Ezt is meginnováltátok? :) Sima AD nem elég neki?
A BitLocker GP beálíltások között szerepel egy 2008/Vista címkézett "Mentés az Active Directory-ba" tétel, ill. ott van a Windows 7-től elérhető Win32_EncryptableVolume.BackupRecoveryInformationToActiveDirectory, ez alapján nem kéne még egy menedzsment szerver/kliens telepítése. (ill. rémlik, hogy valahol már találkoztam azzal, hogy melyik attribba menti, de most az istennek nem találom)

Szerk.: azt hiszem, megvan: msTPM-OwnerInformation... és a ms-FVE-RecoveryInformation objectClass és attribjai

BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)

> Pedig milyen jó lenne, ha lenne valami központi ilyen telefonkönyv-szerűség, ahova a gép biztonságosan el tudná menteni a kulcsot

Biztosan vannak olyan emberek, akiknek ez jó lenne. Meg olyanok is vannak akiknek nem. Ebben a kérdésben én nem foglalok állást.

Ami engem fölháborított az az, hogy a kérdezésem nélkül tárolt el NEM BIZTONSÁGOSAN kulcsot. Ez pedig nem kérdés, ez tény.

Itt nem az a kérdés nekem, hogy biztonságosan, vagy nem biztonságosan. Neked fontos, hogy a hacker, aki ellopja a bankkártya adataidat, amíg nem használja, egy rövid ideig, biztonságosan tárolja az adatod, mielőtt odaadja másoknak? :)

Kellene ilyen beállítás a Windows-ba, ami támogat bitlocker-t, 4 választható üzemmóddal:

  • * Az Ön érdekében minden jelszavát elrakjuk. Lopástól, figyelmetlenségből, biztonsági résből, vagy csak úgy véletlenszerűen is ellophatják az összes személyes adatát, amit tagadni fogunk, amíg tudunk, hogy Ön jobban érezze magát. Mi csak megbízható személyeknek és cégeknek adjuk oda, és főként akkor ha kérik, általában nem. Ön nem tartozik a megbízható személyek közé, így Önnek nem adjuk oda, hiába kéri a jelszavait például. Tanulja meg felírni, megjegyezni a jelszavát. Ha úgy látjuk, hogy szükséges, vagy épp nincs jobb dolgunk, akkor használjuk a jelszavait is, mint Windows frissítés esetén újraindításkor. Csak az Ön kényelme, vagy a mi bármilyen feladatunk érdekében. Az Ön gépen maximum 8, a központban maximum 4096 példányban taroljuk a jelszavait és a személyes adatait (hangfájlokat, videókat, dokumentumokat, bankkártya adatokat, billentyűzet leütéseket, teljes PC használat aktiválást, a Windows 10-ben ez az alap, plugin-ek nélkül. Hiszen miért használna az Ön gépe idle állapotban processzoridőt és +800 Mbyte memóriát alapból, mint ami szükséges, a semmiért?!). A tárolás jó esetben védett, hasonlóan biztonságos módszerekkel van megoldva, mint az Ön adatai esetén. (Alapbeállítás)
  • * Úgy teszünk, mintha nem tudnánk a jelszavait, csak azért, hogy Ön nagyobb biztonságba érezze magát. (Apple termékeknél ez az alapbeállítás, mert az drágább, ott alapból jár a nagyobb hamis biztonságérzet és a magasabb selfie faktor lehetőség.) Így Windows frissítéskor, újraindításkor meg kell adnia, amit mi és a gépe amúgy is tudunk: a jelszavait, digitális kulcsait. Ha csuklik ilyenkor, az azért van, mert kollégáink az Ön által kikapcsolt es letiltott notebook webkamerán és mikrofonon halljak és látják Önt, és az óriás kivetítőn nézve nagyot röhögnek az önelégült képén a hamis biztonságérzete miatt. A rendszeresen a háttérben öltözködő feleségére ígérjük, hogy nem végzünk lokális örömszerzést munkaidőben. Minden más azonos az előző beállítással. Kivéve, hogy az Ön rejtetten rögzített videó tevékenységét nem folyamatosan, csak a bestof részeket vetítjük ki az előző pont választása esetén. ( Hé, szoftver fejlesztő és tesztelő kollégák, ezt majd töröljétek ki, ha végre a lusta marketing és jogi részleg megírja ide az elvárt kamu szöveget! Amíg ez nincs kész, addig az előző beállítás változatlanul az alap. )
  • * Nem szeretném, hogy az adataimhoz más is hozzáférjen egyszerűen, így a Windows-t eltávolítom a gépemről, és egy saját, teljes egészében auditált operációs rendszert és hozzá egyedi titkosítást írok magamnak assembly nyelven, de előtte egy megbízható szoftverfejlesztő környezetet, binárisan. A kész operációs rendszert soha nem fogom semmilyen hálózatra csatlakoztatni. Az áramellátást is akkuról vagy dízel aggregátorról oldom meg a maximális biztonság érdekében, valamint semmilyen külső adatforrást nem kapcsolok a gépre soha. Így mindenki más kénytelen az Intel processzorokba lévő backdoort, a HDD és egyéb beépített alkatrész firmware-ben szereplőt használni, hogy az adataimhoz férjen. Nekik 2 kattintással több a teljes hozzáférés. Nekem azért több idő ennél, hogy elkészüljek, talán 20 év.
  • * Nem szeretném, hogy az adataimhoz más is hozzáférjen. Így mostantól örökre elvonulok egy emberektől mentes helyre, egy óriási Faraday-kalitkába, ott megtervezem magamnak a megbízható számítógépes architektúrát, az összes alkatrészt, legyártom magamnak, majd ha kész az összes saját hardver, az előző pontban ismertetett módszerrel írok rá operációs rendszert és titkosítót. Aztán, ha minden kész, akkor felülvizsgálom a biztonsági kockázatokat, és addig inkább nem tárolok személyes adatot a gépen.

Sakk-matt,
KaTT :)

A privát szféra adatainál számomra nem az a kérdés, hogy nagyon kritikus-e, és azért férnek hozzá, vagy azért akarnak hozzáférni és megszerezni. Itt szerintem az elv a fontos, hogy milyen alapon és joggal látják a TE privát képeid, adataid, amihez nem járultál hozzá, függetlenül attól, hogy mennyire szokványos vagy pikáns képek.

Sakk-matt,
KaTT :)

A jogosultság része számomra se kérdés. Akkor se jogosultak látni, ha semmivel nem védem a gépemet.

Viszont nem csak a jelszó "védheti" a gépet, hanem az adatok kritikusságának/fontosságának a szintje is. Ha például kizárólag rosszul sikerült tájfotókat tárolok rajta, akkor az nem kritikus adat, és akkor sem kíváncsi rá senki ha nem védem jelszóval. Ha a saját privát e-mailjemet tárolom rajta akkor már lehet hogy a volt barátnőmet érdekli, de egy szimpla jelszó elég. Ha rakéta indítókódokat tartalmaz, akkor az már annyira kritikus adat, hogy az is kíváncsi rá akinek nincs rá közvetlen szüksége (csak a pénzre amit kaphat érte ha eladja).

Szóval ez nem az én számomra kérdés, hanem a potenciális támadók számára. Minél bizalmasabb/nagyobb értékű az adat, annál nagyobb védelem indokolt. Akinek szinte korlátlan hatalom (pl. hozzáférés hw backdoor-hoz) van a kezében, az nem használja ész nélkül. Túl drága és kockázatos a megszerezhető információ értékéhez képest. Az én esetemben hamarabb célra vezetne egy ál-barátnő felbérlése és az adatok megszerzése az emberi gyengeséget kihasználva, mint feltörni egy ilyen titkosítást.

Kivéve persze ha "nagy testvér mindent figyel" - azaz ha ok nélkül gyűjtik az adatot mindenkiről "majd jó lesz valamire" alapon. Azt pedig pontosan tudjuk, hogy létező jelenség. Ebből a szempontból számomra a Windows sosem lesz megbízható, mert zárt forrású, és nem átlátható.

"legyen szíves ne mentse ki a titkosítatlan kulcsomat a lemezre "mert az nekem kényelmes lesz". Már az ötlet is abszurd."

Egyetértek veled, hogy ha okkal titkosítasz, akkor nem szép dolog egy boot erejéig sem eltárolnia. De nem teljesen abszurd az ötlet. Legalább annyira nem, mint a jelszókezelő alkalmazások, amik netre szinkronizálnak.

Ha értelmesen meg van csinálva a funkció, és tényleg csak a következő boot erejéig kerül letárolásra a kulcs, és a boot manager vagy akármi felhasználás után törli, akkor talán (ismétlem, talán) az a minimális kockázat amit rejt megér annyit, cserébe azért hogy ne kelljen négy bootot végigülnöd. Vagy nem, mások vagyunk, igazából a rendszer megkérdezhette volna tőled, hogy akarsz-e ilyet.

"Egyébként meg a következőt is jelenti: hozzá akarok férni egy géphez. Megvárom amíg elkezd frissíteni (tegyük föl hogy ezt megtehetem), akkor kirántom belőle a vinyót és máris megvan a kulcs. Ugyebár"

Lehet én látom rosszul, meg aztán felhasználási módtól/helytől is függ a dolog, de olyan elhanyagolhatóan kis esélyét látom annak, hogy valaki pont ki tudja számítani mikor frissít a géped, ott lenni abban a pár másodpercben miután a kulcs rögzül, és mielőtt törlődik, és hozzá is férni a gépedhez, hogy eltávolítja a vinyót, hogy emiatt aggódni tényleg kár. Ha van lehetőséged egy gép mellett várakozni, megvárni egy frissítést, és kirántani a vinyót, akkor van lehetőséged egy hardveres keyloggert is becsempészni, vagy épp a futó rendszerbe becsempészni egy backdoort.

> De nem teljesen abszurd az ötlet.

Egy titkosító szoftvernél, ha a megkérdezésem nélkül csinálja akkor de, nekem abszurdnak tűnik. De igazad van, ez is szubjektív vélemény. A legtöbb ember ezt bizonyára kis kockázatnak tartja, és bizonyára igazuk is van. De én továbbra is sérelmezem. :-)

> Legalább annyira nem, mint a jelszókezelő alkalmazások, amik netre szinkronizálnak.

A normális jelszó kezelő alkalmazások mester kulccsal védett és titkosított adatot tárolnak, amikhez nekik sincs hozzáférésük. Ez a kulcsok BIZTONSÁGOS tárolása, amihez a felhasználó előzőleg HOZZÁJÁRULÁSÁT adta.

Ezzel szemben a "kérdezés nélkül TITKOSÍTATLAN módon eltárolom egy időre a kulcsodat, mert azt hiszem hogy neked fontosabb a kényelem mint a biztonság" az nem egy olyan dolog, amihez én hozzájárulásomat adtam.

Sőt ahhoz se adtam, hogy a videó nézés közepén újraindítsa a gépemet, és 15 perc telepítgetés után 3 programra kiírja hogy nem kompatibilis az új verzióval, plusz átállítja a programok hozzárendeléseit arra ami neki tetszik (azokat is amik kompatibilisek). Nehogy még aznap be tudjam fejezni azt a videót. Ez mondjuk egy másik téma, nem ide tartozik. De a fenti bizonsági bakin felül a frissítés elrontotta az egész estémet és gyakorlatilag használhatatlanná tette a gépet (arra a célra amire én használtam).

"kérdezés nélkül TITKOSÍTATLAN módon eltárolom egy időre a kulcsodat"

Egyébként honnan tudod, hogy így van? Nem vagyok naív, hogy jóindulatot feltételezzek az MS-től, de tudjuk hogy működik pontosan ennek a kulcsnak a kezelése ebben az esetben?

Ha újrainduláskor bejön a BIOS képernyő, akkor a memóriának lőttek. De valahogy mégis elindult a gépem, elindította a third party programokat és beolvasta a felhasználói fiókok listáját. Tehát valahonnan mégis megvolt neki a titkosítási kulcs. De nem a memóriából. Akkor meg honnan? Vagy a lemezen tárolta el, vagy valami más helyi tárterületen. És nem, nem titkosítva. Vagy ha igen, akkor az ahhoz tartozó titkosítási kulcs volt neki eltárolva titkosítatlanul stb.

Aszongya

BitLocker provides the most protection when used with a Trusted Platform Module (TPM) version 1.2. The TPM is a hardware component installed in many newer computers by the computer manufacturers. It works with BitLocker to help protect user data and to ensure that a computer has not been tampered with while the system was offline.

-- https://technet.microsoft.com/en-us/library/cc732774

Nem ismerem ezt a TPM dolgot, de itt lehet a kutya elásva.

( mrceeka v | 2016. 10. 26., sze – 20:06 )

A Bitlocker védelme felfüggeszthető. Ezalatt nem a jelszavad kerül eltárolásra tudtommal, hanem a titkosítási kulcs nem lesz védve jelszóval.

Üdv,
Marci

Így van, furább dolgoknál (BIOS frissítés) rutinszerűen kapcsoltam ki.

manage-bde -protectors -?

-disable Suspends protection. Allows anyone to access encrypted data by
making the encryption key available unsecured on disk. No key
protectors are removed. If the optional RebootCount parameter
is not specified, BitLocker protection of the OS volume
automatically resumes after Windows is restarted.
If a RebootCount parameter is specified, BitLocker protection
of the OS volume will resume after Windows has been
restarted the number of times specified in the RebootCount
parameter.

( eax | 2016. 10. 26., sze – 21:36 )

link

A masodik lepes utan nem veletlenul nem az utolso jon.

( gelei v | 2016. 10. 27., cs – 01:53 )

Fel lehet függeszteni a BitLocker működését. Én például az EMET telepítésekor szoktam ezzel találkozni; újraindítás után újra rendesen működik.

A Bitlocker (úgy általában a lemezek titkosítása) arra való, hogy fizikai hozzáférés esetén védje az adatokat.

Amikor frissít a WU, te vagy a gépnél, tőled nem kell védeni talán :)

Ettől függetlenül kérhetne persze jelszót, de úgy nem lehetne felügyelet nélkül automatikusan frissíteni, ami meglehetősen kényelmetlen.

Már elnézést, de aki lemez szintű titkosítást kapcsol be, annak - teljesen egyértelműen - a biztonság fontosabb, mint a kényelem.

Szóval az lenne a minimum, hogy megkérdezi: "szerentéd ha kényelmi okokból a frissítés végéig kikapcsolnám a jelszavas védelmet?)" De ennek is kizárólag akkor lenne értelme, ha megkérdezné, hogy mikor frissíthet. Az én esetem mutatja (videó nézés közben magától újraindult), hogy igazából a telepítés simán elindulhat úgy is, hogy nincs senki a gépénél. Akkor pedig nincs kitől megkérdezni. Akkor pedig szerintem nagyon nem az kellene hogy legyen az alapértelmezett hozzáállás hogy "nosza kapcsoljuk ki a védelmet mert az úgy kényelmes". De ez még mindig csak az én szubjektív véleményem.

A biztonság feláldozható a kényelemért ha kérjük.

Másrészt, gondoljátok már végig. Ha ez az alapértelmezés, akkor gyakorlatilag nulla értéke van. Ellopják a gépet és megvárnak egy frissítést. Mondhatjuk, hogy az adat hozzáférés esélye tíz a sokadik hatványával nőtt, mivel nem egy kötet titkosítást kell támadni, hanem egy olyan folyamatot, amiben feloldják a kötet titkosítást.

Erre én is gondoltam, de ez így nem igaz. Ha ugyanis nem épp frissítés közepén lopod el a gépet, akkor "normál" módon indul, és be kell írni a jelszót. Ha nem tudod a jelszót, akkor nem boot-ol be, következésképp meg se próbál frissíteni, és nem lesz mit kivárni.

Pl?

http://www.pcworld.com/article/3117793/security/a-usb-device-is-all-it-…

De egyebkent arra celoztam, hogy a lock az nem titkositja a HDD+t, ha az nincs. Ha meg bitlocker van rajta hasznalva a HDD akkoris titkositva van amikor fut az OS.
A locknak semmi koze a bitlockerhez.

--

"You can hide a semi truck in 300 lines of code"

Nem, tenyleg nem.

A Bitlockerrol beszelgetunk, feltettem egy kerdest, ez meg lett valaszolva, koszonom.
Ez az USB-s cucc erdekes, valoban hordoz nemi biztonsagi kockazatot, de nem latom be, mi koze a Bitlockerhez. Meg csak gelei hozzaszolasara sem valasz ("fizikai hozzáférés (BitLocker, ugye) hiányában hogy kerülöd meg azt a glorified screensavert")

Egyebkent sem latom olyan katasztrofalis bugnak: ha fizikai hozzaferesed van a gephez, el tudod lopni az epp belogolt (lockolt) windows account NTLM hash-et. Annyival masabb mint egy live linux pl, hogy gyorsan es eszrevetlenul megteheted, ez valoban problema. Egyebkent AFAIK van ra megoldas (ha mas nem, group policybol), hogy letiltsd az automatikus hardverfelismerest / -telepitest.

Na de tényleg. Biztonsági rések vannak. Nem lehet kijelenteni 100% hogy egy lockscreen nem kerülhető meg. De mennyi esélye van hogy a fenti támadást beveti ellened akárki, hacsak nem nagyon fáj valami adatra a foga kifejezetten a te gépedről?

erre valo a 2factor auth. Tudom paranoia meg majd kiverik belolem de az egesz arra megy ki hogy ha ellopjak a kurva gepet akkor egyreszt ha ceges gep akkor ne tudjanak visszaelni a hozzaferesekkel es ne tudjak a gepet ahhoz hasznalni hogy betorjenek a rendszerbe illetve ha sajat gep akkor meg a szemelyes holmijaimon ne csamcsogjanak ismeretlenek.

According to Fuller, computers in a locked state still generate network traffic, allowing for the account name and hashed password to be extracted.

Azert en ezt nem neveznem irrelevansnak...

Én továbbra sem értem. A windows ok nélkül küldözgeti ki hálózatra a felhasználók hash-jeit? Vagy milyen network trafficról beszélünk?

Egyébként a fenti bug kikerülhető azzal, ha a windowsba bekerül az, hogy addig nem inicializál bedugott usb hálózati eszközöket amíg lockolva van a képernyő, nem?

( KaTT | 2016. 10. 27., cs – 08:27 )

Truecrypt eseten keri a jelszot mindig, frissites eseten is, hiszen ujraindul a gep.

Nagyon rugalmatlan vagy, a Bitlocker a te kenyelmed miatt tudja a jelszavad. O tudja, mi a jo neked.

A biztonsagi cegben is megbizol ugye, ha a bezart lakasodba ki-be jarkalnak, kulcs nelkul, ugye? Vagy nem? :)

Sakk-matt,
KaTT :)

Nem annyira jó a példád. Hogy egy bizalmat mire építesz, az messzebbre vezető kérdés.

Jelen esetben lehet hogy a Windows Bitlocker megoldása technikailag sokkal jobb és megbízhatóbb több szempontból (kód hibák, stb) mint a truecrypt és társai.

A probléma az alapértelmezéssel van a topic szempontjából szerintem.

Egyetértek, a bilocker nem tudja a jelszavamat. A titkos kulcsomhoz kellene hozzáférnie akkor, ha megadom a jelszót amivel hozzá tud férni. Ha a hozzájárulásom nélkül hozzáfér, akkor nem bízom meg benne.

"A kényelmem miatt" - ne ő döntse már el, hogy nekem a kényelem a fontosabb vagy a biztonság. Ha már teljes lemez titkosítást használok, akkor ne döntsön helyettem ilyen kérdésben. SOHA.

> A biztonsagi cegben is megbizol ugye, ha a bezart lakasodba ki-be jarkalnak, kulcs nelkul, ugye? Vagy nem? :)

Analóg módon, ha a hozzájárulásom nélkül járkálnak ki/be akkor NEM bízom meg bennük.

Egyébként kellő erőforrással vagy a következmények fölvállalásával nem csak egy biztonsági cég járkálhat ki-be a lakásba, hanem bárki. Akár én is bejuthatok szinte bárkinek a lakásába egy nyerges vontatóval, de ennek nem sok köze van se bizalomhoz, se az informatikához. Ugyan ez igaz az ilyen titkosításokra is: a kulcsot/jelszót birtokló személyt vagy személyeket el lehet rabolni, meg lehet zsarolni stb. Az emberi oldaláról nem akartam beszélni, ezen a fórmumon inkább az IT részére koncentrálok.

Akkor használj TrueCryptet, de tényleg. Vagy nekem igazából mindegy, használj, amit akarsz. De kérlek, ha nem ismered valaminek a működését, akkor inkább ne játszd a szakértőt.

> Truecrypt eseten keri a jelszot mindig, frissites eseten is, hiszen ujraindul a gep

Az én gépemen a BitLocker _soha_ nem kér jelszót, mégis megfelelően secure. Vajon hogy lehet ez?

pl igy :

The Full Volume Encryption Key decrypts protected volumes. It's stored in the Trusted Platform Module (TPM), which is part of a computer's hardware. If someone steals the whole machine, they have the TPM and the disk together. So if no PIN input or USB device presence is required, the thief now has full access to the machine. So in this case, BitLocker has done nothing to help you, right? Wrong.

BitLocker is designed to protect the data "at rest." In the scenario above, the thief would be able to turn the laptop on and the OS would boot, but it would boot into the normal Windows secure logon screen, at which point the thief wouldn't be able to do anything without logon credentials. If the thief tried to boot the machine from Linux or another OS to access the NTFS volume outside of Windows, the early Windows boot code that interacts with the TPM and decrypts the drive wouldn't be called, so volume would still be encrypted with BitLocker and unreadable.

Obviously, it's normally recommended that you use a PIN or USB key with part of the code, which would stop the OS from even booting. But don't think that BitLocker without these configured gains you nothing. You still protect the volumes from attack outside of the Windows OS and the intruders would only gain access to a logon screen with no credentials.

Mit is mondott a HUP uzemeltetoje nem olyan regen? Hjam megvan:

Gepet venni tudni kell :D

Amugy ne vedd bantasnak. En ertem a problemat es szerintem is kerdeznie kellene ezt vagy a beallitasokban (bitlocker setup) felhivni ra a figyelmet es opciokent jelolhetove tenni.

Nekem TPM van + HW kulcs a boothoz. Login meg smartcard.

Nem az NSA ellen hadakozok csak vannak olyan VPN hozzaferesek a gepen (amiket meg mind nyilvan fel kene torniuk) amivel rengeteg ugyfel adatahoz (tobb millio) lehet hozzaferni. Ha ellopjak a gepet ezt nyilvan szeretnem elkerulni addig is amig az account letiltasra kerul.

Erdemes lenne lecserelni a gepet amugy egy olyanra amiben van TPM.

> Akkor használj TrueCryptet, de tényleg.

Azt nem lehet. Windows 10-en a TrueCrypt nem alkalmas RENDSZER LEMEZ titkosításra. (Hogy miért abba most ne menjünk bele.)

> Az én gépemen a BitLocker _soha_ nem kér jelszót, mégis megfelelően secure. Vajon hogy lehet ez?

Ugye még mindig rendszer lemez titkosításról beszélünk. (Ha nem, akkor offtopic.)
A válasz: talán úgy hogy TPM-et és hardware kulcsot használsz. Vagy ha ezeket nem, akkor SEHOGY.