Paßwort aus RAM lesbar per Firewire

[MacMark]

@MacMark: Wie schaut es mit FileVault 2 aus, kommen sie auch an diese Passwörter? Und der Vorschlag von Rastafari, das Firmware Passwort zu setzen, erzielt die gewünschte Wirkung?

Meines Wissens werden für FIleVault die Login-Paßworte genutzt, also Toast. Habe leider keinen Firewire-PC, aber man kann ein Memory-Image auch anders erstellen.

 

[ImperatoR]

Was hat Firewire-PC mit Firmware-Passwort zu tun?

 

[Rastafari]

Firmware-Passwort gesetzt -> kein freier FireWire Zugang -> kein Auslesen des RAM.

 

[MacMark]

Was hat Firewire-PC mit Firmware-Passwort zu tun?

http://www.apfeltalk.de/forum/pa-wort-ram-t373339.html#post3457910

 

[MacMark]

… Ich poste mit dem nächsten Update Screenshots davon auf meiner Seite und poste hier den Link.

http://www.macmark.de/blog/osx_blog_2011-08-c.php

 

[Bananenbieger]

Natürlich muss das Passwort im RAM liegen. Schließlich wollen wir aus dem Schlüsselbund ja auch Informationen wieder auslesen.

 

[ImperatoR]

Oder man müsste halt ständig das Passwort eintippen.

Aber wohl die einfachste Lösung ist, dass Passwort zu verwerfen, sobald man den Benutzer wechselt bzw. nach Beginn des Ruhezustands/Bildschirmschoners (wobei der Bildschirmschoner dann abzuschalten ist, damit dieser nicht manipuliert werden kann) — weil so lange der Benutzer da ist, wird er es verhindern zu wissen, dass der Speicherinhalt geklaut wird oder es passiert wie in dem Comic von FrankR.

Sollte doch relativ fix implementierbar sein?

 

[toorox]

Hmm... Mir fehlt das know how um die Bedeutung deiner Erfahrung richtig beurteilen zu können. Wie handhaben das andere OS, wie z.B. Linux und Windows? Wie kann man am sinnvollsten diese Lücke schließen, damit meine ich in erster Linie, wie kann ich sicher gehen, dass wenn ich an der Uni eine Vorlesung halte, in der Pause das MBP verlasse... ausloggen?
Ruhezustand unterbinden und lieber komplett ausschalten?

 

[naich]

Natürlich muss das Passwort im RAM liegen.

Mir erschließt sich momentan nicht, wieso nicht einfach nur ein Hash ausreichen würde.

Aber wohl die einfachste Lösung ist, dass Passwort zu verwerfen, sobald man den Benutzer wechselt bzw. nach Beginn des Ruhezustands/Bildschirmschoners (wobei der Bildschirmschoner dann abzuschalten ist, damit dieser nicht manipuliert werden kann)

Das macht natürlich Sinn, wenn die Software weiß, dass nach wiederaufwachen das Passwort erneut abgefragt wird. Allerdings wird man dann evt. mit der "erst nach x Min Ruhezustand erneute PW-Eingabe"-Funktion Probleme bekommen.

 

[ImperatoR]

Allerdings wird man dann evt. mit der "erst nach x Min Ruhezustand erneute PW-Eingabe"-Funktion Probleme bekommen.

Warum sollte das ein Problem sein? Dann wird halt erst nach X Minuten das Passwort erneut gefragt und wenn nicht, bleibt es einfach im Speicher — so will es ja der Benutzer. Oder wo siehst du genau das Problem?

Wie handhaben das andere OS, wie z.B. Linux und Windows?

Ich vermute mal stark, dass es dort auch nicht anders gehandhabt wird. Aber interessante Frage!

Wie kann man am sinnvollsten diese Lücke schließen, damit meine ich in erster Linie, wie kann ich sicher gehen, dass wenn ich an der Uni eine Vorlesung halte, in der Pause das MBP verlasse... ausloggen? Ruhezustand unterbinden und lieber komplett ausschalten?

Laptop zuklappen und mitnehmen oder das Firmware Passwort setzen, somit sollte kein Zugriff auf den Hauptspeicher möglich sein.

Oder die Daten, die sehr wichtig sind in einen gesonderten Container (verschlüsseltes Diskimage) legen und das Passwort für diese natürlich nicht in den Schlüsselbund legen; dann musst du nur immer diesen Container auswerfen bzw. gar nicht erst mounten, wenn nicht benötigt.

 

[toorox]

Danke für die Hinweise! Also im Endeffekt wie gehabt..."MBP mitnehmen" und nicht unbeaufsichtigt stehen lassen.... das scheint der sicherster Schutz zu sein

 

[ImperatoR]

Da kann es schonmal nicht geklaut werden. Außer natürlich es ist ein (bekannter, vertrauenswürdiger) Aufpasser in der Nähe, aber dann zapft auch niemand den Hauptspeicher an.

 

[MacMark]

Natürlich muss das Passwort im RAM liegen. Schließlich wollen wir aus dem Schlüsselbund ja auch Informationen wieder auslesen.

Dazu muß das Paßwort nicht gespeichert werden. Rechte für irgendwas (beispielsweise Zugriff auf Keychain) werden über eine Liste von dafür nötigen Credentials definiert. Die Credentials werden eventuell durch Paßworteingabe oder ähnliches überprüft. Das System merkt sich die Credentials über eine variable Zeit. Paßworte braucht es nur zur Erstellung der Credentials. Vergleiche http://developer.apple.com/library/mac/#qa/qa1277/_index.html

Wenn trotz alledem Paßworte im RAM sind, sollten sie verschlüsselt sein.

 

[Bananenbieger]

Mir erschließt sich momentan nicht, wieso nicht einfach nur ein Hash ausreichen würde.

Einen Hash setze ich ein, wenn ich nur ein Passwort überprüfen will. Sobald ich mit dem Passwort arbeiten muss (sprich: Das Klartext-Passwort verarbeiten/senden/usw.), kann ich Hashes knicken.

Dazu muß das Paßwort nicht gespeichert werden. Rechte für irgendwas (beispielsweise Zugriff auf Keychain) werden über eine Liste von dafür nötigen Credentials definiert.

Und wie willst Du die Passwörter aus dem Keychain wieder entschlüsseln? Hier müssen ja verschlüsselte Passworte (AFAIK DES) wieder in Klartext verwandelt werden!

Wenn trotz alledem Paßworte im RAM sind, sollten sie verschlüsselt sein.

Und mit welchem Schlüssel werden die dann verschlüsselt und entschlüsselt? Hast Du mal geprüft, ob das Tool wirklich das Login-Passwort oder das Keychain-Passwort abgreift (letzteres kannst Du separat ändern).

 

[Rastafari]

Einen Hash setze ich ein, wenn ich nur ein Passwort überprüfen will.

Andersherum hätte es besser gepasst: Das Passwort wird nur solange benötigt, bis daraus der gewünschte Hash erzeugt wurde. Und zur Prüfung muss nur noch neuer Hash mit gespeichertem Hash verglichen werden.

Und wie willst Du die Passwörter aus dem Keychain wieder entschlüsseln?

Mit dem im Keychain gesicherten Hash, der als eigentlicher Schlüssel dient.

Hast Du mal geprüft, ob das Tool wirklich das Login-Passwort oder das Keychain-Passwort abgreift

Ich vermute (!) ganz was anderes. Ich fürchte, die greifen gespeicherte Tastenanschläge ab.
Wenn irgendeine der betroffenen Treiberschichten (USB/Blutooth/HID/Rattenschwanz...) das schon verbockt hat, dann ist später auf Verarbeitungsebene (dort wo ver/entschlüsselt wird) mit absolut gar nichts mehr ein Blumentopf zu gewinnen.
Und da wirds interessant, denn hier wirds hardwareabhängig.
Marc, ein nettes Experiment: Gib das Kennwort mal mittels Bildschirmtastatur ein, nicht am Mäuseklavier.

 

[MacMark]

Passware kann nichts abgreifen, weil sie in meinem Test gar keinen Zugriff auf den Opferrechner hatten:
• Ich habe mit dem MacMemoryReader (OS X-Freeware, nicht von Passware) das RAM gedumpt in eine Datei auf einen USB-Stick.
• Auf einem anderen Rechner, auf dem Passware lief, dann diese Datei auf dem Stick analysieren lassen.

Im Memory-Dump kann man kinderleicht die Daten per Hand finden: Eine Suche nach "password", "username" oder "SHA" bringt Dich unmittelbar neben Paßwort, Username oder Hash.

 

[ImperatoR]

Und mit welchem Schlüssel werden die dann verschlüsselt und entschlüsselt? Hast Du mal geprüft, ob das Tool wirklich das Login-Passwort oder das Keychain-Passwort abgreift (letzteres kannst Du separat ändern).

Ah, Mist, dann ist meine Lösung doch nicht ideal -- dann ist es leider doch nicht so trivial. Dann muss wohl irgendeine Hardwareeigenschaft des Macs als Schlüssel für die Passwörter herhalten, damit man sie verschlüsselt in den Hauptspeicher legen kann.

 

[Rastafari]

Dann muss wohl irgendeine Hardwareeigenschaft des Macs als Schlüssel für die Passwörter herhalten, damit man sie verschlüsselt in den Hauptspeicher legen kann.

Eine Hardwareeigenschaft, die man natürlich ebenfalls auf diese Weise erfagen kann... ...sehr clever.
Bilden sie bitte jetzt einen ganzen Satz aus: "Schild", "Bürger", "See", "Boot" und "Glocke". Dürfte nicht schwer fallen.

 

[ImperatoR]

Auf irgendwelchen Chips wird schon eine Zahl zu finden sein, die man nicht so leicht erraten kann. Serien-Nummer, CPU-Kennziffer, irgend so ein Krams…

 

[Rastafari]

Und wie glaubst du die lesen zu können ohne sie dazu im Arbeitsspeicher abzubilden?
Alles was deine Software weiss, weiss auch der entfernte Rechner. Kein einziges Bit bleibt verborgen.
(Ein Porno wirkt dagegen wie eine Modenschau der Winterkollektion - in Sibirien.)