Wie unsicher ist Windows 8 Login?

Internet Internet Sicherheit
1

Hallo,

ich habe eine Frage zum Thema Windows 8 und Datensicherheit. Bislang kenne ich es von Windows 7, aber bei Windows 8 bin ich mir nicht sicher - über Infos & Tipps würde ich mich daher sehr freuen. Danke schon jetzt!

Bisher hatte ich einen Laptop mit Windows 7, dessen Festplatte inkl. Systempartition ich vollständig mit Truecrypt verschlüsselt hatte.

Nun habe ich einen Laptop mit Windows 8, bei dem wg. UEFI & GPT keine solche Komplett-Verschlüsselung mit Truecrypt möglich ist. Bit Locker ist bei Windows 8 nicht dabei, nur bei Windows 8 Pro.

Daher habe ich jetzt erstmal mit TrueCrypt einen verschlüsselten Container erstellt, der meine persönlichen Dokumente (Word, Outlook-PST-Daten etc.) enthält. Den kann ich mounten. Wer das Passwort nicht kennt, kommt zumindest nicht an diese Daten.

Aber meine beiden Fragen sind nun:

  1. Wenn Windows 8 im Energiespar-Modus oder Ruhezustand ist, dann ist ja eigentlich der TC-Container noch geöffnet. Wenn jetzt jemand den PC klaut, aber das Passwort für das Windows-Nutzerkonto nicht hat, kann er dann dennoch an die Daten im gemounteten TC-Container kommen? Oder würde das Windows 8 Benutzerkonto-Passwort davor schützen, und er müsste den PC z.B. neu booten (oder z.B. Windows „Reparatur“ auf Rücksetzen im Ursprungs-Zustand oder z.B. die Platte ausbauen), dann wäre ja der Container wieder geschlossen.

  2. Es gibt auch sensible Daten außerhalb des Containers, z.B. im Browser (IE oder Firefox) gespeicherte Passwörter, temporäre Dateien etc. Liegen diese im Klartext auf der Platte vor? D.h. wenn jemand den Computer klaut und das Windows 8 Benutzerkonto-Kennwort nicht hat, kann er dann dennoch (z.B. durch Windows-Reparaturkonsule oder zB Platte an anderen Rechner anschließen) an diese Daten kommen? Oder nur an einen Teil (z.B. Browser-Passwörter nicht, aber temporäre Dateien schon)?

Es geht mir jetzt nicht so sehr um einen Profi-Hacker mit unbegrenzten Ressourcen, so wichtig bin ich wirklich nicht :wink: Sondern eher um Gelegenheitsdiebe, die evtl den Rechner bei ebay verkaufen, wo dann jemand ausprobiert, ob er vielleicht noch an wertvolle Infos kommt.

Vielen Dank für Eure Antworten.

Viele Grüße
Frank

2

Moinmoin,

nimm doch Firefox Portable und Thunderbird portable und pack die in den Container. Dann sind deine Passworte geschützt.

LG
Andreas

3

Hallo Andreas,

vielen Dank für Deine Antwort. Das werde ich testen, damit wären zumindest die Browserpasswörter und E-Mail-Zugänge geschützt.

Allerdings sind diese Anwendungen ja leider auf dem Touchscreen nicht so gut nutzbar wie die Microsoft-Varianten.

Doch: Sind die Passwörter, Zugänge etc. denn überhaupt ohne Kenntnis des Kennworts für das jeweilige Benutzerkonto auslesbar? Oder legt Windows 8 diese geschützt ab?

Danke
und viele Grüße

Frank

4

Hmm, win8 ist ja noch recht neu, aber, …

bisher war es bei allen Windows-Versionen möglich, mit Hilfe von Utilities, die Passworte auszulesen. Ich bezweifle, dass MS daraus was gelernt hat.

Gruß
Andreas

5

da bring mir doch mal spasshalber ne quelle für, gerade für windows 7…

6

wieso grade für Windows7?

Es gibt Linux live CDs mit denen man das Admin-Passwort von verschiedenen Windows-Versionen löschen kann.

Es würde mich wundern, wenn MS es geschafft haben sollte, das zu verhindern.

LG
Andreas

7

wieso nicht windows 7? ich warte auf ne quelle, aus der hervor geht, das man das passwort auslesen kann.

btw, für das root password unter linux oder unix zu reseten reicht einfacher zugriff auf den rechner, bei apple reicht ne os cd.

es wäre schön, wenn du hier weniger raten oder vermuten würdest und mehr wissen…

8

Hallio,

wäre mir neu, oder meinst du das Auslesen der Passwort Hashes?

Fakt hingegen ist, daß daß das Zurücksetzen des Passwortes sehr einfach ist, das Cracken naturgemäß ein wenig bis deutlich aufwendiger (Passwortstärke!).

Entsprechend leistungsfähige Rainbowtables haben aber schon mal einen Umfang von rund 10.000 GB.

Grüße

fribbe

P.S.: Daten verschlüsseln!

9

Moinmoin,

Hier die gewünschte Quelle:
Versuch doch mal Google „Windows 7 Passwort reset“

oder
Google „Windows 8 Passwort reset“

LG
Andreas

10

Hi Frank,

Ich habe mehrere längere Antworten getippt und wieder verworfen, weil sie Dich nicht weiterbringen würden. Auch diese Liste mag Dich interessieren:

http://www.nirsoft.net/password_recovery_tools.html

viele gehen inzwischen nicht mehr, einige schon, aber darum gehts mir nicht.

Ich versuche den pragmatischen Ansatz. In jedem PC sind X Kennwörter, Zertifikate und andere sicherheitsrelevaten Daten gespeichert. Die Festplatte jeders PC ist mit relativ wenig Aufwand entweder über ein Hilfs-Boot Medium oder einen Zweitrechner auszulesen, und das ist auch gut so, denn wie viele geklaute PCs kommen auf wie viele, deren Daten man wegen Defekts retten muss, und wie soll ein PC einen Datenretter von einem Angreifer unterschieden können?

Windows hat keinen zentralen „hier speichert man alle Passwörter und Zertifikate und Keydateien aller Softwareprodukte, sei es Anmeldung, anderes Microsoft Zeugs oder Zeigs von irgendwem“ Passwortspeicher, jeder Programmierer tut sein Bestes, im Rahmen der Möglichkeiten, seine Passwörter irgendwo verschlüsselt oder wenigstens verschleiert zu speichern. Eigentlich weiß jeder dass man das nicht tun sollte, aber was soll man machen, wenn man so beschränkte User hat, die nicht einmal in der Lage sind, sich für 105 Webseiten 105 Passwörter auszudenken und zu merken? Also muss man - auf Userwunsch - Passwörter speichern.

Bedenke, dass viele technische Systeme das Anwenden von irreversibel verhashten Passwörtern wie es die Windows Kontenverwaltung macht technisch gar nicht zulassen, daher muss das Passwort zumindest innerhalb des Programms (z.B. Browsers) im Klartext vorliegen, und es muss irgendwo gespeichert werden, und wenns der Browser finden und entschlüsseln kann, dann kann auch ein Tool geschrieben werden das es auch kann. Oder man leimt den Browser, sodass er es freiwillig im Klartext ausspuckt. Wo überall solche Dateien mit solchen infos gespeichert werden weiß Gott allein, und das düfte sich auch ständig ändern. Hier Programm für Programm ständig von Hand nachzubessern (Das wäre schon möglich! Entweder durch listige Installation oder Konfiguration, oder bedenke die Möglichkeiten von NTFS, Dateien und Verzeichnisse über Reparse Points und Junctions woanders zu speichern als da wo sie zu liegen scheinen!), aber es wäre in irrer Aufwand (schon weil die Softwarehersteller die Speicherorte solcher Daten - warum wohl - nie offen dokumentieren und man sich das - wie ein Hacker - mühsam selber zusammenpfriemeln muss), und Du wüsstest nie, ob Du wirklich *alle* solchen Daten gefunden und umgebogen hast.

Daher geht - wenn Du Dich davor per Rundumschlag schützen willst - an einer Vollverschlüsselung der gesamten Platte kein Weg vorbei. Du kannst entweder den in vielen Business-Laptops eingebauten Plattenverschlüsslern vertrauen (was sich übrigens in den Anfängen solcher eingebauten Helfer auch schon mal als fatal erwiesen hat), oder Bitlocker einsetzen (W8 Pro) oder ein Dritthersteller Tool kaufen (Safeguard Easy und Konsorten, z.B.), aber das musst Du bezahlen.

Darüber dass Microsoft die meiner Meinung nach geniale Truecrypt Gratis-Lösung sabotiert hat kann man sich ärgern, es als leider unvermeidlichen Nebeneffekt von EFI abtun, oder eine paranoide Diskussion starten, oder man kann sich die Zeitverschwendung sparen.

Meiner Meinung nach kommst Du im Moment - wenn Dein Laptop keine Hardwareverschlüsselung anbietet, die Du geprüft und für gut befunden hast, um ein Upgrade auf W8 Pro mit Obolus an Microsoft nicht sinnvoll herum.

Oder Du bleibst bei Gratis-Truecrypt, dann musst Du allerdings in den sauren Apfel beißen und Sofware für Software durchsehen wo sie ihre sensiblen Daten speichert und diese dann in Deinen sicheren Truecrypt Hafen umleiten. Bei filebasierten Passwortspeichern sollte das kein unlösbares Problem sein (siehe oben), bei in der Registry gespeicherten Daten wirst Du keine andere Möglichkeit haben als der Verschlüsselung des Softwareherstellers zu vertrauen.

Gruss Armin.

11

Hallo,
es macht wohl einen Unterschied, ein Passwort auszulesen oder es zu resetten. Die Möglichkeit des Zurücksetzen wurde hier aber nicht in Frage gestellt.
Bei modernen Windowssystemen kann man Passwörter nicht einfach auslesen, allerdings den Hashwert. Aber der Hashwert eines ordentlichen Passwortes, die sich eines großen Zeichenumfangs bedient, ist auch mit Hilfe von Regenbogentafeln praktisch nicht knackbar, da deren Datenvolumen einfach in Abhängigkeit von Zeichenumfang und Passwortlänge unermeßlich groß wird. Bei einem gemischten Zeichenumfang (128) und einer maximalen Passwortlänge von nur 8 Zeichen ist die Tafelgröße „noch annehmbare“ 2 TB, aber auch auf einem schnellen Rechner kann man sich selbst solche einfache Tafeln nicht mehr in einer angemessenen Zeit erstellen. Sowas kann man sich aber für viel Geld kaufen, was strafbar ist. Jedes weitere Zeichen vergrößert die Tabellengröße um etwa das 128fache. Bei einer Passwortlänge von 12 Zeichen sind dies bereits etwa das 268 Millionenfache. Wer hat schon soviel Speicherkapazität? Unsere Freunde jenseits des großen Wassers?
Fazit: Nur einfache Passwörter lassen sich knacken. Das hat nichts mit dem Unvermögen von Microsoft zu tun, sondern das ist Mathematik. Begriffe kann man natürlich gegen ein Lexikon prüfen, das geht raztfatz!
Ordentliche Passwörter lassen sich dagegen nicht knacken. Die Wahrscheinlichkeit ist einfach zu gering. Wenn man an die Daten kommen will, macht dieser Ansatz daher auch keinen Sinn. Man kann bekannterweise das Anmeldpasswort resetten,. Damit kann man sich anmelden und ggf. im System gespeicherte Passwörter von Anwendungen, die wenig Wert auf eine gesicherte Ablage legen, prinzipiell ausspionieren. Für aktuellen Applikationen sind mir entsprechende Tools allerdings nicht bekannt. Das Ausspionieren ist aber auch nicht erforderlich, wenn z.B. bei E-Mail-Programmen das automatische Anmelden aktiviert ist. Zumindest für eine bestimmte Zeit kann der Datendieb dann auch solche Accounts missbrauchen. Noch schlimmer wiegt, der mögliche Zugriff auf vertrauliche Daten. Der einzige wirksame Schutz ist hier eine ordentliche Verschlüsselung. Ein bewährter Klassiker ist beispielsweise Truecrypt. Damit lässt sich sogar das Gesamtsystem wirksam schützen. In den Windows-Business- und Ulitmate-Versionen ist übrigens eine sichere Verschlüsselung beliebiger Ordner optional integriert. Da hilft auch das Zurücksaetzen des Adminpasswortes nichts.

Die größten Chancen hat man, indem man ein Passwort errät. Wie heißt das Lieblingshaustier, der Lieblingsfußballverein, die so geliebte Motorradmarke. Jedenfalls war ich damit bei meinen „Kunden“ bereits mehrfach erfolgreich.

LG Culles

12

moin,

  1. das sind keine quellen
  2. reset ist was anderes als ein passwort auslesen, das solltest du mittlerweile verstanden haben

hth

13

Die Frage war, wie unsicher ist das Windows 8 login

und nicht, kann man das Passwort ausspionieren.

Kann jemand, der sich meines Notebooks bemächtigt, auf meine Daten zugreifen? Ja, denn er braucht nur das Passwort zurücksetzen. Und das ist innerhalb weniger Minuten erledigt.

LG
Andreas

14

stimmt, das war die frage, nur du hast daraufhin das hier verkündet:

bisher war es bei allen Windows-Versionen möglich, mit Hilfe von Utilities, die Passworte auszulesen. Ich bezweifle, dass MS daraus was gelernt hat. … mehr auf http://w-w-w.ms/a4cdky

und die aussage ist halt komplett falsch!

hth

15

Hallo Armin,

vielen Dank für Deine sehr ausführliche Antwort. Damit hast Du mir sehr weitergeholfen.

Um eine Verschlüsselung werde ich somit wohl wirklich nicht herumkommen, wenn ich sicherstellen möchte, dass neben meinen Dateien (die ja im Container sind) auch evtl. Website-Passworter, die Outlook-Mailzugänge und ggf. vertrauliche Informationen in den temporären Dateien u.s.w. wirklich für Dritte unzugänglich bleiben.

Verschärftes Problem zeigt sich gerade beim Tablet: hier läuft auch Windows 8, aber es ist keine physische Tastatur vorhanden - und die Voll-Verschlüsselungssysteme (inklusive Microsofts eigenem BitLocker bei Win 8 Pro) unterstützen keine Touch-Eingabe bzw. bieten keine On-Screen-Tastatur.

Da bliebe wohl nur so etwas wie EFS (ohne Bitlocker).

Nochmals vielen Dank!

Viele Grüße
Frank