Securitythemen rund um VISTA - Teil 1

Vieles ist bei Vista neu (und auch besser als bei XP), wenn man es richtig einsetzt, trotzdem kann es noch Hürden geben, die eine (zu frühe) Einführung problematisch machen könnte. Es muss z.B. genau geprüft werden, ob bereits eingesetzte und erprobte Hardware (etwa Zutrittssysteme mit Chipcard, Token, RFID usw.) UND Software (wie spezielle VPN-Clients, lizensierte Antivirensoftware) nach der Portierung auf Vista (derzeit) weiter eingesetzt werden können.

BitLocker Drive Encryption (BDE) - der neue "Datensafe"

Wichtig ist - gerade im Securitybereich - testen, testen, testen!

Wie gefährlich zum Beispiel eine "PreBoot-Authentication" sein kann, haben uns Erfahrungen mit dem BitLocker im Beta-Test vor ein paar Monaten gezeigt: Bei der Wahl des "Key-Stores" haben wir als Schlüsselablage ein USB-Laufwerk gewählt. Nach der Erstverschlüsselung des Systemlaufwerks und einem neuerlichen Bootvorgang konnte der BitLocker-Boot-Loader das USB-Laufwerk nicht erkennen ... das wars ... also zuerst prüfen, ob der eingesetzte "Dongle" auch vom BitLocker erkannt wird.

BitLocker ist ein Feature für Microsoft Vista und Microsoft Longhorn, entwickelt um Platten sicher zu verschlüsseln. Zusätzlich führt BitLocker beim Systemstart einen Hardware-Integritätstest durch. Über Gruppenrichtlinien kann zwischen 128-Bit und 256-Bit AES-Verschlüsselung gewählt werden. Nach Aussage von Microsoft wird die Plattenperformance durch den Einsatz von BitLocker nur minimal beeinflusst.

Ehemals Full-Volume-Encryption/FVE genannt, verwendet BDE entweder ein 1.2 TPM (Trusted Platform Module) oder/und einen USB-Dongle ("Mehrfaktor-Authentifizierung"). BDE bietet ein Spektrum der Absicherung, das je nach Securitybedarf eingesetzt werden kann, zusätzlich zu einer User-basierten Verschlüsselung wie dem Encrypted Filesystem (EFS) wird bereits beim Boot-Vorgang eingegriffen. Damit sind Daten auch vor fremdem Zugriff sicher, wenn eine Festplatte zum Beispiel an ein anderes Betriebssystem angeschlossen wird.

Sollte ein System keinen (oder einen älteren) TPM haben, kann BitLocker in einer geringeren Sicherheitsstufe trotzdem operieren ("BitLocker even without TPM is a significant advance ...").

Derzeit unterstützt BitLocker nur die Verschlüsselung des gesamten Betriebssystemvolumes inklusive der Windows-System-Dateien für den "Ruhezustand". Der Benutzer kann zusätzlich das optionale EFS-Feature nutzen, um weitere Volumes zu schützen. Die Schlüssel von EFS werden standardmäßig auf dem Betriebssystemvolumen gespeichert. Wenn BitLocker dieses Volumen schützt, so ist auch EFS geschützt.

Für den Einsatz dieses TPM-Microchips ist natürlich ein passendes BIOS notwendig, es muss das "Static Root of Trust Measurement" unterstützt werden, definiert von der "Trusted Computing Group". Spezifikationen dazu sind zu finden unter: http://go.microsoft.com/fwlink/?LinkId=72757

Bedingt durch dieses "Default-Angebot" von Vista gibt es noch eine Reihe von Problemen bei Fremdherstellern, die ihre USB-Token bei XP-Systemen zur Plattenkryptisierung anbieten.

Zu beachten ist, dass ein zentrales Backup & Restore per Active-Directory mit keinem Windows-Server älter als Windows Server 2003 SP1 erfolgen kann. Für spezielle Zwecke (neues Aufsetzen eines Computers) kann der Administrator nach einem TPM-Backup den TPM wieder auf "factory-defaults" setzen, ein Backup des Recovery-Passworts (in der Geschäftsleitung) für die BDE wäre sinnvoll, damit firmenkritische Daten im Notfall nicht verloren gehen.

---

 

Dr. Manfred Wöhrl ist seit mehr als 25 Jahren im Bereich der EDV mit den Spezialgebieten Computervernetzung und Security (CCSE - Checkpoint Certified Security Engineer) tätig. Er ist Lehrbeauftragter an der Wirtschaftsuniversität Wien, Vortragender der Donau-Universität in Krems und Geschäftsführer der R.I.C.S. EDV-GmbH (Research Institute for Computer Science, www.rics.at), spezialisiert auf Securitychecks und Security-Consulting. Dr. Wöhrl ist Vortragender und Betreuer bei einer Reihe von Seminaren und Tagungen und gerichtlich beeideter und zertifizierter Sachverständiger. Manfred.Woehrl@rics.at

http://www.rics.at/