'browser in the box' (bitbox) wehrlos gegen keylogger

ein einfacher keylogger – ‘kidlogger’ – registriert sämtliche texteingaben in bitbox und erstellt screenshots –> fürs online-banking ist bitbox damit ungeeignet und die suggestion besonderer sicherheit (von BSI und sirrix) fahrlässig.

sirrix verweist auf die faqs: “Browser in the Box kann auch für Online Banking verwenden werden. Wichtig ist jedoch, die Anwendung nur für das Online Banking neu zu starten, da eventuell vorhandene Schadsoftware innerhalb der VM bleibt bis zu einem Neustart von Browser in the Box aktiv bleibt.”

ABER: auch nach dem bitbox-neustart kann ein in windows eingeschleuster keylogger alle eingaben in bitbox (benutzername und klartext-passwort) ungehindert auslesen. ausschließliches bitbox-surfen verhindert zwar den windows-trojaner; aber was ist mit dem email-programm und apps-aktualisierungen – und vor allem: wenn bank-benutzername und -passwort ohne mein wissen ausgelesen werden, droht wirklich gefahr.

auf das online-banking-risiko sollte von sirrix und vom BSI also unbedingt hingewiesen werden!

übrigens: avast-‘bankmodus’ erwies sich als immun gegen kidlogger.

mit freundlichem gruß – wadi

wadi schrieb:

ein einfacher keylogger – ‘kidlogger’ – registriert sämtliche texteingaben in bitbox und erstellt screenshots –> fürs online-banking ist bitbox damit ungeeignet und die suggestion besonderer sicherheit (von BSI und sirrix) fahrlässig.

Zum Vergrößern anklicken....

Die Sicherheit ergibt sich aus dem gehärteten Debian. Windows hat eine höhere Verbreitung und es existieren mehr Viren dafür als für Linux. Daher kann man von höherer Sicherheit sprechen als im Vergleich zu Windows. Kein System ist 100% sicher. Irgendeinen Tod muss man sterben. Wenn Du nun Bitbox nicht verwenden willst, dann nimm entweder eine Linux-Live-CD/Qubes OS oder lass das OnlineBanking bleiben. Fakt ist, dass es sicherer ist mit einer gehärteten VM zu surfen als nur mit einem normalen Windows.

wadi schrieb:

sirrix verweist auf die faqs: “Browser in the Box kann auch für Online Banking verwenden werden. Wichtig ist jedoch, die Anwendung nur für das Online Banking neu zu starten, da eventuell vorhandene Schadsoftware innerhalb der VM bleibt bis zu einem Neustart von Browser in the Box aktiv bleibt.”

Zum Vergrößern anklicken....

Ist bei einer Linux-Live-CD auch nicht anders.

wadi schrieb:

ABER: auch nach dem bitbox-neustart kann ein in windows eingeschleuster keylogger alle eingaben in bitbox (benutzername und klartext-passwort) ungehindert auslesen. ausschließliches bitbox-surfen verhindert zwar den windows-trojaner; aber was ist mit dem email-programm und apps-aktualisierungen – und vor allem: wenn bank-benutzername und -passwort ohne mein wissen ausgelesen werden, droht wirklich gefahr.

Zum Vergrößern anklicken....

Wenn der Host komprimitiert ist, dann ist natürlich auch der Gast komprimitiert. Ist logisch. Alleine schon, dass durch Bitbox Windowstrojaner nicht lauffähig sind, ist ein riesiger Vorteil. Ich verstehe nun nicht, was Dich hier so "empört"?

wadi schrieb:

auf das online-banking-risiko sollte von sirrix und vom BSI also unbedingt hingewiesen werden!

übrigens: avast-‘bankmodus’ erwies sich als immun gegen kidlogger.

mit freundlichem gruß – wadi

Zum Vergrößern anklicken....

Welches Onlinebankingrisiko? Was ist deine Alternative dazu? Da Du auf Avast verweist: Kann ich daraus schließen, dass Du denkst, dass ein Windows mit Avast eine sichere Alternative zu Bitbox darstellt? Der Einsatz von Bitbox ist definitiv sicherer für das Onlinebanking als der Einsatz von irgendeiner anderen Lösung unter Windows.
Beim Onlinebanking ist auch nicht das Problem, dass jmd. deine Zugangdsdaten hat, sondern eher, dass jmd. mittels abgephister TAN eine Überweisung durchführt.

Und was mit dem E-Mailpasswort ist? Man kann ja auch ein Thunderbird verwenden und kein Webclient. Wenn dann ein Trojaner in Bitbox unterwegs ist, werden die Zugangsdaten nicht abgefangen. So oder so besteht die Möglichkeit, dass es Malware gibt, welche das System infizieren kann und dann alles loggt. Es gibt bestimmt auch die Möglichkeit, den Avastschutz zu umgehen. Wie löchrig die Antivirenprogramme geschrieben sind, bekommt man ja schon mit, wenn man die News auffällig verfolgt und liest, was Sicherheitsforscher da alles finden.