Sicherheit neue USB-Geräte

[ghostwriter2]

Hey Leute,
ich habe da ein Verständnisproblem. Möchte ein Sicheres System aufbauen (Bootlaufwerk verschlüsselt, Autorun aus, VPN...). Wenn ich aber z. B. eine Maus/Bluetooth Dongle usw. das erste mal anschließe kommt irgendwann die Nachricht "bla erfolgreich Eingerichtet".

Läd da Windows Treiber nach? Von wo? Kann ein manipulierter USB-STick oder Maus oder so eventuell über so einen Treiber das System angreifen? Kann ich das ausschalten das ich es manuell erlauben muss?
Oder Schreibt Windows einfach nur den Namen vom Gerät rein falls es mit den Standart-Boardmitteln lauffäig ist?

System:
Win10 Home, USB2 und 3 Anschlüsse (über die man das sytem nicht kompromittieren können soll), Standart Windows Firewall/Defender (0-Day lücke?).

Schonmal danke für die Antworten.

 

[andy_m4]

Na an erster Stelle würde ich ja auf Windows verzichten. Das ist nun mal das meistangegriffene System. Dementsprechend hat man allein durch Verzicht darauf schon einen großen Sicherheitsgewinn.

 

[ghostwriter2]

Äh sorry, mein Fehler.

Damit es nicht "von Mitbewohnern" angegriffen werden kann. Ich habe nix zu verbergen oder illegales zu machen, nur brauche ich für den Notfall einen Laptop bei dem ich weiß, das 100% keiner von denen irgend etwas installieren konnte. Selbst wenn er zugang gehabt hätte.

Und ja, ich weiß, sch. Situation. Aber darum geht es ja nicht.

 

[Hoppetante]

Die Treiber sind bei Windows schon dabei, nachgeladen wird wenn dann über Windows Update.

 

[ghostwriter2]

Ok, das ist schonmal gut.

Thx an euch beide

 

[mannefix]

Zugang bedeuted eigentlich Access, nun denn.
Am besten eine Hello Kamera kaufen. Die für den Administrator das System öffnet.

Die Treiber lädt er im besten Fall von der Festplatte, sonst aus dem Netz (wenn es bei der Installation angeschlossen ist).
Apple verzichtet auf USB (zumindest beim Iphone) weil das ja gerade das Einstiegstor zum Rechner ist.
Willst Du nicht das sie was sehen, oder dass Sie nichts installieren?

Sonnst die sensiblen Daten aufs Iphone.

100 prozentige Sicherheit gibt es nicht. Sogar eine (theoretische) Ende zu Ende Verschlüsselung wäre laut einem wissenschaftlichen Bericht korruppierbar.

Versuche Dein Problem genauer darzustellen,

 

[lokon]

Tails , nur von USB Stick booten ("leerer Laptop")

"Hardening Windows 10" liefert zb dies hier - da gibt es verschiedenste Dokumente / Richtlinien je nach "Sicherheitslevel".

ka ob defender for endpoint / "intune" mit wald und wiesen windows funktioniert - also ob die USB Richtlinien auch ohne cloud/admin management software eingeschaltet werden können

 

[madmax2010]

Da du gerade VPN sagtest: Ein VPN macht deinen Rechner nicht sicherer und schuetzt nicht vor ueberwachung

Ergänzung (8. April 2021)

Apple verzichtet auf USB (zumindest beim Iphone) weil das ja gerade das Einstiegstor zum Rechner ist.
Willst Du nicht das sie was sehen, oder dass Sie nichts installieren?

und stattdessen legen sie nackte PCIe lanes nach aussen.

Hat wie immer wenn man DMA an externen Schnitstellen hat super funktioniert.. https://media.ccc.de/v/31c3_-_6128_...bootkits_for_apple_macbooks_-_trammell_hudson
und weitere folgten

 

[PC295]

Hey Leute,
ich habe da ein Verständnisproblem. Möchte ein Sicheres System aufbauen (Bootlaufwerk verschlüsselt, Autorun aus, VPN...).

Da würde ich erstmal zu Pro-Version, da kannst du Bitlocker verwenden um das Systemlaufwerk zu verschlüsseln.

VPN schützt dich nicht vor Malware oder Hack-Angriffen bzw. Datenklau, wie gerne in der Werbung behauptet wird. Es ist nützlich um z.B. Ländersperren zu umgehen. Echte Anonymität und Datensicherheit sucht man bei den meisten VPN-Anbietern vergebens.

Wenn du die UEFI-Einstellungen mit einem Passwort schützt, kann der PC nicht per USB-Stick gebootet werden.
Die klassische USB-Autorun-Funktion bei der ungefragt Anwendungen ausgeführt wurden, gibt es wegen der Malwareproblematik schon seit Windows Vista nicht mehr.

Standart Windows Firewall/Defender (0-Day lücke?).

Sicher. Da ist der Defender nicht besser als andere Antivirenprogramme.
Dabei muss man aber nicht nur an das Antivirenprogramm denken, sondern auch an Browser und andere Anwendungen die mit dem Internet verbunden sind.

 

[Hayda Ministral]

Kann ein manipulierter USB-STick oder Maus oder so eventuell über so einen Treiber das System angreifen?

ja, kann er. Braucht er aber nicht, es reicht wenn er sich nach dem Einstecken als Tastatur und Maus ausgibt und ein Script ausführt.
Stichwort für google ist "BadUSB"

Es gibt für Windows auch Software die den USB-Port überwacht und alien Devices abwehren soll. Und Linux besteht das Problem natürlich auch, ist aber (imA) naturgemäß leichter anzugehen.

 

[madmax2010]

@Hayda Ministral bis hin zu BadUSB musst du garnicht gehen: https://shop.hak5.org/products/usb-rubber-ducky-deluxe

 

[ghostwriter2]

Hmm, wenn jetzt der Bildschirmschoner mit PWD drinnen ist, kann so ein tool auch was machen?

 

[madmax2010]

So ein tool ist zum eingeben, nicht zum auslesen. Windows Account Passwoerter sind allerdings auch schon immer mehr schein als sein.

Full Disk Encryption mit Veracrypt kann ich dir nahelegen

 

[gymfan]

nur brauche ich für den Notfall einen Laptop bei dem ich weiß, das 100% keiner von denen irgend etwas installieren konnte. Selbst wenn er zugang gehabt hätte.

Laufwerke per VeraCrypt verschlüsseln und im Notfall den Laptop von USB-Stick (oder besser einer CD-R/DVD-R) booten. Dann kannst Du immer noch auf die VeraCrypt-Sachen zugreifen und wenn Du den USB-.Stick nicht irgendwo rumliegen lässt, dann ist zumindest der sauber.

Irgendwie wird der Laptop vermutlich auch am Netzwerk hängen, oder gehst Du damit nur per Mobilfunk ins Internet? Auch damit können Dich unliebsame Mitbewohner angreifen.

Hmm, wenn jetzt der Bildschirmschoner mit PWD drinnen ist, kann so ein tool auch was machen?

Du weisst nie, welche 0-Day Lücken es gibt und wer die u.U. ausnutzen könnte. Also "einfach" einen Laptop mit wechselbarem Laufwerk kaufen (wenn es sowas heutzutage noch gibt, früher konnte man in den Slot für das DVD-Laufwerk mal Wechselrahmen einsetzen) und die SSD bei jedem Verlassen des Raumes ausbauen. Das sollte selbst Windows 10 im "Ruhezustand" aushalten.

 

[Hayda Ministral]

Hmm, wenn jetzt der Bildschirmschoner mit PWD drinnen ist, kann so ein tool auch was machen?

Ja. Windows reagiert auch mit aktiviertem Bildschirmschoner auf Änderungen der Hardware wie das Ein- und Ausstöpseln von UBS-Sticks, Tastaturen, Mäusen, Monitoren,...
Ab USB3, das hat mich selbst überrascht als ich mal über die Thematik geflogen bin, gibt es sogar DMA über USB.

 

[lokon]

Ab USB3, das hat mich selbst überrascht als ich mal über die Thematik geflogen bin, gibt es sogar DMA über USB.

"Kernel DMA Schutz ab 1803/1809"
Hier schreibt MS selbst noch USB Endgeräte sind nicht betroffen - allerding ist für Endanwender ein USB-C Anschluss mit Thunderbolt (=Verwundbar) vlt. eher "USB" - keine Ahnung wie aktuell das in Bezug auf USB4 ist - einige USB3 Controller sollen ja USB4 kompatibel sein. (firmware update)

 

[mannefix]

Da du gerade VPN sagtest: Ein VPN macht deinen Rechner nicht sicherer und schuetzt nicht vor ueberwachung

Ergänzung (8. April 2021)

und stattdessen legen sie nackte PCIe lanes nach aussen.

Hat wie immer wenn man DMA an externen Schnitstellen hat super funktioniert.. https://media.ccc.de/v/31c3_-_6128_...bootkits_for_apple_macbooks_-_trammell_hudson
und weitere folgten

Schöner Bericht fürs Mac Book. Der TE hat Windows 10... :-)

 

[lokon]

Der DMA Angriff gilt auch für andere "OS" im Prinzip. Die Lücke wurde eben "nur" 2014 am Mac demonstriert - war aber auch bei Intel / Windows früher bei Firewire vorhanden.
(zB "Forensic implications of using the firewire memory exploit with Microsoft Windows XP" : 2008)

Hier wird mit "Thunderspy" noch das Gehäuse geöffnet damit der Thunderbolt Controller zum unsicheren Modus gepatcht werden kann - dann erfolgt der Angriff und Win 10 ist unlocked:

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

dann länger im Vortrag vom rc3 / 2020: https://media.ccc.de/v/rc3-534188-when_lightning_strikes_thrice

 

[madmax2010]

Exakt Hardware Angriffe sind unabhängig vom betriebssystem @mannefix . Man kann auch über Apples hardware Design in den letzten Jahren denken was man will, aber die sind insgesamt schon etwas mehr darauf bedacht, ihre Hardware abzusichern. Als Thunderbolt erstmalig angekündigt wurde, war schon klar, dass es eine extrem dumme Idee ist PCIe Lanes nach außen zu legen. Damals wurde immer argumentiert 'Jaja, macht euch mal keine sorgen, das wird in der IOMMU abgefangen'. Heute, knapp 10 Jahre und gefühlt 100 Angriffe später zeigt sich: DMA an externen schnittstellen nix gut

 

[Hayda Ministral]

Die älteren unter uns erinnern sich noch an Firewire.