Passware: Per FireWire gegen FileVault und TrueCrypt

Passware (Logo)

Der in Moskau ansässige IT-Forensik-Spezialist Passware behauptet, eine Software entwickelt zu haben, die mit FileVault oder TrueCrypt verschlüsselte Festplatten innerhalb von 40 Minuten entschlüsseln kann. Der Angriff funktioniert allerdings nur, wenn der betreffende Rechner über eine FireWire-Schnittstelle verfügt und nicht heruntergefahren, sondern nur in den Sleep-Mode geschaltet wurde.

Die neueste Version des "Passware Kit" kann nach Hersteller-Angaben den Arbeitsspeicher-Inhalt eines Computers per FireWire auslesen, den Speicher-Dump analysieren und aus diesem den Schlüssel für die Festplatten-Verschlüsselung auslesen. Angeblich kann die Software auch die Passwörter aus entschlüsselten Mac OS X Keychains auslesen. Bereits seit längerem kann die Software auch die bei Windows 7 Enterprise mitgelieferte Verschlüsselungs-Lösung BitLocker auf diesem Wege umgehen.

Passware vermarktet seine Forensik-Software primär an Regierungsbehörden, die Polizei und die Streitkräfte. Grundsätzlich kann aber jeder das rund 800 US-Dollar - etwa 600 Euro - teure Passware Kit kaufen.

Der Angriff funktioniert, wie die IT-Sicherheits-Experten des Sicherheitssoftware-Unternehmens Sophos anmerken, allerdings nur unter bestimmten Bedingungen. Zunächst einmal muss der Angreifer natürlich physischen Zugriff auf den Rechner haben und dieser über einen FireWire-Port verfügen.

Zudem funktioniert der Angriff nur, wenn der Rechner nicht komplett heruntergefahren wird. Jeder Nutzer von Verschlüsselungs-Lösungen müsse sich der Tatsache bewusst sein, dass diese angreifbar seien, solange die Schlüssel im Speicher lägen, betont auch Passwares Präsident Dmitry Sumin laut der Website AppleInsider. Dies ist aber kein spezifisches Problem von Apple oder TrueCrypt.

Update:

Wie uns mitgeteilt wurde, funktioniert die Software bei FileVault nur bei bestimmten Versionen. Ab Mac OS X 10.7.2 funktioniert der Angriff nicht mehr, da bei den neueren Versionen des Betriebssystems der Key nicht mehr ungehasht im Arbeitsspeicher abgelegt wird.

Vielen Dank an den Hinweisgeber!

Annika Kremer am Freitag, 03.02.2012 11:49 Uhr

tags Tags: kryptografie truecrypt verschlüsselung it-forensik passware filevault

Weitere interessante News

26 Reaktionen zu dieser Nachricht

Annika_Kremer am 09.02.2012 15:03:50

Lion wollte ich eh gelegentlich (habe schon extra Speicher nachgerüstet), wollte aber warten, bis es weitestgehend bugfrei ist. Die Verschlüsselung der gesamten Festplatte ist dabei aber weniger das Feature, das mich reizt. Wenn ich überhaupt was interessantes auf dem Rechner habe - in der Regel ...
PerfectPrivacy am 09.02.2012 14:10:49

@Annika_Kremer Die Option gibt es unter Snow Leopard mit FileVault nicht. Ich würde dir raten auf Mac OS X 10.7, Lion zu updaten. Da Lion FileVault 2 mitbringt, was im Gegensatz zu FileVault eine Vollverschlüsselung der Festplatte bietet. Unter Snow Leopard hast Du mit FileVault nur eine V ...
Annika_Kremer am 04.02.2012 17:30:04

@Annika_Kremer Welche Mac OS X Version setzt Du ein? Und gibt es die genannten Optionen wenn du in pmset manpage schaust? Ich nutze die Version 10.6.8 und "destroyfvkeyonstandby" steht nicht in der manpage (ansonsten scheint die Syntax korrekt zu sein). ...
PerfectPrivacy am 04.02.2012 17:00:32

@Annika_Kremer Welche Mac OS X Version setzt Du ein? Und gibt es die genannten Optionen wenn du in pmset manpage schaust? Gruss Patrick ...
NacktImAufZug am 03.02.2012 13:54:44

mit "truecrypt.exe /w /q" im Autostart sollte das Problem bei TrueCrypt beseitigt sein :coffee: Das wird nicht viel bringen, da das Passwort der Systemverschlüsselung unmöglich während des Betriebs aus dem RAM gelöscht werden kann, es wird ja die ganze Zeit über ...

weitere Kommentare lesen Nachricht kommentieren

News [Kurioses]

Apple filterte den Begriff "Jailbreak" im iTunes Store

Lars Sobiraj am 20.05.2012, 16:54 Uhr

Im US-amerikanischen iTunes Store wurden statt dem Begriff "Jailbreak" lediglich Sternchen zwischen dem Anfangs- und Endbuchstaben angezeigt. Davon waren letztlich alle Kategorien betroffen. So wurden neben Apps auch Klingeltöne, Podcasts, Musikstücke, ganze Alben und eBooks zensiert angezeigt. Laut den Untersuchungen von Shoutpedia waren mehrere Monate lang 95% aller Begriffe davon betroffen.

mehr mehr lesen...