![](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\")
In einem aktuellen Hintergrundartikel in seinem Blog f\u00fcr IT-Professionals geht Microsoft davon aus, dass die Pre-Boot-Authentifizeriung, ein anerkanntes Identifizierungsverfahren bei der Verschl\u00fcsselung von Daten, nicht mehr notwendig ist. Falsch, sagt der Security-Experte Garry McCracken, Vice President of Technology Partnerships bei WinMagic.<\/p>\n
<\/p>\n
Ich stelle den Text, der mir schon einige Tage vorliegt, mal hier im Blog ein. Dann k\u00f6nnen betroffene Administratoren entsprechend reagieren.<\/p>\n
In einem Hintergrundartikel<\/a> zur Verschl\u00fcsselung mit BitLocker geht Microsoft davon aus, dass die Pre-Boot-Authentifizierung, ein seit langem bekanntes und von Compliance-Richtlinien anerkanntes Identifizierungsverfahren, f\u00fcr die Festplattenverschl\u00fcsselung nicht mehr wirklich notwendig sei \u2013 solange andere Sicherheitsma\u00dfnahmen wie die Authentifizierung mittels TPM und Startup-Key umgesetzt werden k\u00f6nnen.<\/p>\n Garry McCracken, Vice President of Technology bei WinMagic widerspricht dieser Einsch\u00e4tzung Microsofts. Eine Verschl\u00fcsselung ohne Pre-Boot-Authentifizierung ist laut McCracken in keiner Form vertraulich. Ein Computer mit einem selbstverschl\u00fcsselnden Laufwerk (SED) oder softwarebasierter Festplattenverschl\u00fcsselung (FDE), die ohne Nutzer-Validierung direkt mit einem Benutzerkonto startet, legt Daten vollst\u00e4ndig offen und setzt sie dem Risiko zahlreicher Angriffe aus, darunter auch der k\u00fcrzlich wiederauferstandene Kaltstartangriff.<\/p>\n Dabei wird die Tr\u00e4gheit der Hardware, beispielsweise in Laptops, ausgenutzt. Unter bestimmten Bedingungen lassen sich aus der Hardware Verschl\u00fcsselungskeys auslesen und folglich auch die Daten auf der Festplatte. Ein Versuch von Pulse Security hat unl\u00e4ngst gezeigt, wie einfach sich das TPM mit Hardware f\u00fcr weniger als 50 Dollar und ein wenig Code-Wissen hacken l\u00e4sst. Ich hatte im September 2018 im Artikel Cold Boot-Attacke erlaubt Passwort-\/Datenklau<\/a> genau \u00fcber diesen Sachverhalt berichtet.<\/p>\n Die Pre-Boot-Authentifizierung stellt eine Umgebung au\u00dferhalb des Betriebssystems als vertrauensw\u00fcrdige Authentifizierungsebene zur Verf\u00fcgung. Sie verhindert, dass Daten vom Laufwerk \u2013 einschlie\u00dflich des Betriebssystems \u2013 ausgelesen werden, bis der Benutzer best\u00e4tigt hat, dass er die richtigen Zugangsdaten besitzt.<\/p>\n Ohne Pre-Boot-Authentifizierung wird zun\u00e4chst das Betriebssystem hochgefahren und erst dann der Benutzer zur Authentifizierung aufgefordert. Diese Option verl\u00e4sst sich auf die Betriebssystemsicherheit des Ger\u00e4ts, um sensible Daten zu sch\u00fctzen, was \u00fcbrigens nicht mit einer der bekanntesten Compliance-Richtlinien, dem PCI DSS, konform ist.<\/p>\n Etwas plakativer formuliert: Jemand, der behauptet, die Pre-Boot-Authentifizierung w\u00e4re unn\u00f6tig, behauptet, dass es sicherer ist, Daten vor der Authentifizierung offen zu legen oder zu entschl\u00fcsseln als danach.<\/p>\n Auch wird behauptet, dass die Pre-Boot-Authentifizierung nur notwendig ist, um sich vor RAM Angriffen zu sch\u00fctzen, bei denen der Angreifer direkten Zugriff auf den RAM hat \u2013 entweder physisch oder \u00fcber einen DMA-Port. Das ist ebenso falsch. Speicherangriffe sind nicht die einzigen m\u00f6glichen Angriffe.<\/p>\n Ist Windows erst gestartet und das Laufwerk \u201eentsperrt\", bietet die Festplattenverschl\u00fcsselung keinen kryptografischen Schutz mehr, der deutlich leistungsst\u00e4rker ist als die native Betriebssystemsicherheit.<\/p>\n Wenn man einen Computer automatisch bis zur Betriebssystem-Eingabeaufforderung booten l\u00e4sst, vertraut man ganz auf die Sicherheit von Betriebssystem und Ger\u00e4te-Hardware. Man muss sich darauf verlassen, dass der Anmeldebildschirm des Betriebssystems Angreifer fernh\u00e4lt und, dass das Ger\u00e4t keine Daten \u00fcber LAN, WAN oder andere Ports oder Verbindungen nach au\u00dfen l\u00e4sst. Und das, obwohl der Datenverschl\u00fcsselungs-Key im Klartext im Speicher vorhanden ist und alle Daten lesbar sind.<\/p>\n Moderne Betriebssysteme bestehen aus Millionen von Codezeilen und sind sehr komplex. Auch die Computer-Hardware entwickelt sich rasant weiter. Zusammen bilden sie eine riesige Angriffsfl\u00e4che mit unz\u00e4hligen potenziell unbekannten Schwachstellen. Es ist sehr schwierig, wenn nicht gar unm\u00f6glich, ein angemessenes Ma\u00df an Sicherheit zu schaffen, damit eine Authentifizierung vor der Entschl\u00fcsselung \u00fcberfl\u00fcssig wird.<\/p>\n Die Argumentation gegen die Pre-Boot-Authentifizierung scheint mehr auf Benutzerfreundlichkeit und hohen Gesamtbetriebskosten als auf Sicherheitsgr\u00fcnden zu beruhen. Kurz: Eine Authentifizierung mittels kryptischen PINs oder Startup-Keys, und das immer und immer wieder, ist sehr unkomfortabel, wenn diese von Hand eingegeben werden m\u00fcssen. Die Bearbeitung von Support-Anfragen von Nutzern, die ihren PIN vergessen oder ihren Startup-Key verloren haben, w\u00fcrde zu viel Zeit und M\u00fche kosten.<\/p>\n Das mag stimmen. Es bedeutet aber nicht, dass die Sicherheits- und Compliance-Standards gesenkt werden sollten, um die potenziell hohen Gesamtbetriebskosten der Pre-Boot-Authentifizierung zu vermeiden. Vielmehr sollten Unternehmen darauf achten, PBA-L\u00f6sungen einzusetzen, die diese Probleme bereits gel\u00f6st haben, etwa indem die PBA im Hintergrund und automatisiert, das hei\u00dft ohne manuelle Eingabe von PINs oder Einstecken von Startup-Keys, abl\u00e4uft.<\/p>\n Die Pre-Boot-Authentifizierung ist und bleibt ein wichtiger Bestandteil jeder Datenverschl\u00fcsselungsl\u00f6sung, so Mc Cracken. Garry McCracken verantwortet den Technologie-Bereich bei WinMagic und ist anerkannter Security-Experte mit jahrzehntelanger Erfahrung in der Verschl\u00fcsselung von Daten.<\/p>\n","protected":false},"excerpt":{"rendered":" In einem aktuellen Hintergrundartikel in seinem Blog f\u00fcr IT-Professionals geht Microsoft davon aus, dass die Pre-Boot-Authentifizeriung, ein anerkanntes Identifizierungsverfahren bei der Verschl\u00fcsselung von Daten, nicht mehr notwendig ist. Falsch, sagt der Security-Experte Garry McCracken, Vice President of Technology Partnerships bei … Weiterlesen WinMagic widerspricht<\/h2>\n
Warum ist die Pre-Boot-Authentifizierung wichtig?<\/h2>\n
Daten\u00fcbergriffe gehen tiefer als blo\u00df bis zur Hardware-Ebene<\/h3>\n
Sicherheit versus Benutzerfreundlichkeit<\/h2>\n