Windows Vista Installations-DVD als kritische Reparaturfunktion – Teil 1
Die Windows Vista Installations-DVD bietet uneingeschränkte physikalische Zugriffsmöglichkeiten auf einen lokalen Rechner. Hierfür verantwortlich ist die Reparaturoption der Windows Vista Boot-DVD.
Themen dieses Berichts (was Sie erwartet):
Allgemein --> Sachverhalt / Unterschiede Windows Vista
Nutzung der Reparaturfunktion
Problematik --> Linux Boot-CD`s / Problematik Unterstützung / Problematik Verbreitung / Problematik Kontenverwaltung
Schutzmöglichkeiten --> BIOS-Passwort / Festplattenverschlüsselung
Interne Links
Allgemein:
Bereits in meinem Artikel vom 23.10.2006 habe ich auf die Problematik des Administratorkontos für die Wiederherstellung in Windows Vista hingewiesen! Den Artikel finden Sie hier --> http://www.security-dome.eu/Problematisch-Administratorkonto_fur_die_Wiederherstellungskonsole_1.html
Sachverhalt:
Bereits Windows XP bot eine Reparaturoption über die Installations-CD. Dabei gab es aber einen gravierenden Unterschied – zumindest bei der Version Windows XP Professional! Hier konnte bei der Installation von Windows XP Professional ein Passwort für das Wiederherstellungskonto angegeben werden. Wurde dies eingerichtet, fragte die Wiederherstellungskonsole von Windows XP vor dem Zugriff auf die Funktionen nach diesem Passwort.
Es gab entsprechend keine Zugriffsmöglichkeiten auf das Dateisystem und weitere Befehle, wenn das Passwort gesetzt wurde und beim Start der Reparaturfunktion nicht bekannt war.
Unterschiede Windows Vista:
Windows Vista fragt zum einen nicht nach einem Passwortschutz für das Administratorkonto zur Wiederherstellung. Zum Anderen ist uneingeschränkter Zugriff auf das Dateisystem und weitere Befehle möglich, auch wenn das Passwort gesetzt wurde!
Nutzung der Reparaturfunktion:
Um die Reparaturfunktion nutzen zu können, muss das Booten von CD über die BIOS-Einstellungen erlaubt sein bzw. das CD-Laufwerk als an erster Stelle der Bootreihenfolge stehen. Wenn nicht muss es im BIOS geändert werden. Danach startet erst mal eine eine Routine, die wie eine normale Installation von Windows Vista beginnt. Eine Installationsanleitung zu Windows Vista finden Sie unter --> „Interne Links“.
In dem ersten Fenster wird nach den Landeseinstellungen gefragt. Mit einem Klick auf „Weiter“ gelangen Sie auf das nächste Fenster:
Bereits das zweite Fenster ist schon das entscheidende. Wollen Sie die Reparaturfunktion nutzen wählen Sie „Computerreparaturoptionen“ aus.
In den weiteren Schritten wählen Sie die entsprechende Festplatte / Partition mit der Windowsinstallation aus, um im darauf folgenden Fenster weitere Optionen zur Reparatur zu erhalten. Interessant ist hier die Funktion „Eingabeaufforderung“, die eine Kommandozeile oder DOS-Box öffnet, in welcher umfangreiche Befehle ausgeführt werden können – und das unter Administrator-Rechten!
Die weitere Vorgehensweise und Beschreibung der einzelnen Funktionen inkl. Screenshots werde ich in einem zweiten Teil beschreiben --> siehe „Interne Links“.
Problematik:
Die Tragweite dieser Erkenntniss ist sehr umfangreich, auch wenn man sie etwas relativieren muss!
Linux Boot-CD`s:
Auch diverse Linux Boot-CD`s ermöglichen einen Zugriff auf das Dateisystem inkl. umfangreicher Funktionen. Allerdings ist der Zugriff auf Festplatten mit NTFS-Formatierung noch in der Betaphase und mit entsprechenden Risiken für die Daten verbunden. Auch ist der Umgang mit Linux-Boot CD`s allgemein weniger routiniert. Auch die Verbreitung solcher Boot-CD`s dürfte (zumindest in Zukunft) weniger stark sein, wie die Verbreitung von normalen Windows Vista Installations-DVD`s.
Problematik Unterstützung:
Die Windows Vista Reparaturfunktion dürfte alle bekannten Windows Betriebssysteme unterstützen (was ich aber noch genauer verifizieren werde):
Windows Vista (alle Versionen)
Windows XP
Windows 200x Server
Windows 2000
Problematik Verbreitung:
Da es keine unterschiedlichen DVD-Versionen für die unterschiedlichen Windows Vista Versionen mehr gibt, reicht auch eine gekaufte Windows Vista Home Edition für die Nutzung der Reparaturfunktion aus.
Problematik Kontenverwaltung:
Problem 1: das Administrator-Konto für Reparatur ist nicht passwortgeschützt und es gibt auch bei der Installation keine Möglichkeit, dies einzurichten
Problem 2: Das Administrator-Konto für die Reparatur erscheint nicht in der normalen Benutzerverwaltung
Problem 3: über das „MMC Snap-In“ „Lokale Benutzer und Gruppen“ sind alle Konten erreichbar, allerdings ist hier das Konto „Administrator“ für die Reparatur deaktiviert. Ein Passwort kann aber vergeben werden
Problem 4: Selbst bei deaktivierten bzw. passwortgeschützten Administratorkonten ist ein uneingeschränkter Zugriff über die Reparaturfunktion möglich
Problem 5: es stehen umfangreiche Funktionen zur Reparatur, aber auch zur Manipulation zur Verfügung (alle Funktionen und Befehle, die die Kommandozeile bietet)
Problem 6: alle Funktionen zur Datenmanipulation (auch Datendiebstahl) möglich inkl. kopieren, ändern, löschen, verschieben und umbenennen
Schutzmöglichkeiten:
Es bestehen zwei Möglichkeiten einen Rechner vor diesem lokalen, physikalischen Zugriff zu schützen:
BIOS-Passwort:
Als erstes sollte die Bootreihenfolge im BIOS so geändert werden, das kein Booten über CD, USB oder sonstiges möglich ist, sondern nur das Booten von der entsprechenden Festplatte. Im zweiten Schritt muss ein BIOS-Passwort vergeben werden, welches ein Ändern der BIOS-Einstellungen schützt.
Diese Möglichkeit sehe ich allerdings als nicht ausreichend an! Wer pysikalischen Zugriff auf einen Rechner hat, für den ist es wenig Arbeit, das BIOS-Passwort zurück zu setzen. Diese Alternative bietet also nur einen sehr geringen Schutz.
Festplattenverschlüsselung:
Die Einrichtung einer Festplattenverschlüsselung ist der einzige wirkungsvolle Schutz, sowohl vor Zugriffen über Linux Boot-CD`S, als auch die Windows Vista Installations-DVD.
Als Möglichkeiten bieten sich folgende Alternativen an:
BitLocker Laufwerkverschlüsselung (nur in Windows Vista Enterprise und Ultimate verfügbar)
Encrypting File System (EFS) ist in allen Windows Vista und Windows XP Versionen verfügbar
Verschlüsselung über Zusatzsoftware von Fremdherstellern
Interne Links:
Windows Vista Installations-DVD als kritische Reparaturfunktion – Teil 1: dieser Bericht
Windows Vista Installations-DVD als kritische Reparatrufunktion – Teil 2: folgt in Kürze
Vista – problematisches Administratorkonto: http://www.security-dome.eu/Problematisch-Administratorkonto_fur_die_Wiederherstellungskonsole_1.html
Vista – Installationsanleitung Teil 2: http://www.security-dome.eu/Vista_Installationsprozess_2.html
Weitere Informationen bzw. zur Diskussion dieses Beitrags besuchen Sie unser Forum – unter --> http://www.security-dome.eu/forum/pA/
Autor: Frank Richter
Copyright: Frank Richter – securITy-dome.eu
Erstellungsdatum: 18.06.07
Letzte Aktualisierung: 18.06.07