BIOS-Passwörter und Sicherheit

[Krause]

Hallo,

ich bin immer noch auf dem Stand, dass BIOS-Passwörter grundsätzlich unsicher seien, weil es sog. Masterpasswörter gibt, mit denen man ins BIOS kommt, auch wenn der Benutzer ein anderes Passwort vergeben hat.
Nach einigem Suchen im WWW habe ich allerdings das Gefühl, dass da auch eine Menge Unsinn erzählt wird. Zum einen sind Seiten, die Masterpasswörter erklären und aufzählen, immer schon ein paar Jahre alt. Und zum anderen hat mich der folgende Forumseintrag stutzig gemacht:

---
Ihr habt's wohl immer noch nicht verstanden... Ein Masterpasswort funktioniert deshlab, weil es die selbe Prüfsumme erzeugt wie ein von BIOS-Herstellern und OEM vordefiniertes Passwort. Es nützt also nur was, wenn ein Passwort bereits beim Neukauf festgelegt war. Wenn z.B. der OEM Dell bei 'nem Award-Bios das Standardpasswort AWARD_SW reingemacht hat, dann funzen neben genau diesem auch alle anderen mit der gleichen Prüfsumme, z.B. lkwpeter. Solche Passwörter findet man realtiv leicht, denn der Verschlüssleungalgortihmus ist nix weiter als CRC16. Es gibt zigtausende Möglichkeiten, aber lkwpeter ist eine der einfachst zu merkendsten. Und deshalb heissen sie "Masterpasswörter".

So, und wenn du nun selbst ein neues Passwort festlegst, erhältst du in aller Regel eine neue Prüfsumme und keines der OEM-Passwörter oder deren Prüfsummen-Äquivalente wird funktionieren.

Du kannst aber, wenn du noch booten kannst, mit 'nem einfachen Proggi den CMOS-Inhalt auslesen und dort die CRC16-Prüfsumme rausziehen. Daraus ein gültiges Passwort zu berechnen ist heutzutage das Hello-World bei angehenden Kryptographie-Spezialisten. Etwa 30 Zeilen QBASIC-Code bzw. 16 Zeilen in C++.

Alternativ kann man auch einfach diese Prüfsumme auf 0 setzen und das ganze wieder in den CMOS schreiben. Voila, das Passwort ist weg.

Wenn du nciht mehr booten kannst, dann helfen dir also auch keine Masterpasswörter mehr was und du musst zwangsläufig den CMOS hardwaremäßig löschen.
---

Quelle: http://www.nickles.de/c/a/forum2-537541020.htm

Zusammengefasst hieße das, wenn der Benutzer ein neues Passwort für sein BIOS festlegt, dann funktioniert das Masterpasswort sowieso nicht. (Oder habe ich das falsch verstanden?)
Will man seinen Rechner also gegen Manipulationen sichern, muss man darauf achten, dass immer zuerst von der Festplatte gebootet wird, dass man ein BIOS-Passwort vergibt und den Administrator- bzw. Root-Account mit Passwort schützt (so dass keiner mehr mit irgendeinem Tool das CMOS auslesen kann - oder geht das trotzdem noch?).
Und darauf achten, dass keiner das Gehäuse öffnet, um die Batterie zu entnehmen, Festplatte auszubauen, etc.
Bei heutigen Laptops ist das mit den Passwörtern m.W. anders als bei normalen PCs, da die BIOS-Passwörter da auch als Diebstahlschutz eingesetzt werden.
So, ist das jetzt der aktuelle Stand der Technik oder sind da noch Fehler drin?
Bitte ggf. um Korrekturen. ;-)

Danke
Jens

[Rafael]

Meines Wissens stimmt das, was du bezüglich der Prüfsummen ohnehin gepostet hast. Beachte aber, dass jemand, der wirklich an deinen Rechner will nur für einige Sekunden deine BIOS-Batterie ausbauen muss und erst dann bootet. Im vergleich zum einlegen einer bootfähigen Live-CD um an deine Daten zu kommen benötigt man dafür nur wenige Sekunden.

[Sven Rautenberg]

Moin!

ich bin immer noch auf dem Stand, dass BIOS-Passwörter grundsätzlich unsicher seien, weil es sog. Masterpasswörter gibt, mit denen man ins BIOS kommt, auch wenn der Benutzer ein anderes Passwort vergeben hat.
Nach einigem Suchen im WWW habe ich allerdings das Gefühl, dass da auch eine Menge Unsinn erzählt wird.

Tatsächlich hängt die Sicherheit so eines Passwortes ganz schlicht und einfach davon ab, wie sie konkret realisiert ist.

In den alten BIOSsen ist es tatsächlich so, dass - egal welches Userpasswort gesetzt wurde - immer auch ein weiteres Masterpasswort funktionierte, um die Abfrage erfolgreich zu durchlaufen.

Ist ja auch logisch, warum BIOS-Hersteller sowas einbauen: Weil durch Löschen des CMOS-RAMs das User-Passwort sowieso rücksetzbar ist, ist sowieso keine Sicherheit gegeben - dem Servicepersonal hingegen wird durch das Masterpasswort das Leben erheblich erleichtert. Denn nicht immer ist das CMOS-RAM leicht und schnell löschbar (neuere Mainboards haben dafür extra Jumper, die man nur kurz setzen muß). Außerdem kostet sowas Zeit, und zerstört auch alle anderen BIOS-Einstellungen.

Da das Passwort-Feature allerdings mit Bekanntwerden der Masterpassworte ziemlich sinnlos geworden ist, werden aktuelle BIOSse unter Umständen keine derartigen Hintertüren mehr anbieten.

Und zum anderen hat mich der folgende Forumseintrag stutzig gemacht:

Dieser Forumseintrag ist halbrichtig. Korrekt ist, dass es zu sogenannten Kollisionen kommt, wenn ein Passwort nur als Prüfsumme gespeichert wird, und die Zahl der Passworte größer ist als die Zahl der unterschiedlichen Prüfsummen. Nur dann kann man Passworte finden, die nicht dem Original entsprechen, aber die gleiche Prüfsumme haben - und mit denen man sich ebenfalls einloggen kann.

Kritisch sehe ich die Behauptung, es würde CRC16 zum Einsatz kommen. Das mag für manche BIOSse vielleicht stimmen, für andere nicht. Da das BIOS-Passwort in der Länge begrenzt ist (oft nur 8 Zeichen), spricht eigentlich nichts dagegen, das Passwort nur verschleiert oder gar im Klartext im CMOS-RAM zu speichern, und dann eben direkt mit der Benutzereingabe zu vergleichen.

Falsch ist die Behauptung bzw. deine Schlussfolgerung, durch das Setzen des Userpasswortes würde das Masterpasswort außer Kraft gesetzt.

Falsch ist auch diese Behauptung:

Ein Masterpasswort funktioniert deshlab, weil es die selbe Prüfsumme erzeugt wie ein von BIOS-Herstellern und OEM vordefiniertes Passwort.

Der Passwortvergleich in einem BIOS läuft ja gerade so ab:

if ($eingabe == $userpasswort) OR ($eingabe == "festesMasterPasswort")
then BOOT_SYSTEM

Das feste Masterpasswort steht unveränderlich im BIOS-Programmcode.

Will man seinen Rechner also gegen Manipulationen sichern, muss man darauf achten, dass immer zuerst von der Festplatte gebootet wird, dass man ein BIOS-Passwort vergibt und den Administrator- bzw. Root-Account mit Passwort schützt (so dass keiner mehr mit irgendeinem Tool das CMOS auslesen kann - oder geht das trotzdem noch?).

Falsch.

Wenn du verhindern willst, dass sich jemand an deinen Daten zu schaffen macht (die Hardware lassen wir mal außer acht, die ist im Zweifel wiederbeschaffbar), dann mußt du deine Daten verschlüsseln.

Sämtliche BIOS-Sicherheitsmethoden können ja nicht verhindern, dass jemand einfach die Festplatte ausbaut. BIOS-Passworte stehen außerdem im zweifelhaften Ruf, durch Masterpassworte überwindbar zu sein (wenn du für dein aktuelles BIOS noch kein Passwort gefunden hast, liegt das vielleicht nur daran, dass noch keines bekannt geworden ist - ein besser informierter Insider könnte es aber wissen).

Zur Datenverschlüsselung gibt es diverse Programme. Eines, das auch hier im Forum immer wieder erwähnt wird, um komplette Partitionen zu verschlüsseln, an die du dann erst nach dem OS-Booten durch Passworteingabe herankommst, ist TrueCrypt.

Und darauf achten, dass keiner das Gehäuse öffnet, um die Batterie zu entnehmen, Festplatte auszubauen, etc.

Das würde bedeuten, dass du 24/7 wachsam neben deinem Rechner sitzen mußt, damit niemand sich an ihm zu schaffen machen kann. Wie lange hälst du es ohne Schlaf aus? ;)

Bei heutigen Laptops ist das mit den Passwörtern m.W. anders als bei normalen PCs, da die BIOS-Passwörter da auch als Diebstahlschutz eingesetzt werden.

Laptop-Festplatten (es ist aber nicht auf diese begrenzt, sondern generell ein Feature im ATA-Standard) besitzen ein leider wenig bekanntes Feature, intern selbst eine sichere Verschlüsselungsmethode zu kennen, die die Inhalte der Platte 100% gegen Fremdzugriff ohne Passwort absichert.

Das Problem dabei ist die Bekanntheit. Wer einen bislang ungesicherten Laptop mit einem HD-Passwort versieht, nimmt damit praktisch alle Daten in Geiselhaft. Dieses Passwort kann auch von einem Trojaner gesetzt werden! Und es kann eben nicht mehr gesetzt werden, wenn vorher schon ein Passwort definiert war, ohne das vorherige Passwort zu kennen.

- Sven Rautenberg

[Krause]

Hey Sven,

vielen Dank, dass Du mir diese Dinge so ausführlich erklärt hast.

Gruß
Jens

[Der Martin]

Hallo,

Will man seinen Rechner also gegen Manipulationen sichern, muss man darauf achten, dass immer zuerst von der Festplatte gebootet wird, dass man ein BIOS-Passwort vergibt und den Administrator- bzw. Root-Account mit Passwort schützt (so dass keiner mehr mit irgendeinem Tool das CMOS auslesen kann - oder geht das trotzdem noch?).
Falsch.

Einverstanden.

Wenn du verhindern willst, dass sich jemand an deinen Daten zu schaffen macht (die Hardware lassen wir mal außer acht, die ist im Zweifel wiederbeschaffbar), dann mußt du deine Daten verschlüsseln.

Quatsch.
Wenn ich verhindern will, dass sich jemand an meinen Daten zu schaffen macht, muss ich dafür sorgen, dass niemand an meinen PC kommt. Ein Unbefugter müsste also erstmal gewaltsam in meine Wohnung (mein Büro, whatever) eindringen. Und wenn jemand _das_ geschafft hat, sind die Daten auf meinem Rechner eins meiner kleinsten Probleme! Dann kümmert mich zunächst mal meine demolierte Einrichtung, entwendete Wertsachen, der Stress mit der Kripo, mit der Versicherung usw.

Das würde bedeuten, dass du 24/7 wachsam neben deinem Rechner sitzen mußt, damit niemand sich an ihm zu schaffen machen kann. Wie lange hälst du es ohne Schlaf aus? ;)

Ich gehe davon aus, dass der Rechner in einem gegen unbefugten Zugang gesicherten Raum steht und nicht im Hausflur.

Laptop-Festplatten (es ist aber nicht auf diese begrenzt, sondern generell ein Feature im ATA-Standard) besitzen ein leider wenig bekanntes Feature, intern selbst eine sichere Verschlüsselungsmethode zu kennen, die die Inhalte der Platte 100% gegen Fremdzugriff ohne Passwort absichert.

Interessant. Wie nennt sich dieses Feature, und wo kann man mehr darüber erfahren?

Gute Nacht auch,
 Martin

[Sven Rautenberg]

Moin!

Wenn du verhindern willst, dass sich jemand an deinen Daten zu schaffen macht (die Hardware lassen wir mal außer acht, die ist im Zweifel wiederbeschaffbar), dann mußt du deine Daten verschlüsseln.

Quatsch.
Wenn ich verhindern will, dass sich jemand an meinen Daten zu schaffen macht, muss ich dafür sorgen, dass niemand an meinen PC kommt. Ein Unbefugter müsste also erstmal gewaltsam in meine Wohnung (mein Büro, whatever) eindringen.

Staatliche Organe haben beispielsweise exakt diese Möglichkeit, ohne dass du ihnen auch nur das geringste entgegensetzen kannst. Vollkommen ohne demolierte Einrichtung, sofern du im Sinne der Schadensminimierung der Aufforderung Folge leistest und mindestens mal die Eingangstür öffnest.

Und wenn jemand _das_ geschafft hat, sind die Daten auf meinem Rechner eins meiner kleinsten Probleme! Dann kümmert mich zunächst mal meine demolierte Einrichtung, entwendete Wertsachen, der Stress mit der Kripo, mit der Versicherung usw.

Wie gesagt: Wenn die Kripo schon im Haus ist, bevor die Daten (und der Rechner) wegkommen, sind die Daten auf deinem Rechner mit Sicherheit dein größtes Problem. Und zwar unabhängig davon, was auf dem Rechner nun wirklich gespeichert war, möchte ich meinen. Wer weiß, was die Behörden zu deiner MP3-Sammlung sagen, zu deinen diversen Videodateien, dem Inhalt deines Browsercaches und der History, zu installierten Programmen und generell zu den vielen persönlichen Dateien, die über dein gesamtes Leben besser und bereitwilliger Auskunft geben, als du es in einem Verhör freiwillig tun würdest.

Ich gehe davon aus, dass der Rechner in einem gegen unbefugten Zugang gesicherten Raum steht und nicht im Hausflur.

Kein Raum ist vollständig gegen unbefugten Zugang gesichert.

Laptop-Festplatten (es ist aber nicht auf diese begrenzt, sondern generell ein Feature im ATA-Standard) besitzen ein leider wenig bekanntes Feature, intern selbst eine sichere Verschlüsselungsmethode zu kennen, die die Inhalte der Platte 100% gegen Fremdzugriff ohne Passwort absichert.

Interessant. Wie nennt sich dieses Feature, und wo kann man mehr darüber erfahren?

http://www.heise.de/ct/05/08/172/ bietet sich an. Allerdings hatte ich nicht mehr in Erinnerung, dass Datenrettungscenter angeblich doch helfen können - was wiederum dagegen spricht, das Verfahren als wirklich absolut sicher zu betrachten.

- Sven Rautenberg

[Der Martin]

Hallo,

Wenn ich verhindern will, dass sich jemand an meinen Daten zu schaffen macht, muss ich dafür sorgen, dass niemand an meinen PC kommt. Ein Unbefugter müsste also erstmal gewaltsam in meine Wohnung (mein Büro, whatever) eindringen.
Staatliche Organe haben beispielsweise exakt diese Möglichkeit, ohne dass du ihnen auch nur das geringste entgegensetzen kannst.

sicher. Dazu muss aber erstmal der konkrete Verdacht einer kriminellen Handlung gegen mich bestehen. Und wenn's mal _so_ weit ist, ich wiederhole mich: Dann sind die Daten auf meinem Rechner eins meiner kleinsten Probleme!

Wer weiß, was die Behörden zu deiner MP3-Sammlung sagen, ...

Nichts, was sollen sie sagen? Ich hab' die CDs dazu im Schrank.

zu deinen diversen Videodateien, ...

Welche Videodateien? Meine Urlaubsvideos?

dem Inhalt deines Browsercaches und der History, zu installierten Programmen ...

Können die meinetwegen haben.

und generell zu den vielen persönlichen Dateien, die über dein gesamtes Leben besser und bereitwilliger Auskunft geben, als du es in einem Verhör freiwillig tun würdest.

Schon richtig, aber wenn ein konkreter Tatverdacht gegen mich besteht -und nur dann gibt's einen Durchsuchungsbefehl, der dieses Eindringen in meine Privaträume überhaupt erlaubt- dann bin ich "erkennungsdienstlich" schon weitgehend durchleuchtet, so dass die paar Dateien auf meinem PC auch nicht mehr viel Neues offenbaren.

Ich gehe davon aus, dass der Rechner in einem gegen unbefugten Zugang gesicherten Raum steht und nicht im Hausflur.
Kein Raum ist vollständig gegen unbefugten Zugang gesichert.

Gesichert = nicht ohne rechtswidrige Maßnahmen zugänglich. Sich gegen kriminelle Eingriffsmöglichkeiten auch noch "absichern" zu wollen, ist meiner Ansicht nach a) ein Kampf gegen Windmühlen und b) übertriebene Paranoia. Ein "Basisschutz" muss genügen, der darin besteht, die Türen zuzumachen und Privates nicht übermäßig zur Schau zu stellen.

So long,
 Martin