Stoned Bootkit

Naja, sehr spät, aber da ich jetzt schon die beklopptesten Sachen in der Richtung lesen und hören durfte...

Einem 19-jährigem Hacker ist es gelungen, mit einem Bootkit auch eine eventuelle Vollverschlüsselung mittels TrueCrypt auszuhebeln (klick).

Was da wohl viele nicht verstanden haben: Das heisst nicht, dass die Verschlüsselung selbst gebrochen ist.

Ich erläutere einfach mal den Vorgang, wie TrueCrypt eine Systempartition verschlüsselt; TrueCrypt erstellt vor dem Verschlüsseln eine RescueCD, mit derer die Partition (richtiges Kennwort vorausgesetzt!) entschlüsselt und der Original-Bootloader von Windows bzw der Bootloader von TrueCrypt wiederhergestellt werden kann. Danach installiert TrueCrypt einen eigenen Bootloader, der bei Eingabe des richtigen Passworts in der Lage ist, eine Art Treiber (keine Ahnung, wie ich das jetzt nennen soll, korrigiert mich wenn der Begriff falsch ist ;) ) resident laufen zu lassen, der die Daten transparent für das Betriebssystem ver- und entschlüsseln kann.

Stoned wiederum setzt noch vor dem TrueCrypt-Loader auf, so wäre Stoned zB in der Lage, das eingegebene Passwort mitzuschneiden.

Klingelts?

Die Verschlüsselung an sich ist noch intakt. Ein Angreifer könnte selbst mit installiertem Stoned die Platte ohne Kenntnis des Passwortes nicht entschlüsseln.

Gemein wird das erst, wenn der Ansatz von Stoned als Malware kursiert und das Passwort irgendwohin verschickt (Stichwort Bundestrojaner) oder bei einer heimlichen Änderung des Bootloaders, aber das ist ein anderes Kapitel. Nach einer "regulären" Hausdurchsuchung wäre so oder so erstmal gesundes Misstrauen angesagt, aber dafür ist die erstellte CD bzw eine Ubuntu LiveCD recht sinnvoll. Platte entschlüsseln, wichtige Dateien absichern, Platte mittels dd oder dBan shreddern.

Das wiederum degradiert TrueCrypt als besseren Diebstahlschutz... Wäre im Falle Christoph Daums trotzdem nicht ganz verkehrt gewesen. ;)

Und als kleiner Nachsatz: gegen ein kompromittiertes System nützt auch die beste Verschlüsselung nichts...

Siehe auch hier.