Sicherheitskonzept für Windows

[wwurst]

vor 4 Stunden schrieb Axiom0815:

Schau Dir doch z.B. Bitcoin.de an. 😉

Stimmt, hatte ich bisher tatsächlich übersehen. Kraken und Binance geht PGP wohl auch. Mein Minimalsystem war ursprünglich mal nur für's Banking, und da unterstützt leider keine Bank PGP. Okay, wenn Crypto dazukommt, ist PGP auch sinnvoll. (gpg4win bzw. on-board bei Linux).

vor 4 Stunden schrieb Axiom0815:

Keine Anwendung bekannt, ab in die Schublade.

Schade, immer die gleichen Denkmuster.

Etwas weniger Herablassung, bitte. Ich verwende PGP in meinem Alltagssytem seit es als PGPi in Buchform exportiert wurde, da ging Ed Snowden noch zur Schule, Und über meine Denkmuster weist du (hoffentlich) gar nix.

[Arther]

vor 19 Stunden schrieb Crusader:

Nach Gebrauch wird diese VM dann auf den alten Stand zurück gesetzt.

Damit werden jegliche Veränderungen wie Passwörter, Seeds, Adressen, History, Zwischenablage und auch mögliche Trojaner wieder entfernt. Und wenn es mal eine sinnvolle und sichere Erweiterung gab macht man einen neuen Snapshot.

Das mit den Snapshots leuchtet mir nicht so recht ein, es gibt doch andauernd Updates (Win/Linux egal), d.h. die Hälfte der Zeit kann man gar nicht zurücksetzen.
Bezüglich der Isolierung: Auf so eine Finanz-VM mache ich doch erst überhaupt nichts kritisches, wie sollte die da überhaupt infiziert werden? Viel wahrscheinlicher ist doch, dass das Host System infiziert wird. Wenn schon müsste man alles virtualisieren außer dem Finanzkram.

[battlecore]

vor 37 Minuten schrieb Arther:

Das mit den Snapshots leuchtet mir nicht so recht ein, es gibt doch andauernd Updates (Win/Linux egal), d.h. die Hälfte der Zeit kann man gar nicht zurücksetzen.
Bezüglich der Isolierung: Auf so eine Finanz-VM mache ich doch erst überhaupt nichts kritisches, wie sollte die da überhaupt infiziert werden? Viel wahrscheinlicher ist doch, dass das Host System infiziert wird. Wenn schon müsste man alles virtualisieren außer dem Finanzkram.

Also ich bin ja immer noch für Linux. Und Updates ausschalten.

EDIT: Achne, ist ja nich Mining.

Also Updates einschalten 😁

Bearbeitet 30. Mai 2021 von battlecore

[Crusader]

vor 43 Minuten schrieb Arther:

Das mit den Snapshots leuchtet mir nicht so recht ein, es gibt doch andauernd Updates (Win/Linux egal), d.h. die Hälfte der Zeit kann man gar nicht zurücksetzen.
Bezüglich der Isolierung: Auf so eine Finanz-VM mache ich doch erst überhaupt nichts kritisches, wie sollte die da überhaupt infiziert werden?

 

[Crusader]

Wieso? Das ist doch kein Problem und gerade ein Zweck davon.

Wenn es ein Update gibt startet man die VM neu, wendet das Update an und macht dann einen neuen Snapshot.

Ebenso bei anderen Updates, z.B. für die Wallet oder den Browser.

Wenn man dann mit der Wallet arbeitet geschieht das offline. Transaktionen kann man signieren, auf den Host schieben und dort versenden.

Mögliche Spuren deiner Keys, egal ob von einer bösen Wallet oder einem Trojaner gestohlen, sind nach Rücksetzen der VM nicht mehr vorhanden.

 

[Arther]

vor 2 Stunden schrieb Crusader:

Wenn man dann mit der Wallet arbeitet geschieht das offline. Transaktionen kann man signieren, auf den Host schieben und dort versenden.

Wenn du die Transaktionen auf einem offline PC baust, dann brauchst du doch gar keine keine VM? Oder meinst du die baust du in der VM die immer offline bleibt? Das leuchtet mir auch nicht so Recht ein, schließlich kann der Host PC infiziert sein? Das Threat Model will mir irgendwie nicht so ganz einleuchten. 

Gegen welches konkrete Szenario willst du dich schützen? Ich bin da u.a. bei @wwurst, möglichst single use (+Updates natürlich und paar Kleinigkeiten) und man ist schon extremst Safe. Single Use bei einer VM muss aber insbesondere für den Host gelten.

[Crusader]

Wieso sollte ich einen zweiten PC benutzen wenn das mittels VM einfacher geht?

Natürlich ist die VM bei Krypto immer offline. Die geht nur online für Online-Banking oder um nach Updates zu schauen.

Der Host PC kann infiziert sein wie er will. Das betrifft die VM doch nicht.

Es wäre mir jetzt neu wenn ein Trojaner etwas in ein VM-Image injizieren könnte. Dazu müsste er doch wohl die VM starten was man sofort mit bekommt.

 

[Cricktor]

Der Datenträger der VM ist eine Datei auf dem Hostrechner, also leicht zugänglich für Malware. Die Metadateien der VM liegen auch alle auf dem Präsentierteller des Hosts. Sicherlich ist es nochmal eine deutlich größere Komplexitätsstufe für die Malware, aber zum Infizieren der Gast-VM muss die VM nicht unbedingt gestartet werden. Wenn die Malware das Dateisystem der Gast-VM "versteht" und bearbeiten kann, dann kann sie die VM auch "offline" infizieren. Ist nur fraglich, ob die Malware-Tüftler sich auf dieses Terrain begeben wollen oder müssen.

Ich hab' schonmal irgendwo bei den Malware-Analysten gelesen, daß es Malware gibt, die erkennen kann, ob sie in einer VM läuft und entsprechend ihr Verhalten ändert, um z.B. die Analyse zu erschweren oder sich besser zu tarnen, damit sie nicht so leicht in einer Analyse-VM auffliegt. Aber Gast-VMs werden eher im laufenden Betrieb gekapert, entweder über die üblichen Netzwerk-Schnittstellen oder Bugs in der Virtualisierungs-Software, die es auch genug gibt.

Ich benutze auch gerne VMs für isolierte Aufgabengebiete. Ist in der Tat praktisch und bequem und die Snapshots vor Experimenten und die leichte Wiederherstellbarkeit eines zuvor definierten Zustands sind einfach Gold wert und durch nichts zu ersetzen.

Bearbeitet 31. Mai 2021 von Cricktor

[Arther]

vor 16 Stunden schrieb Crusader:

Der Host PC kann infiziert sein wie er will. Das betrifft die VM doch nicht.

Es wäre mir jetzt neu wenn ein Trojaner etwas in ein VM-Image injizieren könnte. Dazu müsste er doch wohl die VM starten was man sofort mit bekommt.

Ich will vorab schicken, wir sprechen hier über höchst unwahrscheinliche Szenarien, Angriffe auf Einzelpersonen jenseits von Multi-Millionären sind mir jedenfalls nicht bekannt. Von daher ist jede security die über (Spear-)Phishing und automatisierte Exploits hinaus geht sowieso regelmäßig kaum notwendig.

Jedenfalls gibt es keine Isolation in der Richtung Host -> Guest, der Host kann alles mit dem Guest machen was er will. Speziell das starten einer VM im Hintergrund (ggf. mit Display-Ausgabe auf einem entfernten Rechner) ist ein regelmäßiger Anwendungsfall für VMs und daher von Haus in jede VM-Lösung eingebaut.

Das ist daher keine geeignete Maßnahme, mir fällt auch kein vernünftiges Szenario ein, wo so etwas Sinn ergibt.

 

Die wichtigsten Maßnahmen gegen Diebstahl/Betrug sind weiterhin:
1. Software auf dem aktuellsten Stand halten
2. 2FA verwenden
3. Einen Passwort-Manager verwenden (insb. damit keine schwachen Passwörter verwendet werden oder Passwörter mehrfach verwendet werden.)
4. Achtsamer Umgang mit Software oder E-Mails die von außen kommen und beim Kleinsten Zweifel nicht klicken/downloaden/installieren

Bearbeitet 31. Mai 2021 von Arther

[verado]

Den Angriffsvektor vm host (esx) zu guest würde ich ebenfalls als sehr theoretisch ansehen, ebenso guests untereinander.

Wichtig ist ein sicheres Passwort für den Mail Account (wegen der Passwort vergessen Funktion der diversen Websites) sowie kein Passwort reuse.

[Cricktor]

Zur Sicherheit würde ich auch regelmäßige Backups zählen. Monatlich läuft bei mir am 1. eines Monats ein Vollbackup aller Rechner, wöchentlich am Sonntag ein differentielles Backup, optional täglich ein inkrementelles Backup des Hauptrechners bzw. der Kiste, die ich aktuell am meisten benutze (relativ zum letzten differentiellen). Alle Backups landen letztlich auf dem File- und Mediaserver, der Deduplikation beherrscht und dadurch habe ich eine Backup-Historie, die ca. 1-2 Jahre zurückreicht, ohne daß die (deduplizierte) Datenmenge ins Uferlose wächst. Monatlich erfolgt auch ein Backup des Fileservers auf zwei sich abwechselnde ausreichend große Festplatten (Bitlocker-verschlüsselt), wobei die letzte Sicherung immer außer Haus gelagert wird.

Diebstahl, Brand, Wasserschaden führen nicht zum Verlust aller Daten, sondern maximal eines Monats neuer Daten. Das ist meist verschmerzbar. Die länger zurückreichende Backup-Historie erlaubt, falls nötig, länger zurückliegende negative Datenveränderungen wieder rückgängig zu machen. Das habe ich bisher aber kaum benötigt, ist mehr ein Bonus. Wichtiger war mir, daß durch die Deduplizierung das Backup-Archiv monatlich vergleichsweise nur langsam wächst, selbst wenn ich ältere Vollbackups nicht lösche. Wenn ein Vollbackup des Fileservers inklusive Verify zuu lange dauert, dann nervt das zu sehr und ist der Backup-Compliance nicht förderlich.

Vielleicht ein bißchen extrem, aber ungemein beruhigend und soviel Arbeit habe ich damit nun auch nicht. Man muss es einfach nur machen.

[Mantora]

Also ich glaube wir sind uns alle einig wenn ich sage das Linux in Sachen Sicherheit natürlich eine ganz andere Liga ist als Windows und Ubuntu ist praktisch so nutzerfreundlich und einfach wie windows. Ich hab mein "Finanz Windows" zb. auch in Form von ubuntu auf nem 10 jahre alten laptop  So erfüllt selbst diese alte Mühle noch nen echten Zweck ^^ allerdings macht Windows Sicherheit optimieren mehr Spaß genauso wie Backups ziehen Spaß machen kann gelle Cricktor ? und Windows hats nötig  

Aber was mir trotzdem gut gefallen hat ist die Idee den password safe noch mit einem dongle zu versehen. weis nimmer genau wer das gepostet hat aber kennt zufällig jemand nen guten dongle für den 1password safe?

 

[Cricktor]

Yubikey oder 2FA über sowas wie Google Authenticator. Musst dann nur hoffen, nie den Hardware-Dongle zu verlieren oder ein Fallback dafür zu haben.

[Arther]

vor 12 Stunden schrieb Mantora:

Ubuntu ist praktisch so nutzerfreundlich und einfach wie windows

Ja auf jeden Fall, nur gibt es leider nicht jede Software unter Linux und Wine löst das Problem zuweilen auch nicht.

vor 12 Stunden schrieb Mantora:

Also ich glaube wir sind uns alle einig wenn ich sage das Linux in Sachen Sicherheit natürlich eine ganz andere Liga ist als Windows

Ich bin wirklich nur ungern der Miesepeter :D. Also die faktische Sicherheit ist bei Linux weit höher weil nahezu keine (Massen-)Malware für Linux als Desktop geschrieben wird. Davon abgesehen ist die Sicherheit von Linux als Desktop OS nicht höher als bei Windows. Man sollte sich nicht sicher meinen nur ausschließlich durch die Verwendung von Linux, sondern genau wie bei Windows achtsam damit sein, wem man welchen Zugriff auf sein System gewährt. Vor Binaries und Skripten sind dabei Repositories/PPAs besonders erwähnenswert. Man sollte es vermeiden, externe PPAs einzubinden, da supply chain attacks in dessen Scope auch PPAs fallen in den letzten Jahren aufgrund der immer unübersichtlicher werdenden Abhängigkeiten von Software stark zugenommen haben.

Bearbeitet 1. Juni 2021 von Arther

[Mantora]

vor 11 Stunden schrieb Arther:

Ja auf jeden Fall, nur gibt es leider nicht jede Software unter Linux und Wine löst das Problem zuweilen auch nicht.

 

das ist wohl wahr aber zum Glück braucht man ja nicht jede Software   Wie du schon sagtest, ein großes Problem ist zu viel Software. Jedes noch so kleine unscheinbare programm bringt neue Sicherheitslücken mit ins System ob man nun will oder nicht. Das ist bei Linux genauso wie mit Windows. Da es aber insgesamt weniger Schadware gibt fallen die Lücken bei Linux weniger ins Gewicht. Außerdem ist Windows generell störanfälliger.

Manchmal habe ich das Gefühl Windows hat selbst für die volle Windel meines Kindes nen fehlercode ^^

[mahatma]

Schöner Thread mit paar interessanten Infos!!

@Axiom0815 @Amsi Rentiert sich das den anzupinnen?

Kann man evtl als Sammelthread für verschiedene Sicherheitsstrategien verwenden, was VM, Passwortmanager, 2Fa, Yubikey, PGP, versch. Betriebssysteme etc betrifft... 

Und ist thematisch schon anders als der bereits vorhandene "WICHTIGE Infos zur Sicherheit bei Krypto.

 

[wwurst]

Soll keine Werbung sein, aber weil die bisherigen Angebote für "gehärtete" Notebooks wesentlich teurer waren hier mal zur Info:

https://shop.nitrokey.com/de_DE/shop/product/nitropad-t430-119

Das hilft natürlich auch nur wenig, falls CIA oder der nordkoreanische Geheimdienst hinter einem her sind, aber Alltagsschurken finden da keine Angriffsmöglichkeiten über die Hardware mehr. Als Betriebssystem dann noch Qubes OS, und auch diese Tür ist so dicht, wie sie für gewöhnliche Privatleute nur werden kann.

Die Regel, danach nur die allernötigsten Anwendungen aus verifizierten Quellen zu installieren, gilt natürlich weiter, sonst kann man sich diesen Grundaufwand gleich sparen.