Wie schützt Windows den frühen Startvorgang?
Windows versucht nicht, den frühen Startvorgang (alles, was vor dem Windows-Bootloader geschieht) zu schützen. Secure Boot, eine UEFI-Funktion, erfüllt diese Aufgabe. Wenn Konfigurationsänderungen erkannt werden, muss BitLocker den Wiederherstellungsschlüssel bereitstellen. Dadurch wird verhindert, dass eine Festplatte von einer Maschine gezogen und in eine andere gestellt wird, ohne dass der BitLocker Recovery-Schlüssel bereitgestellt wird. Eine mit BitLocker geschützte Systemfestplatte, die in Windows gemountet ist, kann nicht ohne den Wiederherstellungsschlüssel entsperrt werden.
Welche Schutzmechanismen sind vorhanden, um zu verhindern, dass der Dieb Änderungen an der Umgebung des frühen Startvorgangs vornimmt, damit der Dieb ein Kennwort hinzufügen / ändern / eine Shell erhalten kann, ohne dass eine gültige Anmeldung erforderlich ist?
Wenn Änderungen am TPM festgestellt werden, werden Sie von BitLocker nach dem Wiederherstellungsschlüssel gefragt. Wenn Änderungen an der UEFI-Firmware vorgenommen werden, fordert BitLocker den Wiederherstellungsschlüssel an. Da BitLocker eine vollständige Festplattenverschlüsselung ist, gibt es keine Möglichkeit, ohne den Wiederherstellungsschlüssel auf die Daten zuzugreifen.
Möglicherweise wird die Frage möglicherweise gestellt, aber wird der frühe Startvorgang so signiert / gemessen, dass dieser Angriffsvektor verhindert wird, und wenn ja, wie?
Secure Boot verhindert das Starten von nicht signierten Betriebssystemen.
Secure Boot ist ein Sicherheitsstandard, der von Mitgliedern der PC-Industrie entwickelt wurde, um sicherzustellen, dass ein Gerät nur mit Software startet, die vom Original Equipment Manufacturer (OEM) als vertrauenswürdig eingestuft wird. Wenn der PC startet, prüft die Firmware die Signatur jeder Boot-Software, einschließlich UEFI-Firmware-Treiber (auch als Option-ROMs bezeichnet), EFI-Anwendungen und des Betriebssystems. Wenn die Signaturen gültig sind, bootet der PC, und die Firmware gibt dem Betriebssystem die Kontrolle.
Quelle: Sicherer Start
Kann jemand raten, die Bitlocker / TPM-Schutz / Kette tatsächlich zu umgehen, ohne den BitLocker-Wiederherstellungsschlüssel zu verwenden.
Wenn eine solche Sicherheitsanfälligkeit bei BitLocker besteht, wurde sie nicht veröffentlicht.
Ich glaube, es gibt / theoretisch einen Mechanismus, um den Windows-Aktualisierungsprozess zu missbrauchen, um diesen Schutz zu umgehen, aber ich habe keine Ahnung, wie dies implementiert wird oder wie schwer es ist - oder ob es einfachere Wege gibt
Dieser theoretische Mechanismus zum Umgehen des BitLocker-Schutzes existiert nicht so, wie Sie ihn beschreiben. Um in der Windows-Installationsumgebung zu booten, müsste die Firmware-Konfiguration des Geräts geändert werden, was dann dazu führen würde, dass der Wiederherstellungsschlüssel zum Entschlüsseln der Daten erforderlich ist. Darüber hinaus können Sie Windows nicht über sich selbst auf einem verschlüsselten Volume in der Installationsumgebung installieren.
Der Nur-TPM-Modus bietet jedoch den geringsten Datenschutz. Wenn für Teile Ihres Unternehmens Daten gelten, die auf mobilen Computern als äußerst vertraulich gelten, sollten Sie BitLocker mit der Authentifizierung mit mehreren Faktoren auf diesen Computern bereitstellen.
Ich glaube nicht, dass dies für TPM 1.2 gilt. Die Dokumentation, auf die Sie verweisen, stammt aus Windows Vista, das TPM 1.2 NICHT unterstützt.
Wenn ich "Early Boot-Prozess" sage, spreche ich davon, wenn Windows das Booten übernimmt, aber bevor das Hauptbetriebssystem geladen wurde (dh das Stub / Anfangsbit, das den BitLocker-Treiber lädt, und andere frühe Prozesse, die auf dem Nicht-Betriebssystem gefunden werden -verschlüsselte Partition, die BitLocker-Laufwerke haben - und dann zum Hauptstart übergibt
Sie meinen also den Windows-Bootloader. Wie bereits erwähnt, wird bei jeder Konfigurationsänderung der Wiederherstellungsschlüssel zum Entschlüsseln der Daten benötigt.