Original-URL des Artikels: http://www.golem.de/news/inception-system-login-auf-verschluesselten-festplatten-1301-96832.html    Veröffentlicht: 10.01.2013 12:00

Inception

System-Login auf verschlüsselten Festplatten

Die kostenlose Anwendung Inception setzt Systempasswörter in Speicherabbildern zurück und ermöglicht so den Zugang zu Windows, Mac OS X oder Linux. Der Angriff erfolgt über DMA-fähige Schnittstellen, etwa Firewire oder Thunderbolt.

Mit Inception lassen sich Systempasswörter in Speicherabbildern zurücksetzen. Sie ermöglichen so den Zugriff auf das Betriebssystem, selbst wenn die gesamte Festplatte verschlüsselt ist. Inception setzt dabei sämtliche Passwörter zurück, so dass sich ein Angreifer dann mit einem beliebigen Kennwort einloggen kann und zusätzlich Adminstratorrechte erhält. Das Opfer muss den Angriff nicht bemerken, denn nach einem Neustart werden wieder die ursprünglichen Passwörter verwendet.

Ähnlich wie bei den kostenpflichtigen Lösungen wie Forensic Disk Decryptor von Elcomsoft oder Kit Forensic 9.7 von Passware verschafft sich Inception beispielsweise über die Firewire- oder Thunderbolt-Schnittstelle Zugriff auf den Hauptspeicher. Schnittstellen nutzen direkten Zugriff auf den Arbeitsspeicher (DMA), um die Datenrate beim Transfer zu erhöhen.

Auslesen über DMA

Ein Angriff mit Inception lässt sich auch dann ausführen, wenn ein Nutzer ausgeloggt ist oder wenn sich der Rechner im Schlafmodus befindet, da die Treiber vom Betriebssystem selbst dann automatisch geladen werden. Das Werkzeug funktioniert über jede Schnittstelle, die Datenübertragungen mit DMA zulässt.

Betroffen sind sämtliche Windows-Versionen ab XP mit Service Pack 2, Mac OS X Snow Leopard, Lion und Mountain Lion sowie Ubuntu ab Version 11.04 und Linux Mint ab Version 11. Inception funktioniert sowohl auf 32- als auch auf 64-Bit-Systemen.

Speicherabbild kopieren

Inception benötigt Python 3 und die Bibliothek Libforensic1394 unter Linux. Ein Angriff von einem System mit Mac OS X über I/O Kit ist zwar möglich, aber nicht zu empfehlen, denn das Framework sei gegenwärtig zu instabil, schreiben die Entwickler.

Mit Inception lässt sich auch ein Speicherabbild kopieren. Das kann dann später in Ruhe nach weiteren Passwörtern durchsucht werden, etwa denen für die verschlüsselten Festplatten.

Mit Einschränkungen

Einige Einschränkungen hat Inception jedoch. Speicherabbilder lassen sich nur bis zu einer Obergrenze von 4 GByte auslesen. Unter Mac OS X Lion wird DMA dann deaktiviert, wenn Filevault genutzt und ein Benutzer abgemeldet wird. In Mac-OS-X-Versionen vor 10.7.2 funktioniert Inception noch bei aktiviertem Benutzerwechsel oder bei einem angemeldeten Benutzer. In späteren Versionen hat Apple den Fehler bereits behoben.

Inception wird aktiv weiterentwickelt. Gegenwärtig suchen die Entwickler einen Tester mit einem aktuellen Mac Book Pro Retina. Der Code ist auf den Github-Servern des Projekts erhältlich.  (jt)


Verwandte Artikel:
Warner Brothers: Filme als Apps   
(17.02.2011 08:48, http://www.golem.de/1102/81490.html)
Smartphone-Verschlüsselung: Silent Phone für Android vorgestellt   
(16.01.2013 12:04, http://www.golem.de/news/smartphone-verschluesselung-silent-phone-fuer-android-vorgestellt-1301-96951.html)
Forensic Disk Decryptor: Elcomsoft knackt Truecrypt und Bitlocker mit Memory-Dumps   
(20.12.2012 19:27, http://www.golem.de/news/forensic-disk-decryptor-elcomsoft-knackt-truecrypt-und-bitlocker-mit-memory-dumps-1212-96501.html)
Sicherheit: Wie Terroristen Verschlüsselung nutzen   
(17.11.2011 15:57, http://www.golem.de/1111/87820.html)
Instant Messenger: Hike reicht SSL-Verschlüsselung nach   
(08.01.2013 16:43, http://www.golem.de/news/instant-messenger-hike-reicht-ssl-verschluesselung-nach-1301-96768.html)

© 2014 by Golem.de