Jeg har en tekstfil, hvor jeg gemmer alle mine bankoplysninger. Jeg komprimerer og krypterer det med 7-Zip ved hjælp af følgende parametre:
Kompression parametre:
- Arkivformat : 7z
- Kompressionsniveau : Ultra
- Komprimeringsmetode : LZMA2
- Ordbogstørrelse : 64 MB
- Solid blokstørrelse : 4 GB
- Antal CPU-tråde : 4
Krypteringsparametre:
- Krypteringsmetode : AES-256
- Krypter filnavne : Sandt
Adgangskoden til krypteringen vælges således, at den ikke findes i enhver ordbog og snarere er en næsten tilfældig streng (sammensat af 15 -20 store og små bogstaver, tal og symboler). Jeg gemmer ikke denne adgangskode nogen steder.
Desuden opbevares filnavnet på tekstfilen således, at ingen kan fortælle, at filen er relateret til bank detai Det er overhovedet.
Er dette sikkert nok under følgende scenarier?
- Angriberen tager fuld kontrol over systemet, men ved ikke, at denne fil er af nogen betydning for ham.
- Angriberen er i besiddelse af filen, og forsøger aktivt at dekryptere det, velvidende at det har bankoplysninger.
Kommentarer
- I spørgsmål 1, hvis angriberen kan find den ukrypterede version af filen (dvs. original tekstfil ikke slettet fra lagringsmedier), hans job er ret simpelt!
- Nu hvor Internettet ved om eksistensen af denne fil, tror jeg, vi kan regere ud scenarie 1;)
- @AnmolSinghJaggi: Ja, du gemmer ikke den ukrypterede fil hvor som helst, men 7-zip gør det automatisk for dig (hvor praktisk, er ikke ' t det?;)) I Windows Temp-biblioteket, så filen er tilgængelig og kan åbnes af en ekstern teksteditor-software. Det værre er, at en sådan applikation meget ofte ikke engang tager sig af at slette filen, idet den stoler på automatisk Windows-rengøring for at gøre dette på et eller andet tidspunkt i fremtiden … (Windows Temp-bibliotek, som browseren ' s cache-bibliotek, kan være rigtig vidunderlig hule for angriberne!)
- @WhiteWinterWolf Du har ret. Jeg bemærkede den midlertidige fil, da jeg åbnede den krypterede fil. 7-Zip sletter også den midlertidige fil, når jeg er færdig med at få adgang til den krypterede fil.
- @AnmolSinghJaggi: Ja (de prøver at gøre tingene ordentligt :)), men dette gælder kun, hvis du lukker teksteditoren før 7zip. Hvis 7zip af en eller anden grund lukkes, mens filen stadig åbnes, forbliver filen her indtil næste generelle midlertidige rengøring af temp. Filer.
Svar
7-zip (eller andre lignende hjælpeprogrammer) kryptering er designet til at beskytte arkiverede filer. Så længe værktøjsdesignerne gjorde deres job godt, er du sikker i det andet tilfælde (nogen får hånden i den krypterede fil og prøver at knække den).
Imidlertid er sådan hjælpeprogram ikke designet for at beskytte dig mod din førstnævnte sag (nogen får adgang til dine kontodata på din maskine og / eller du får regelmæssig adgang til filindholdet). Faktisk vil nogen, der har taget en fuld (eller endda bare minimal, ikke behov for at eskalere privilegier) adgang til dit system, se dig bruge denne fil og vil også være i stand til at fange dine tastetryk, mens du skriver din adgangskode. Endnu værre: en angriber behøver faktisk ikke engang at bekymre sig om dette, da filen sandsynligvis vil være til stede i klar form i din Windows Temp-mappe.
Så for din første trussel vil jeg definitivt anbefale dig til at bruge et værktøj designet til denne brug, som KeePass , som undgår at gemme dekrypterede data i midlertidige filer og giver en minimumsbeskyttelse, når du skriver adgangskoden .
Kommentarer
- Ville det være bedre at opbevare softwaren på en bærbar lagerenhed (for at kræve fysisk adgang)?
- @ Alpha3031: I ' m ikke sikker på, om du ved " softwaren " mener 7zip eller KeePass. Personligt vil jeg have en tendens til at foretrække at have eksekverbare filer installeret i den korrekte mappe, så operativsystemet kan forhindre enhver uventet ændring af deres filer, hvilket ikke er tilfældet med ekstern lagerenhed. Hvis jeg bruger en ekstern enhed, vil jeg antage enten de krypterede data eller en ekstra nøglefil, der skal knyttes til adgangskoden for at dekryptere dataene (en funktion, der tilbydes af KeyPass).
Svar
For at fortsætte med det aggressive scenarie.
Det kan antages, at den originale tekstfil slettes, og med kendskab til temp-filen kan den også slettes.
Der er dog et par værktøjer, der finder slettede filer og let kan gendanne dem, medmindre du bruger et “makuleringsprogram”, der udfylder de “tomme” mellemrum på drevet med tilfældige bits, der overskriver den originale information.
Mens din zip-skjulingsmetode ville være nyttig mod den uformelle computerbruger, kunne en alvorlig gerningsmand bruge denne software, gendanne de slettede oplysninger og få adgang til den følsomme fil.
Selvom du har vildledende navne på din tekstfil ville “hacker” sandsynligvis gendanne alle de slettede filer, de kunne finde, og bruge et værktøj til hurtigt at søge i almindelige tekstfiler efter nøgleord eller tal, der vedrører bankvirksomhed.
Svar
Problemet med at bruge 7z eller anden sådan software til at gemme krypteret tekstfil med bankoplysninger er, at når du har brug for data, skal du åbne filen og pakke den ud. På det tidspunkt vil 7z dumpe en ukrypteret kopi af den i Windows temp-bibliotek. Du (eller 7z-software) skal slette temp-biblioteket korrekt hver gang du åbner filen.
Dette er ikke den bedste løsning til at gemme bankoplysninger. Brug software, der er specielt designet til dette. Jeg vil foreslå, at du bruger Keepass i stedet. Du behøver ikke at håndtere noget, der ikke er krypteret, der bliver dumpet i Windows temp-bibliotek.
Kommentarer
- 7zip har haft en fejl ude af dette i årevis, og ejeren ' t synes at synes, det er et problem, selv om mange mennesker er kommet frem og taler om, hvor stort et sikkerhedsproblem det er. sourceforge.net/p/sevenzip/bugs/1448
Svar
Se nedenstående links for detaljer om flere bugs, der blev rapporteret i 2019 om svag tilfældig talgenerering, og en fejl i, hvordan IV genereres, i versioner af 7zip på det tidspunkt:
https://threadreaderapp.com/thread/1087848040583626753.html
https://sourceforge.net/p/sevenzip/bugs/2176/
Det ser ud til, at disse fejl er blevet rettet i senere versioner af 7zip.