Ich habe eine Textdatei, in der ich alle meine Bankdaten speichere. Ich komprimiere und verschlüssele es mit 7-Zip unter Verwendung der folgenden Parameter:
Komprimierung Parameter:
- Archivformat : 7z
- Komprimierungsstufe : Ultra
- Komprimierungsmethode : LZMA2
- Wörterbuchgröße : 64 MB
- Solid Blockgröße : 4 GB
- Anzahl der CPU-Threads : 4
Verschlüsselungsparameter:
- Verschlüsselungsmethode : AES-256
- Dateinamen verschlüsseln : True
Das Kennwort für die Verschlüsselung wird so gewählt, dass es in keinem Wörterbuch gefunden wird und eher eine fast zufällige Zeichenfolge ist (bestehend aus 15) -20 Groß- und Kleinbuchstaben, Zahlen und Symbole). Ich speichere dieses Passwort nirgendwo.
Außerdem wird der Dateiname der Textdatei so beibehalten, dass niemand erkennen kann, dass die Datei mit verwandt ist Bank Detai ls überhaupt.
Ist dies in den folgenden Szenarien sicher genug?
- Der Angreifer übernimmt die volle Kontrolle über das System, weiß jedoch nicht, dass diese bestimmte Datei für ihn von Bedeutung ist.
- Der Angreifer ist im Besitz der Datei. und versucht aktiv, es zu entschlüsseln, da er weiß, dass es die Bankdaten enthält.
Kommentare
- In Frage 1, wenn der Angreifer dies kann Wenn Sie die unverschlüsselte Version der Datei finden (dh die Originaltextdatei, die nicht vom Speichermedium gelöscht wurde), ist seine Aufgabe ziemlich einfach!
- Jetzt, da das Internet über die Existenz dieser Datei Bescheid weiß, können wir meiner Meinung nach entscheiden out Szenario 1;)
- @AnmolSinghJaggi: Ja, Sie speichern die unverschlüsselte Datei nirgendwo, aber 7-zip erledigt dies automatisch für Sie (wie bequem, ist nicht ‚ t it ?;)) Im Windows Temp-Verzeichnis, damit auf die Datei zugegriffen werden kann und von einer externen Texteditor-Software geöffnet werden kann. Der schlimmste Fall ist, dass eine solche Anwendung sehr oft nicht einmal darauf achtet, die Datei zu löschen, und sich auf die automatische Windows-Bereinigung verlässt, um dies zu einem späteren Zeitpunkt zu tun … (Windows Temp-Verzeichnis, wie der Browser kann für die Angreifer eine wahre Wunderhöhle sein!)
- @WhiteWinterWolf Sie haben Recht. Ich habe die temporäre Datei bemerkt, als ich die verschlüsselte Datei geöffnet habe. Außerdem löscht 7-Zip die temporäre Datei, nachdem ich auf die verschlüsselte Datei zugegriffen habe.
- @AnmolSinghJaggi: Ja (sie versuchen, die Dinge richtig zu machen :)), aber dies gilt nur, wenn Sie schließen der Texteditor vor 7zip. Wenn 7zip aus irgendeinem Grund geschlossen wird, während die Datei noch geöffnet ist, bleibt die Datei bis zur nächsten allgemeinen Bereinigung der temporären Dateien hier.
Antwort
Die Verschlüsselung mit 7-zip (oder ähnlichen Dienstprogrammen) dient zum Schutz archivierter Dateien. Solange die Tool-Designer ihre Arbeit gut gemacht haben, sind Sie für den zweiten Fall sicher (jemand greift nach der verschlüsselten Datei und versucht, sie zu knacken).
Solche Dienstprogramme sind jedoch nicht konzipiert um Sie vor Ihrem erstgenannten Fall zu schützen (jemand, der Zugriff auf Ihre Kontodaten auf Ihrem Computer erhält und / oder Sie regelmäßig auf den Dateiinhalt zugreifen). In der Tat wird jemand, der einen vollständigen (oder sogar nur minimalen, nicht eskalierenden Zugriff) Zugriff auf Ihr System erhalten hat, sehen, dass Sie diese Datei verwenden, und kann auch Ihre Tastenanschläge erfassen, während Sie Ihr Kennwort eingeben. Noch schlimmer: Ein Angreifer muss sich nicht einmal darum kümmern, da die Datei höchstwahrscheinlich in klarer Form in Ihrem Windows Temp-Verzeichnis vorhanden ist.
Für Ihre erste Bedrohung würde ich dies definitiv empfehlen Sie müssen ein für diese Verwendung entwickeltes Tool wie KeePass verwenden, mit dem das Speichern entschlüsselter Daten in temporären Dateien vermieden wird und bietet einen Mindestschutz bei der Eingabe des Kennworts .
Kommentare
- Wäre es besser, die Software auf einem tragbaren Speichergerät zu belassen (um physischen Zugriff zu erfordern)?
- @ Alpha3031: I ‚ m Ich bin mir nicht sicher, ob Sie mit “ der Software “ 7zip oder KeePass meinen. Persönlich würde ich es vorziehen, die ausführbaren Dateien im richtigen Verzeichnis zu installieren, damit das Betriebssystem unerwartete Änderungen ihrer Dateien verhindern kann, was bei externen Speichergeräten nicht der Fall ist. Wenn ich ein externes Gerät verwende, würde ich entweder die verschlüsselten Daten darauf legen oder eine zusätzliche Schlüsseldatei, die dem Kennwort zugeordnet werden muss, um die Daten zu entschlüsseln (eine von KeyPass angebotene Funktion).
Antwort
Fahren Sie mit dem aggressiven Szenario fort.
Es kann davon ausgegangen werden, dass die ursprüngliche Textdatei gelöscht wird und mit Kenntnis der temporären Datei auch gelöscht werden kann.
Es gibt jedoch einige Tools, die gelöschte Dateien finden und leicht wiederherstellen können, es sei denn, Sie verwenden ein „Shredder“ -Programm, das die „leeren“ Felder auf dem Laufwerk mit zufälligen Bits füllt, die die ursprünglichen Informationen überschreiben.
Während Ihre Zip-Hiding-Methode für den gelegentlichen Computerbenutzer nützlich wäre, könnte ein schwerwiegender Täter diese Software verwenden, die gelöschten Informationen wiederherstellen und auf die vertrauliche Datei zugreifen.
Auch wenn Sie irreführende Namen haben In Ihrer Textdatei würde der „Hacker“ wahrscheinlich alle gelöschten Dateien wiederherstellen, die er finden könnte, und ein Tool verwenden, um schnell alle einfachen Textdateien nach Schlüsselwörtern oder Zahlen im Zusammenhang mit Bankgeschäften zu durchsuchen.
Antwort
Das Problem bei der Verwendung von 7z oder einer anderen solchen Software zum Speichern verschlüsselter Textdateien mit Bankdaten besteht darin, dass Sie die benötigen Daten müssen Sie die Datei öffnen und entpacken. Zu diesem Zeitpunkt speichert 7z eine unverschlüsselte Kopie davon im temporären Windows-Verzeichnis. Sie (oder die 7z-Software) müssen das temporäre Verzeichnis bei jedem Öffnen der Datei ordnungsgemäß löschen.
Dies ist nicht die beste Lösung zum Speichern von Bankdaten. Verwenden Sie speziell dafür entwickelte Software. Ich würde empfehlen, stattdessen Keepass zu verwenden. Sie müssen sich nicht mit unverschlüsselten Daten befassen, die im Windows-temporären Verzeichnis gespeichert werden.
Kommentare
- 7zip hat seit Jahren einen Fehler und der Eigentümer tut dies nicht ‚ t scheinen zu denken, dass es ein Problem ist, obwohl viele Leute darüber gesprochen haben, wie groß das Sicherheitsproblem ist. sourceforge.net/p/sevenzip/bugs/1448
Antwort
Unter den folgenden Links finden Sie Details zu mehreren Fehlern, die 2019 in Bezug auf die Erzeugung schwacher Zufallszahlen gemeldet wurden, sowie zu einem Fehler bei der Generierung der IV in Versionen von 7zip zu diesem Zeitpunkt:
https://threadreaderapp.com/thread/1087848040583626753.html
https://sourceforge.net/p/sevenzip/bugs/2176/
Es scheint, dass diese Fehler in späteren Versionen von 7zip behoben wurden.