Ik heb een tekstbestand waarin ik al mijn bankgegevens bewaar. Ik comprimeer en codeer het met 7-Zip met behulp van de volgende parameters:
Compressie parameters:
- Archiefformaat : 7z
- Compressieniveau : Ultra
- Compressiemethode : LZMA2
- Woordenboekgrootte : 64 MB
- Formaat vaste blokken : 4 GB
- Aantal CPU-threads : 4
Versleutelingsparameters:
- Versleutelingsmethode : AES-256
- Versleutel bestandsnamen : waar
Het wachtwoord voor de versleuteling is zo gekozen dat het in geen enkel woordenboek te vinden is en eerder een bijna willekeurige reeks is (bestaande uit 15 -20 hoofdletters en kleine letters, cijfers en symbolen). Ik bewaar dit wachtwoord nergens.
Ook wordt de bestandsnaam van het tekstbestand zo bewaard dat niemand kan zien dat het bestand gerelateerd is aan bankgegevens Helemaal niet.
Is dit veilig genoeg onder de volgende scenarios?
- De aanvaller neemt de volledige controle over het systeem, maar weet niet dat dit specifieke bestand voor hem van belang is.
- De aanvaller is in het bezit van het bestand, en probeert actief het te ontsleutelen, wetende dat het de bankgegevens heeft.
Opmerkingen
- In vraag 1, als de aanvaller kan vind de niet-versleutelde versie van het bestand (dwz het originele tekstbestand dat niet van de opslagmedia is gewist), zijn taak is vrij eenvoudig!
- Nu internet op de hoogte is van het bestaan van dit bestand, denk ik dat we kunnen beslissen uit scenario 1;)
- @AnmolSinghJaggi: Ja, jij slaat het niet-versleutelde bestand nergens op, maar 7-zip doet het automatisch voor je (hoe handig, isn ‘ t it?;)) In de Windows Temp-directory, zodat het bestand toegankelijk is en kan worden geopend door een externe tekstbewerkingssoftware. Het ergste geval is dat een dergelijke toepassing er dan heel vaak niet eens voor zal zorgen dat het bestand wordt verwijderd en vertrouwt op automatische Windows-opschoning om dit op een bepaald moment in de toekomst te doen … (Windows Temp-map, zoals de browser ‘ s cachemap, kan een echte grot van wonderen zijn voor de aanvallers!)
- @WhiteWinterWolf Je hebt gelijk. Ik zag het tijdelijke bestand toen ik het versleutelde bestand opende. Ook verwijdert 7-Zip het tijdelijke bestand nadat ik klaar ben met het openen van het versleutelde bestand.
- @AnmolSinghJaggi: Ja (ze proberen de dingen goed te doen :)), maar dit zal alleen waar zijn als je sluit de teksteditor vóór 7zip. Als, om wat voor reden dan ook, 7zip wordt gesloten terwijl het bestand nog is geopend, blijft het bestand hier totdat de volgende algemene tijdelijke bestanden worden opgeschoond.
Answer
7-zip (of gelijkaardige hulpprogrammas) codering is ontworpen om gearchiveerde bestanden te beschermen. Dus zolang de toolontwerpers hun werk goed hebben gedaan, ben je veilig voor het tweede geval (iemand krijgt zijn hand op het gecodeerde bestand en probeert het te kraken).
Een dergelijk hulpprogramma is echter niet ontworpen om u te beschermen tegen uw eerstgenoemde geval (iemand krijgt toegang tot uw accountgegevens op uw computer en / of u heeft regelmatig toegang tot de bestandsinhoud). Inderdaad, iemand die een volledige (of zelfs slechts minimale, geen noodzaak om privileges te hoeven escaleren) toegang tot uw systeem heeft genomen, zal zien dat u dit bestand gebruikt en zal ook uw toetsaanslagen kunnen vastleggen terwijl u uw wachtwoord typt. Erger nog: een aanvaller zal hier eigenlijk niet eens mee te maken hebben, aangezien het bestand hoogstwaarschijnlijk in duidelijke vorm aanwezig zal zijn in uw Windows Temp-map.
Dus, voor uw eerste bedreiging, zou ik het zeker aanbevelen u een tool gebruikt die voor dit gebruik is ontworpen, zoals KeePass die zal vermijden om gedecodeerde gegevens op te slaan in tijdelijke bestanden en biedt een minimale bescherming bij het typen van het wachtwoord .
Opmerkingen
- Zou het beter zijn om de software op een draagbaar opslagapparaat te bewaren (om fysieke toegang te vereisen)?
- @ Alpha3031: I ‘ m niet zeker of met ” de software ” je 7zip of KeePass bedoelt. Persoonlijk zou ik er de voorkeur aan geven om de uitvoerbare bestanden in de juiste map te installeren, zodat het besturingssysteem elke onverwachte wijziging van hun bestanden kan voorkomen, wat niet het geval is met een extern opslagapparaat. Als ik een extern apparaat zou gebruiken, zou ik daarop ofwel de gecodeerde gegevens plaatsen, ofwel een extra sleutelbestand dat aan het wachtwoord moest worden gekoppeld om de gegevens te ontsleutelen (een functionaliteit die wordt aangeboden door KeyPass).
Answer
Om door te gaan met het agressieve scenario.
Aangenomen kan worden dat het originele tekstbestand is verwijderd en met kennis van het tijdelijke bestand kan het ook worden verwijderd.
Er zijn echter een paar tools die verwijderde bestanden vinden en deze gemakkelijk kunnen herstellen, tenzij je een “shredding” -programma gebruikt dat de “lege” ruimtes op de schijf vult met willekeurige bits die de oorspronkelijke informatie overschrijven.
Hoewel je zip-verbergingsmethode nuttig zou zijn tegen de gewone computergebruiker, zou een serieuze dader deze software kunnen gebruiken, de verwijderde informatie kunnen herstellen en toegang kunnen krijgen tot het gevoelige bestand.
Ook al heb je misleidende namen in uw tekstbestand zou de “hacker” waarschijnlijk alle verwijderde bestanden herstellen die ze konden vinden en een tool gebruiken om snel in platte tekstbestanden te zoeken naar sleutelwoorden of nummers die betrekking hebben op bankieren.
Antwoord
Het probleem met het gebruik van 7z of andere dergelijke software om een versleuteld tekstbestand met bankgegevens op te slaan, is dat wanneer u de data, moet u het bestand openen en uitpakken. Op dat moment zal 7z een niet-versleutelde kopie ervan dumpen in de tijdelijke map van Windows. U (of 7z-software) moet de tijdelijke map elke keer dat u het bestand opent, correct wissen.
Dit is niet de beste oplossing om bankgegevens op te slaan. Gebruik software die speciaal hiervoor is ontworpen. Ik zou in plaats daarvan Keepass aanraden. Je hoeft niet te maken met iets dat niet-versleuteld is dat in de tijdelijke map van Windows wordt gedumpt.
Reacties
- 7zip heeft hier al jaren een bug uit en de eigenaar ‘ t lijken te denken dat het een probleem is, ook al zijn er zoveel mensen naar voren gekomen om te praten over hoe groot het veiligheidsprobleem is. sourceforge.net/p/sevenzip/bugs/1448
Antwoord
Zie de onderstaande links voor details over verschillende bugs die in 2019 werden gerapporteerd met betrekking tot het genereren van zwakke willekeurige getallen en een fout in de manier waarop de IV wordt gegenereerd, in versies van 7zip op dat moment:
https://threadreaderapp.com/thread/1087848040583626753.html
https://sourceforge.net/p/sevenzip/bugs/2176/
Het lijkt erop dat deze bugs zijn opgelost in latere versies van 7zip.