Die meisten aktuell auf dem Markt verfügbaren ATA- und Serial-ATA-Festplatten verfügen über einen 32 Byte langen Passwortschutz mit General- und Nutzerschlüssel, ohne den nicht auf die Daten der Festplatte zugegriffen werden kann.
So beschreibt die Wikipedia den Passwortschutz aktueller Festplatten. Startet man den PC muss man wärend des bootens ein Kennwort eingeben, ohne ist die Festplatte nicht ansprechbar. Einige sehen diese Funktion als Ersatz für eine Festplattenverschlüsselung: Startet man den PC neu wird die Festplatte wieder gesperrt und ist nicht zugreifbar.
Mit dieser Methode sollen Bösewichter abgewehrt werden – versucht man einen softwareseitig gesperrten PC neu zu starten um beispielsweise über eine CD oder einen USB-Stick mit Passwortknacker Zugriff zu erhalten verliert man die Festplattenberechtigung und verspielt vorerst jede Chance ins System zu kommen. Leider funktioniert dieser Schutz nur in der Theorie. Ein einfacher Versuch beweist, dass auch Personen mit nur grundlegenden PC-Kenntnissen Zugriff auf die Daten erlangen können.
Als Testmodell stand ein Desktop-PC des Typs Dell Optiplex 740 zur Verfügung. Die inerne Festplatte wurde über die korrespondierende BIOS-Funktion geschützt. In der Ausgangslage befand sich der Rechner in einem Windows-Betriebssystem und war gesperrt.
Die übliche Vorgehensweise bei einer solchen Lage wäre wohl ein Neustart mit Werkzeugen wie z.B. Kon-boot, welche jedoch an der Sperrung der Festplatte scheitern würden. Eine weitere Möglichkeit wären Cold-Boot-Attacken, welche inzwischen auch ohne Kältespray und Spezialhardware durchgeführt werden können. Diese Angriffsart wirft jedoch nur begrenzt Daten ab, lediglich gecachte Dateien können ausgelesen werden. Es gibt jedoch eine Möglichkeit die ATA-Sperre zu umgehen, die fast zu einfach ist um wahr zu sein:
Voraussetzung ist ein weiterer PC (bzw. Note-/Netbook) sowie ein (S)ATA->USB-Adapter. Öffnet man das Gehäuse, entfernt das Datenkabel der Festplatte und klemmt Diese mit Hilfe des USB-Adapters an den zusätzlichen Rechner an erhält man vollen Zugriff auf die Daten der Festplatte. Wichtig dabei ist, dass man den Ursprungs-PC nicht neu startet oder das Stromkabel der Festplatte entfernt. Mit dieser Kombination ist es ein leichtes Daten der Festplatte zu kopieren oder Kennwörter auszulesen.
Als Vorsichtsmaßnahme sollte man daher diesen Schutz immer mit einer weiteren Verschlüsselung wie z.B. Truecrypt kombinieren. In dieser Konstellation lässt sich eine weitere Schutzebene installieren, bei welcher es zwar weiterhin möglich ist per Cold-Boot-Attacke den Truecrypt-Key zu ermitteln und die verschlüsselte Festplatte über den USB-Umweg zu mounten, allerdings ist der Aufwand einen vergleichsweise kleinen Truecrypt-Key in den Gigabytes eines RAM-Dump zu finden zeitaufwendig und verdirbt Angreifern eventuell die Laune.
Servus,
das wundert mich jetzt etwas, dass es so einfach gehen soll. Ich habe bei einem Laptop das Problem gehabt, dass dem Inhaber das gesetzte Festplattenkennwort entfallen war. Ich habe damals eine weile wegen der gelockten Platte gesucht und habe dann aufgegeben, den Datenverlust in Kauf genommen und eine neue Festplatte eingebaut. Wenn diese natürlich rettbar wäre…
Frage nochmal zum Vorgehen:
Du schaltest den Ursprungs-Rechner ein und lässt ihn bis zur Passwortabfrage laufen. Dann steckst du das Datenkabel ab und stöpselst du an den Datenanschluss den USB-Adapter an und liest auf dem zweiten Rechner die Daten aus?
Das ganze kommt mir leicht spanisch vor, daher meine Frage 😉
Viele Grüße
Uli
Hallo
Da hast du einen kleines aber entscheidendes Detail übersehen: Der Rechner befand sich in Windows, die HDD war also bereits entsperrt. Beim Notebook stellt sich zudem das Problem, dass sich das Datenkabel meist nicht unabhängig vom Strom trennen lässt.
Hi,
ja jetzt gibt das ganze wieder einen Sinn 😉 Klar dass man dann die Platte net ausschalten darf…*Kopf->Tisch* Schade schade…
Merci!
Viele Grüße
Uli