ubuntuusers.de

Hallo,

bei meinem Desktop-PC läßt sich das Mainboard preiswert mit einem TPM-Modul ( Trusted Platform Modul) erweitern.

Nun habe ich versucht, mich über das Thema zu informieren, damit ich entscheiden kann, ob diese Sicherheits-Erweiterung Sinn für mich macht.

In verschiedenen Artikeln (z.B. wiki) wird auf den Sicherheitsgewinn hingewiesen. In anderen Artikel wird über Anwendungs-Schwierigkeiten bei Neu-Installationen und ähnlichen berichet.

Leider bin durch die vielen Artikel und Meinungen eher verunsichert worden und zu keinem Schluss gekommen.

Ich bitte daher Anwender von TPM-Modulen um Informationen und Hinweise zu dem Sicherheitsgewinn und evtl. Anwendungsproblemen.

Vielen Dank ethylen

ethylen schrieb:

In verschiedenen Artikeln (z.B. wiki) wird auf den Sicherheitsgewinn hingewiesen.

Das ist meines Erachtens (!) Schwachsinn. Und das ist nicht der einzige Fall, in dem die Dinger nicht nur keine Wirkung hatten, sondern echt Teil des Problems sind. Diesbezüglich möchte ich noch auf einen Post von Fefe hinweisen, den ich sehr schätze. Ich weiß, dass er sehr kontrovers diskutiert wird, und der Post einer gewissen Polemik nicht entbehrt, aber eins kann man ihm nicht vorhalten: und zwar dass er keine Ahnung hätte.

Hallo misterunkown,

danke für die Info. Da ich zum Thema „TPM-Modul“ nichts ermutigendes mehr gefunden habe, suche ich nach einer anderen Lösung meine PC-Sicherheit zu verbessern.

Meine Überlegung ist es, einen Passwortmanager zu installieren, dazu bitte ich dich um Rat.

Mein Ziel ist es, die Sicherheit bei Internverbindungen zu Zahlungsdienstleistern und Händlern zu verbessern. Zwar habe ich mich wie üblich im internet informiert, aber mich zwischen den vielen Möglichkeiten (Passwortmanagern) zu entscheiden, dazu fehlt mir die Erfahrung.

a) Ich habe kubuntu installiert, ist da der Einsatz von Kwallet oder KeepassX empfehlenswert ? b) Bringt die Installation des Passwortmanager auf einem USB-Stick Vorteile ?

Kannst du mir eine Empfehlung geben ? Gruß ethylen

Um dein Ziel zu erreichen wäre es am Besten mehrere Userprofile zu verwenden. Man kann auch mehrere Browserprofile verwenden aber die Rechtetrennung über das Betriebssystem ist in jedem Fall viel besser. (Aber auch komplizierter.) Als Passwortmanager verwendest du dann eine simple *.txt-Datei.

Bei mir hat der Standarduser z.B. keinen Internetzugriff, kann dafür aber den Router akzessieren. Alle anderen Userprofile, die sich mit xhost und "sudo -iu <user> <firefox|bash|usw.> komfortabel vom Standarduser aus nutzen lassen, haben nur Inetzugriff aber keinen Routerzugriff und auch keine Zugriffe auf Dateibereiche des Standarduser.)

Das ist kompliziert einzurichten und nichts für Anfänger, zeigt aber wie man sich unter Linux ein Maximum an Sicherheit und Flexibilität holen kann.

ethylen schrieb:

Mein Ziel ist es, die Sicherheit bei Internverbindungen zu Zahlungsdienstleistern und Händlern zu verbessern. a) Ich habe kubuntu installiert, ist da der Einsatz von Kwallet oder KeepassX empfehlenswert ?

Sicherlich. Es ist immer sinnvoll, für verschiedene Dienste auch verschiedene Passwörter zu benutzen. Ob und welchen Passwortmanager du verwenden willst, musst du selbst entscheiden. Ich selbst nutze keinen, und weiß daher nicht, welcher empfehlenswert ist.

b) Bringt die Installation des Passwortmanager auf einem USB-Stick Vorteile ?

Nun, dann ist er portabel, das hat schon Vorteile. Die Frage ist, ob er unter Linux und Windows funktioniert, wenn du das brauchst. Ansonsten würde ich eine webbasierte Lösung empfehlen, die kannst du dann auch überall verwenden, wo du Internet hast.

chilidude schrieb:

Als Passwortmanager verwendest du dann eine simple *.txt-Datei.

Das ist, aus offensichtlichen Gründen, eine ganz schlechte Idee. Wenn du das machst, kannst du das Passwort auch weglassen.

Das ist kompliziert einzurichten und nichts für Anfänger, zeigt aber wie man sich unter Linux ein Maximum an Sicherheit und Flexibilität holen kann.

Plaintext-Passwörter in einer Textdatei ist weit entfernt von einem Maximum an Sicherheit.

Hallo,

für die Rückmeldungen und Informationen bedanke ich mich. Inzwischen bin ich zu dem Schluss gekommen, dass ich zu dem Thema erst mal eine Denkpause einlege und noch nichts umsetze.

Gruß ethylen

Plaintext-Passwörter in einer Textdatei ist weit entfernt von einem Maximum an Sicherheit.

Es geht um das Gesamtkonzept. Der eigentliche Grund für TPM war nicht die Verschlüsselung, sondern der erbärmliche Versuch der Einführung einer Rechtetrennung (mit Hintergedanken). Ich habe die Rechtetrennung mittels Betriebssystem beschrieben.

Der erste Schritt ist sicherlich das Verschlüsseln einer TXT-Datei mit Bordmitteln (dmcypt/luks und loop-file oder gpg -[c|d] <file>). Wichtig ist das Passwort nicht über die Kommandozeile mitzugeben, da man es sonst in "ps" sehen kann. Mit gpg ist das Problem sofort lösbar, wenn auch nicht so flexibel. Einfaches Editieren geht aber elegant über das loop-file.

chilidude schrieb:

Es geht um das Gesamtkonzept. Der eigentliche Grund für TPM war nicht die Verschlüsselung, sondern der erbärmliche Versuch der Einführung einer Rechtetrennung (mit Hintergedanken).

Nein. TPM hat weder was mit Verschlüsselung, noch etwas mit Rechtetrennung zu tun (siehe). Und als ich von TPM abgeraten habe, wollte er Empfehlungen für einen Passwortmanager. Auch das hat nichts mit Rechtetrennung zu tun.

Aber abgesehen von der Sicherheit ist meines Erachtens eine TXT-Datei zur Passwortverwaltung weit weniger geeignet als ein vernünftiger Passwortmanager, allein schon wegen der Übersichtlichkeit.

Natürlich geht es beim TPM um Rechtetrennung (und DRM), steht doch sogar auf deiner verlinkten Seite (Schutz kryptografischer Schlüssel).

chilidude schrieb:

Natürlich geht es beim TPM um Rechtetrennung (und DRM), steht doch sogar auf deiner verlinkten Seite (Schutz kryptografischer Schlüssel).

Das TPM ist ein simpler Kryptochip, also Hardware, und steht daher nicht in Verbindung mit "Rechten", die im Kontext eines Betriebssystems, also Software, existieren. Sicher, es kann für DRM, zur Absicherung des Boot-Prozesses, oder für kryptografische Operationen aus anderer Software heraus genutzt werden. Mit einer Rechtetrennung wie du sie beschreibst, hat das trotzdem nichts zu tun. Und das steht auch nicht im Wikipedia-Artikel:

Schlüssel werden innerhalb des TPMs erzeugt, benutzt und sicher abgelegt.
Sie brauchen dieses also nie zu verlassen. Dadurch sind sie vor Software-
Angriffen geschützt. Vor Hardware-Angriffen besteht ebenfalls ein relativ
hoher Schutz (die Sicherheit ist hier mit Smartcards vergleichbar). Manche
Chips sind so hergestellt, dass eine physische Manipulation die
unweigerliche Zerstörung der gespeicherten Schlüssel zur Folge hat.

ethylen schrieb:

Hallo,

bei meinem Desktop-PC läßt sich das Mainboard preiswert mit einem TPM-Modul ( Trusted Platform Modul) erweitern.

Das entsprechende Software Paket ist trousers: http://packages.ubuntu.com/xenial/trousers

Man sollte sich aber zuerst mal klar machen, was so ein TPM-Modul eigentlich tut. Es ist im Prinzip nur ein Speicher für einen einzigen Schlüssel. Also eigentlich viel Sicherheitszirkus nach Art des Hauses Microsoft. Wird gewöhnlich mit Bitlocker unter Windows zusammen genutzt. Ist das TPM-Modul bereits mit einem Schlüssel belegt - beispielsweise der für Bitlocker unter Windows, so würde ein weiterer Schlüssel, den man etwa für Linux in das TPM-Modul geben wollte, das TPM-Modul den ersten Schlüssel vergessen lassen. Also eigentlich eine ziemlich sinnlose Technik - davon abgesehen, dass es mit Bitlocker auf Windows zusammen werkelt und den Anschein von Sicherheit erwecken soll. Natürlich muss man auch auf Windows noch ein Passwort eintippen, wenn man ein TPM-Modul mit Bitlocker zur Verschlüsselung des Festplatteninhalts unter Windows verwendet.

Nun überlege mal, was das für ein Unterschied zu LUKS unter Linux ist, da musst Du auch nur ein Passwort eingeben, um Verschlüsselung des Festplatteninhalts nutzen zu können - und das geht ganz ohne das TPM-Modul. 👍

Also wenn es nicht für Bitlocker unter Windows sein soll, muss das TPM-Modul nicht sein. Zumindest erreicht man damit nicht mehr, als man auch ohnehin mit LUKS unter Linux erreicht.

Im deutschen Wikipedia Artikel steht übrigens eine Menge Unfug über Bitlocker: https://de.wikipedia.org/wiki/BitLocker. Da wird der Zirkus um TPM und Bitlocker hochgejubelt. Tatsache ist, es ist problemlos möglich die Hardware zu verändern, trotz TPM-Modul und Bitlocker. Das TPM-Modul und Bitlocker unter Windows machen also zumindest keinen allzugroßen Ärger, aber einen Vorteil gegenüber LUKS unter Linux hat es im Betrieb nicht wirklich.

Hallo,

danke für die vielen und ausführlichen Antworten ! Die Artikel die ich über TMP-Module gelesen habe, haben mich zuerst sehr positiv gestimmt.

Durch die vielen Hinweise sehe ich das Thema jetzt kritisch und werde es nicht weiterverfolgen !

Nochmals danke an alle die einen Beitrag geleistet haben.

Gruß ethylen