Die trans­pa­ren­te Bit­Lo­cker Ver­schlüs­se­lung (z.B. ohne Cryp­toPro Secu­re Disk for Bit­Lo­cker) lädt kom­plett auto­ma­tisch den Bit­Lo­cker AES Volu­men-Encryp­ti­on-Key und star­tet Win­dows. Die­ser Vor­gang erfor­dert einen initia­li­sier­ten TPM Chip und Secu­re-Boot zum Schutz des Boot-Prozesses.

Jedoch bie­tet ein auto­ma­ti­scher Start eines ver­schlüs­sel­ten Cli­ents einem Angrei­fer eine brei­tes Spek­trum an Angriffs­vek­to­ren gegen das lau­fen­de Win­dows Betriebssystem.

BitLocker ohne Benutzeridentifizierung / Authentisierung

Bezug­neh­mend auf https://wccftech.com/microsoft-patches-50-security-windows-10/ wur­den am 14. Novem­ber  2017 die Micro­soft Patches KB4048955 (OS Build 16299.64) und KB4048954 (OS Build 15063.726 and 15063.728) ver­öf­fent­licht, die 53 Secu­ri­ty Schwach­stel­len schlie­ßen. Davon sind 20 als “kri­tisch” ein­ge­stuft und 30 als “wich­tig”.

Micro­soft Tech­Net defi­niert eine kri­ti­sche Schwach­stel­le wie folgt:

Eine Sicher­heits­lü­cke des­sen Aus­nut­zung eine Aus­füh­rung von Code ohne jeg­li­che Benut­zer­inter­ak­ti­on erlaubt. Die­se Sze­na­ri­en inklu­dier­ten selbst fort­pflan­zen­de Mal­wa­re (z.B. Netz­werk Wür­mer) oder unver­meid­ba­re Sze­na­ri­en in denen Code Aus­füh­rung ohne War­nun­gen oder Ein­ga­be­auf­for­de­run­gen  erfol­gen. Dies kann das Sur­fen auf einer Web­sei­te oder das Öff­nen einer Email sein. Micro­soft emp­fiehlt, dass Kun­den kri­ti­sche Updates sofort ein­set­zen.

Für eine gestoh­le­nes Win­dows Cli­ent Gerät bedeu­tet das, dass ein Angrei­fer nur ein paar Wochen zuwar­ten muss, um eine Fül­le an doku­men­tier­ten und unge­fix­ten kri­ti­schen Sicher­heits­lü­cken auf einem Cli­ent-Sys­tem zu haben und dar­über ein­bre­chen kann!

Dies kann ein­fach durch ein kryp­to­gra­phi­sches Schloss (einer Pre-Boot-Authen­ti­sie­rung — PBA) ver­mie­den wer­den, bevor das Win­dows OS startet.

Nut­zen Sie kei­ne trans­pa­ren­te Ver­schlüs­se­lung mit Micro­soft Bit­Lo­cker, da dies Ihre Daten mög­li­cher­wei­se HEUTE schützt — bei einem aktu­ell gepatch­ten Cli­ent, jedoch defi­ni­tiv nicht MORGEN — bei einem unge­patch­ten Cli­ent mit kri­ti­schen Schwachstellen!