Mit der Meldung über den Angriff auf TPM-Bitlocker hier noch ein paar Erklärungen.

Sind die alle doof, dass sie so einen Angriff zulassen? Nein, sind sie nicht.

Wenn jemand diesen Bus abgreifen kann, hat er physischen Zugriff auf die Hardware, oder zumindest gehabt. Wer diese Art von Zugriff hat, kann auch eine Wanze installieren und die Passphrase mitlesen.

Bitlocker bietet grundsätzlich nur Schutz unter der Annahme, dass die Hardware die ganze Zeit unter deiner Kontrolle war. Wenn die Grenzer am Flughafen das Gerät nehmen und damit in einen anderen Raum gehen, z.B., dann ist das vergiftet und muss als kompromittiert gelten. Neuinstallation hilft nicht.

Das heißt aber auch: Wer Bitlocker nur mit TPM und ohne Passphrase verwendet, der hat keinen Schutz gegen das Szenario, für das man Bitlocker normalerweise einsetzt: Der Laptop wird gestohlen.

Leuchtet ja auch intuitiv ein. Das TPM hat einen gerätespezifischen Schlüssel. Ein Bitlocker, der den Schlüssel vom TPM kriegt, schützt nicht vor Diebstahl des gesamten Gerätes. Das schützt nur dagegen, dass jemand die Platte ausbaut und woanders einbaut und dann reinbootet.

Die Bitlocker-Leute sind da auch ganz offen mit, welcher Modus wogegen hilft. Die sind auch offen darüber, dass man keinen Sleep-Modus machen darf mit dem Gerät, wenn es Bitlocker-verschlüsselt ist. Wenn das Gerät im Sleep-Modus wegkommt, kann man den Schlüssel relativ einfach aus dem RAM auslesen.

Wenn ihr also gerade Bitlocker einsetzt aber keine Passphrase vergeben habt, dann könnt ihr euch das auch direkt sparen. Das ist dann reines Compliance-Theater, nicht Security. Bringt gar nichts.

01.08.2021