Systemschutz über die PCI-Schnittstelle
-
Könnte man eigentlich über eine PCI bzw. PCIe-Schnittstellenkarte sämtliche Zugriffe auf eine Festplatte, egal mit welchem BS gebootet wird,
blocken oder umleiten?
-
Ja kann man, was mit Software machbar ist kann man auch Hardwareseitig realisieren.
-
War auch mein Gedanke, dass das machbar sein müsste.
Allerdings sind die Karten, die ich kenne(Dr. Kaiser, Reborn) so konstruiert,
dass sie nur über das jeweilige Betriebssystem funktionieren.Sprich, boote ich z.B. über eine Linux-Cdrom, kann ich nach Belieben die Festplatte dauerhaft beschreiben, da wird dann also nichts gespiegelt, sprich, die Karte greift dann nicht.
D.h. wenn man so eine Karte als Virenschutz benutzen möchte, wäre das eine echte Schwäche, denn man bräuchte nur das BS zu umgehen und könnte so einen Virus installieren.
Die genannten Karten werden natürlich, das sollte man fairerweise sagen, hauptsächlich nicht als Virenschutz verkauft, trotzdem ist die Idee an sich doch ziemlich genial, sofern die Karte tatsächlich BS-unabhängig funktionieren würde.
-
Ohne zusätzliche Software wird die Karte nichts ausrichten können. Wie sollte sie irgendwelche Hardwarezugriffe abfangen können? Das wäre eine gravierende Sicherheitslücke, so ähnlich wie bei Firewire.
-
Systemschutz schrieb:
Allerdings sind die Karten, die ich kenne(Dr. Kaiser, Reborn) so konstruiert,
dass sie nur über das jeweilige Betriebssystem funktionieren.Sprich, boote ich z.B. über eine Linux-Cdrom, kann ich nach Belieben die Festplatte dauerhaft beschreiben, da wird dann also nichts gespiegelt [...]
<a href= schrieb:
Dr. Kaiser">Die Hardware-Ausführungen des PC-Wächters schützen bereits, bevor das Betriebssystem geladen wird. Sie können auch Änderungen am BIOS rückgängig machen. In der Standardeinstellung verhindert der PC-Wächter den Start von Betriebssystemen auf externen Datenträgern.
-
<a href= schrieb:
Dr. Kaiser">Die Hardware-Ausführungen des PC-Wächters schützen bereits, bevor das Betriebssystem geladen wird.
Leider stimmt das nicht bzw. bezieht sich diese Aussage nur auf den Schutz des Bios, da ich eine solche Karte besitze und das testen konnte.
Habe einfach mal bei eingwschaltetem Schutz mit einer Linux-Live-CD gebootet und
ein neues Verzeichnis auf c: erstellt, dann Rechner heruntergefahren und mit Windows wieder gebootet, Verzeichnis war noch da.
Natürlich hätte ich das Booten von CD mit der Karte unterbinden können, aber mir ging es darum zu testen, ob die Karte auch unter Umgehung des BS funktioniert.
-
Mechanics schrieb:
Ohne zusätzliche Software wird die Karte nichts ausrichten können. Wie sollte sie irgendwelche Hardwarezugriffe abfangen können? Das wäre eine gravierende Sicherheitslücke, so ähnlich wie bei Firewire.
Ok, da fehlt es mir dann vermutlich an Hardwarekenntnissen.
Hatte mir das so vorgestellt, dass die Karte sämtliche Speicherzugriffe auf ein bestimmtes Laufwerk umleitet, sprich, dass die Karte auf CPU-Ebene(weiss grad nicht,wie man das am besten schreibt,aber ist wohl klar, was ich meine.) eingreift.
So wie es ausieht, benutzt die Karte aber das BS und nicht die Hardware, um Speicherzugriffe umzulenken.
-
Die Zugriffe werden auf einer anderen Ebene verteilt. Wenn die Adresse zum Adressraum der PCI Karte gehört (und das wird vom Betriebssystem initialisiert, je nachdem, was die Karte haben will), geht der Zugriff an die Karte, ansonsten kriegt sie davon nichts mit.
-
Ok.
Im Prinzip müsste man doch aber auf dem Mainboard eine solche Schnittstelle einbauen können,die dann halt nur auf Hardwareebene funktioniert?
-
Systemschutz schrieb:
Ok.
Im Prinzip müsste man doch aber auf dem Mainboard eine solche Schnittstelle einbauen können,die dann halt nur auf Hardwareebene funktioniert?Es dürfte viel einfacher sein, einen SATA writeblocker zu kaufen und den zwischen Mainboard und Festplatte zu hängen. Damit ist die Platte read-only, egal, was das Betriebssystem versucht.
SATA writeblocker gibt es im Forensik-Bedarf.
-
Was alles gibt...
Allerdings frage ich mich, ob man diese Writeblocker auch mit bootenden HDs benutzen kann.
Denn Windows z.B. schreibt doch bestimmt alle Nase lang was auf die Festplatte.
Kriegt man dann jedesmal eine Fehlermeldung?
Eine andere Frage wäre auch noch, ob der Zugriff auf die Festplatte verlangsamt wird, wenn ja, wieviel.
-
Ein normales Betriebssystem ohne spezielle Vorkehrungen wirst du von einer read-only-Platte nicht booten können.
Ich seh keinen Grund, warum durch einen writeblocker irgendetwas langsamer werden sollte.