Sicherheit mit dem Hauptpasswort beim Fx und TB

Zitat von Msfreak

nun wollte ich darauf verzichten und wollte den Fx und TB mit einem Hauptpasswort schützen.

Mit Verlaub, ein guter Schutz sieht anders aus. Es sollte sich herumgesprochen haben, Thunderbird speichert die Mails in lesbarem Text. Auch sind Zweifel angebracht, ob das Hauptpasswort von FF und TB sicher ist. Ich habe neulich ein paar offene Bugs verlinkt und einen Artikel von Born. Bei Mozilla findet sich noch mehr dazu. An einer Stelle denkt sogar jemand von Mozilla laut darüber nach, das Hauptpasswort ganz abzuschaffen, damit die Leute einen umfassenden Schutz benutzen. Keine Teillösungen. Das würde sicher nach hinten losgehen. Die meisten Leute haben nicht mal ein Backup, geschweige einen vernünftigen Schutz. Die heulen dann gleich doppelt, wenn der Laptop mal verlustig geht.

Zitat von Msfreak

möchte gerne dazu eure Meinungen hören.

Wir reden von einem Laptop. Wie du schon geschrieben hast, das kann leicht gestohlen werden. Es muss nicht mal gleich geklaut werden. Wenn jemand für kurze Zeit unbeobachtet ran kann, reicht das schon. Es soll schon vorgekommen sein, dass ein Laptop am Flughafen bei der Security zurückgelassen werden musste oder in der Bahn vergessen wurde.

Faktum: Das Hauptpasswort schützt einzig und allein die gespeicherten Passwörter. Mehr nicht. Der Dieb kann alle Dateien lesen, die auf dem Laptop sind. Das heißt alle Mails, die lokal gespeichert sind. Alle Office-Dokumente, alle PDFs, alle Fotos. Der Rechner liegt offen vor ihm.

Mozilla hat nachgebessert, was die Anzahl der Iterationen beim Hashen betrifft. Aber! Die Anzahl der Versuche ist nicht begrenzt. Der Dieb kann in aller Ruhe einen Brute Force mit einer Wörterbuchattacke machen. Tools dafür gibt es im Internet, Zeit genug hat er. Dann hängt es einzig und allein von der Stärke des Passworts ab.

Meine Meinung daher, das Hauptpasswort ist besser als nichts, aber nie und nimmer "absolut ausreichend". Schon deshalb nicht, weil bis auf die Passwörter alles andere lesbar bleibt. Für jeden Noob. Dessen sollte man sich bewusst sein.

Zitat von Sören Hentzschel

Bevor da jemandem ein Floh ins Ohr gesetzt wird: Seitens Mozilla gibt es keine Pläne, das Hauptpasswort abzuschaffen.

Das war nicht meine Intention. Ich habe das deshalb erwähnt, weil jemand von Mozilla genau so argumentiert hat wie ich. Nur die gespeicherten Passwörter zu schützen, ist wenig sinnvoll.

Zitat von Sören Hentzschel

wie steht es mit einer grundsätzlichen Festplattenverschlüsselung?

Das wäre der vernünftige, umfassende Schutz. Unter Windows bietet sich Bitlocker an. Den gibt es, glaub ich, leider erst ab der Pro. Die paar Euro sollte es einem wert sein.

Zitat von Sören Hentzschel

Ansonsten, da du ja auch vom Diebstahl sprichst, wie steht es mit einer grundsätzlichen Festplattenverschlüsselung? Bei macOS ist das Standard, bei Windows weiß ich es nicht.

Standard ist es unter Windows 10 nicht (zu Windows 11 kann ich nichts sagen). Auch ist 'Bitlocker' nur in der Pro- bzw. Enterprise-Version standardmäßig überhaupt vorhanden und kann da aber sehr einfach aktiviert werden. Mit wenigen Einstellungen kann man dann auch ohne einen TPM-Chip Bitlocker nutzen, dann wird beim Hochfahren des Rechners grundsätzlich ein Passwort abgefragt. Vor ca. 2 Jahren hat MS auch eine fahrlässige 'Leichtgläubigkeit' von Bitlocker beseitigt und hat das Vertrauen in die Firmware selbstverschlüsselnder SSDs beendet und macht die Verschlüsselung jetzt immer selbst in Software. Somit ist es jetzt wohl als sicher zu betrachten (bis zur nächsten 'Überraschung' ). 'Veracrypt' hat wohl immer noch Probleme beim Verschlüsseln der Systempartition, zumindest was Updates anbelangt, sonst wäre das für mich auch hier 1.Wahl. Bleibt halt die Systempartition erstmal unter Microsofts Oberaufsicht, kann ich persönlich damit leben...