Es gibt noch einen weiteren Aspekt: Ein potentieller Angreifer weiß, daß bei DATEV Datensicherungen liegen, währenddessen er bei AMAZON erst einmal keine Ahnung hat, wo er nach DATEV- Sicherungen suchen soll. Wenn dann Username und Dateinamen nicht auf den Inhalt der Daten hinweisen, dann müßte ein Angreifer, der Zugang zu allen Konten hätte, erst einmal alle Kunden- Archive durchstöbern um dann dieses eine Archiv zu entschlüsseln. Ein potentieller Angreifer wird sich diese Mühe nicht machen, es sei denn wer weiß, wo er wonach suchen muß. Wenn dem Angreifer natürlich AMAZON- Login und die Schlüssel bekannt sind, dann gibt es in der Kanzlei ein Sicherheitsproblem. Bei DATEV reicht die Kenntnis der Beraternummer aus, um den potentiellen Sicherungsbestand von einem DATEV- Mitarbeiter lokalisieren zu können. Natürlich wird kein DATEV- Mitarbeiter den Bestand ungeprüft herausgeben. Aber... genau hier könnte die Schwachstelle liegen. Mit der neuen Rechteverwaltung benötigt der Angreifer in der Kanzlei lediglich Zugang zu einem PC, um denn per Hacker- CD als Admin das Kennwort eines Windows- Users anzupassen, so daß er ohne NuKo auf den DATEV- Bestand zugreifen kann. Möglicherweise kann der manuelle Aufruf des Tool: "Updatemanager" aus der Widerherstellungskonsole ihm sogar ein Login schenken. (Nicht getestet, ob das funktioniert) Mein Fazit: Es gibt einfachere Wege, an den Datenbestand zu kommen, als ein verschlüsseltes Backup zu finden um dieses anschließend zu knacken. Sobald ein technisch versierter Angreifer Kenntnis über die kanzleiinternen Strukturen bekommt, wird es äußerst schwierig, einen Datenklau zu verhindern, wenn dieser Angreifer sich Zutritt verschafft hat.
... Mehr anzeigen