X2xx Tablet Sind Superviosor Passwörter riskant?

[Mahatma Andi]

Hallo,
ich habe noch eine Frage bezüglich des SVP: Und zwar hatte ich ursprünglich eines auf meinem x220t gesetzt um mich halbwegs vor Missbrauch bei Diebstahl / Verlust zu schützen (oder auch vor Trolls aus dem eigenen Kurs), da ich gehört hatte, dass sich diese Passwörter sich nicht so leicht entfernen lassen, was auf den ersten Blick sehr effektiv erscheint. Allerdings hat mich ein Kollege aus dem Forum freundlich darauf hingewiesen, dass diese Passwörter bei dem entfernen oder leer werden der BIOS Batterie das Gerät komplett bricken können. Somit habe ich mein SVP erstmal entfernt. Meine Frage wäre jetzt erstmal welches Ausmaß dieses "bricken" genau annimmt und was ihr empfehlen würdet / bzw was ihr vielleicht selber an eurem Gerät, welches ihr Unterwegs nutzt, eingestellt habt. Wenn man kein SVP gesetzt hat kann zwar "nichts kaputt gehen" aber die Gefahr von Missbrauch bei Verlust oder ein Troll welcher Passwörter setzt, und man unter Umständen keinen Zugriff mehr auf des Gerät hat, besteht oder man setzt sein eigenes Passwort aber kann auf Dauer sein Gerät kaputt machen.

mfG Andi

 

[li8w8]

Meines Wissens ist ein unbekanntes SVP problematisch, da es erst im normalen Betrieb abgefragt wird - wenn die Biosbatterie leer/abgetrennt war.
Habe jetzt noch keinen Fall mitbekommen, wo ein SVP sich selbst geändert hat.

Das einzige was mir zu gefährlichen Passwörtern einfällt ist das HDD-Passwort in Kombination mit SSDs:
(2011) https://thinkpad-forum.de/threads/121962-HDD-Passwort-auf-SSD-funktioniert-nicht-mehr

 

[linrunner]

Allerdings hat mich ein Kollege aus dem Forum freundlich darauf hingewiesen, dass diese Passwörter bei dem entfernen oder leer werden der BIOS Batterie das Gerät komplett bricken können.

Dann solltest Du ihn genauso freundlich darum bittten, dass er es künftig richtig erklärt, um keine unnötige Verunsicherung zu erzeugen:

Das ThinkPad startet in diesem Fall nur nach Eingabe des SVP. Solange man dieses weiß, ist kein Problem vorhanden.

 

[jal2]

Hallo,
ich habe noch eine Frage bezüglich des SVP: Und zwar hatte ich ursprünglich eines auf meinem x220t gesetzt um mich halbwegs vor Missbrauch bei Diebstahl / Verlust zu schützen (oder auch vor Trolls aus dem eigenen Kurs), da ich gehört hatte, dass sich diese Passwörter sich nicht so leicht entfernen lassen, was auf den ersten Blick sehr effektiv erscheint.

In diesem Fall würde ich statt des SVP eher ein "Power On Passwort" (POP) setzen. Das SVP unterbindet AFAIK nicht die Nutzung des Notebooks nach Diebstahl, sondern nur das Verändern von Optionen im BIOS.

 

[Mahatma Andi]

Das ThinkPad startet in diesem Fall nur nach Eingabe des SVP. Solange man dieses weiß, ist kein Problem vorhanden.

Meines Wissens ist ein unbekanntes SVP problematisch, da es erst im normalen Betrieb abgefragt wird - wenn die Biosbatterie leer/abgetrennt war.
Habe jetzt noch keinen Fall mitbekommen, wo ein SVP sich selbst geändert hat.

Vielen Dank für diese Klarstellung - d.h. ich kann ein Passwort ohne weitere Bedenken setzen?

Das einzige was mir zu gefährlichen Passwörtern einfällt ist das HDD-Passwort in Kombination mit SSDs:

Ich denke eine Verschlüsselung mit Programmen wie Truecryp ist da sowieso die bessere Wahl und macht diese Funktion eigentlich überflüssig - aber trotzdem gut zu wissen.

 

[pupsi]

Lässt sich aber auch umgehen, bzw. entfernen.

 

[Mahatma Andi]

In diesem Fall würde ich statt des SVP eher ein "Power On Passwort" (POP) setzen. Das SVP unterbindet AFAIK nicht die Nutzung des Notebooks nach Diebstahl, sondern nur das Verändern von Optionen im BIOS.

Mein Gerät ist mit Truecrypt verschlüsselt und ich wollte nur meine Einstellungen schützen bzw das Booten von externen Medien unterbinden, mit einem POP müsste ich beim Start dann 3 Passwörter eingeben, was auf dauer etwas nervig ist. Wenn das Gerät nicht verschlüsselt ist wäre dein Vorschlag die bessere Wahl

 

[Chris K]

Vielen Dank für diese Klarstellung - d.h. ich kann ein Passwort ohne weitere Bedenken setzen?

So lange Du es nicht vergißt, kein Problem...

 

[jal2]

Mein Gerät ist mit Truecrypt verschlüsselt und ich wollte nur meine Einstellungen schützen bzw das Booten von externen Medien unterbinden, mit einem POP müsste ich beim Start dann 3 Passwörter eingeben, was auf dauer etwas nervig ist. Wenn das Gerät nicht verschlüsselt ist wäre dein Vorschlag die bessere Wahl

Dann kann Dein Gerät aber nach Diebstahl mit einer anderen HD benutzt werden, oder?
Welches wäre das dritte Passwort? IMHO kann man bei Truecrypt-Verschlüsselung auf das Login beim OS verzichten.

 

[Retrostyle]

Fingerprintreader nachrüsten, braucht man kein PW "merken" und nur mit dem Finger kommt man dann an den Laptop bzw. die Daten.

 

[Mornsgrans]

In diesem Fall würde ich statt des SVP eher ein "Power On Passwort" (POP) setzen. Das SVP unterbindet AFAIK nicht die Nutzung des Notebooks nach Diebstahl, sondern nur das Verändern von Optionen im BIOS.

Das POP lässt sich durch Entfernen der BIOS-Batterie entfernen, das SVP nicht.
Somit ist "nur POP" nur eine temporäre Sperre, die sich problemlos aushebeln lässt. Ist ZUSÄTZLICH das SVP gesetzt, nützt das Aushebeln des POP nichts mehr.

Fingerprintreader nachrüsten, braucht man kein PW "merken" und nur mit dem Finger kommt man dann an den Laptop bzw. die Daten.

Immer eine gefährliche Sache, da das Passwort rasch vergessen wird. Entsprechende Threads haben wir hier im Forum.

 

[Phil2009]

Fingerprintreader

Der kann mit gewissem Aufwand aber auch wieder ausgehebelt werden. Natürlich nicht innerhalb der 5 Minuten, in denen der Besitzer mal pinkeln ist, aber das Risiko ist grundsätzlich vorhanden.

 

[jal2]

Das POP lässt sich durch Entfernen der BIOS-Batterie entfernen, das SVP nicht.
Somit ist "nur POP" nur eine temporäre Sperre, die sich problemlos aushebeln lässt. Ist ZUSÄTZLICH das SVP gesetzt, nützt das Aushebeln des POP nichts mehr.

Danke für die Korrektur, dass das POP durch Entfernen der BIOS-Batterie gelöscht wird, war mir nicht bewusst.

 

[Mahatma Andi]

Dann kann Dein Gerät aber nach Diebstahl mit einer anderen HD benutzt werden, oder?
Welches wäre das dritte Passwort? IMHO kann man bei Truecrypt-Verschlüsselung auf das Login beim OS verzichten.

Habe eben das Booten von einem anderem Medium getestet - und (leider) geht das tatsächlich.
POP -> Truecrypt -> Windows
Zwar wäre ich mit dieser "Passwort-Konfiguration" auf der sicheren Seite, da nach dem entfernen der BIOS Batterie und der damit verbundenen Löschung des POP das SVP greift, ist aber je nach Länge der Passwörter etwas umständlich. Denkbar wäre aber einfach kurze Passwörter für Windows und PO zu nutzen.

EDIT: Auf das Windowspasswort möchte ich nicht verzichten, wenn man den Rechner kurz alleine stehen lassen muss (wie zB oben beschrieben mit dem Pinkeln.^^) möchte ich meinen Rechner einfach sperren und wieder entsperren können.

Fingerprintreader nachrüsten, braucht man kein PW "merken" und nur mit dem Finger kommt man dann an den Laptop bzw. die Daten.

Mein Gerät hat schon einen solchen Scanner, aber leider sind meine Finger für eine effektive Nutzung zu fettig & schwitzig. Schon allein das Speichern der Abdrücke hat bei mir eine viertel Stunde gebraucht, da die Qualität der Scans angeblich immer zu schlecht war. Bei meinem Bruder hat es auf Anhieb geklappt, am Scanner liegt es also nicht.

 

[Pferdle]

Mein Gerät hat schon einen solchen Scanner, aber leider sind meine Finger für eine effektive Nutzung zu fettig & schwitzig. Schon allein das Speichern der Abdrücke hat bei mir eine viertel Stunde gebraucht, da die Qualität der Scans angeblich immer zu schlecht war. Bei meinem Bruder hat es auf Anhieb geklappt, am Scanner liegt es also nicht.

Doof.
Hier wäre Fingerprint zum kurzzeitigen Sperren vollkommen ausreichend.

 

[supertux]

Um auf die Ursprünglichen Fragen zurückzukommen:
- Solange man das SVP weiß oder irgendwo sicher hinterlegt hat kann eigentlich nichts passieren.
- Weiß man das SVP nicht mehr und zieht die CMOS-Batterie hat man ein großes Problem (Mainboard sperrt -> großer Briefbeschwerer -> Brick)
- Zieht man die CMOS-Batterie bei gesetztem SVP, aber weiß man dieses, ist das Gerät einfach wiederzubeleben (Mainboard sperrt -> SVP eingeben -> bestätigen -> No.5 lebt )

 

[huebi]

Im originalen BIOS mit Intel Management Engine (ME) und Advanced Management Technology (AMT) ordne ich Passwoerter jedweder Art eher einem "Cargo-Kult" zu.
Die AMT laeuft sogar im "Suspend to RAM"-Modus (S3) und hat uneingeschraenkt Zugriff auf Hauptspeicher, NV-RAM und BIOS-FLASH-ROM.
Wenn der Rechner dann noch am Netzt haengt, laesst er sich sogar unbemerkt an dem Passwoertern vorbei remote hacken.

Hinweise zur Passwortumgehung entfernt. Phil2009