Datenschutz auf dem Stand von anno Dunnemals

German support forum

Moderators: white, Hacker, Stefan2

Gloster
Junior Member
Junior Member
Posts: 23
Joined: 2015-09-24, 10:57 UTC

Datenschutz auf dem Stand von anno Dunnemals

Post by *Gloster »

In unreglmäßigen Abständen inspiziere ich die WINCMD.INI und bin immer wieder erstaunt, daß ich dort alles finden kann, was ich eigentlich an Paßwörtern nur im Kopf haben sollte. Ich frage mich, ob dies forensische Problem im Bewußtsein der meisten User überhaupt vorhanden ist. Es gibt zwar ein paar Schalter (Save xyz) über die man das schlimmste verhüten kann, aber wie lange hält das vor? Bis zur nächsten Installation. Man kann die Wincmd.ini auch mit einem Schreibschutzattribut versehen, was auch unsicher ist und Nachteile hat. Abhilfe schaffen könnte hier eine grundsätzliche und generelle Datenschutzeinstellung, die man bewußt deaktivieren muß, auch bei einer Neuinstallation. Dateien wie WINCMD.INI sollten auch wenigstens verschlüsselt abgespeichert werden. Das Problem sollte auch mehr ins Bewußtsein gerückt werden und vorrangig behandelt werden.
User avatar
Horst.Epp
Power Member
Power Member
Posts: 6450
Joined: 2003-02-06, 17:36 UTC
Location: Germany

Post by *Horst.Epp »

Das ganze hat mit Datenschutz und Forensik gar nichts zu tun.
Eine schreibgeschütze wincmd.ini ist für den Normalbetrieb unbrauchbar,
ausser man hat viele Sektionen relocated.
In meiner Ini File finde ich keine Passwörter,
welche nicht mit dem Masterpassword verschlüsselt sind.
Windows 11 Home x64 Version 23H2 (OS Build 22631.3374)
TC 11.03 x64 / x86
Everything 1.5.0.1371a (x64), Everything Toolbar 1.3.2, Listary Pro 6.3.0.69
QAP 11.6.3.2 x64
User avatar
norfie²
Power Member
Power Member
Posts: 986
Joined: 2006-02-10, 07:27 UTC

Post by *norfie² »

Mit der WINCMD.INI ist alles in Ordnung. Da werden keine Passwörter gespeichert, es sei denn man gibt diese im Klartext ein, z.B. in der Kommandozeile, in der Suche o.ä. Es gibt die Möglichkeit einzelne Abschnitte der WINCMD.INI in andere Dateien umzuleiten, diesen kann man einen Schreibschutz verpassen oder regelmäßig löschen. Wer meint die WINCMD.INI verschlüsseln zu müssen, kann dies heute schon tun, indem er die Betriebssystemmittel wie z.B. EFS nutzt.
"War is evil, in so far as it makes more bad people than it takes away."
Immanuel Kant in "Perpetual Peace"
User avatar
Dalai
Power Member
Power Member
Posts: 9364
Joined: 2005-01-28, 22:17 UTC
Location: Meiningen (Südthüringen)

Re: Datenschutz auf dem Stand von anno Dunnemals

Post by *Dalai »

Gloster wrote:In unreglmäßigen Abständen inspiziere ich die WINCMD.INI und bin immer wieder erstaunt, daß ich dort alles finden kann, was ich eigentlich an Paßwörtern nur im Kopf haben sollte.
Kannst du mal ein konkretes Beispiel nennen, welcher Schlüssel in welchem Abschnitt solcherlei Passwörter enthält? Momentan fällt mir kein einziges Beispiel ein, wo das so sein sollte. Passwörter werden im TC nur im Bereich FTP verwendet, und diese Passwörter stehen weder in der wincmd.ini noch sind sie im Klartext.

Grüße
Dalai
#101164 Personal licence
Ryzen 5 2600, 16 GiB RAM, ASUS Prime X370-A, Win7 x64

Plugins: Services2, Startups, CertificateInfo, SignatureInfo, LineBreakInfo - Download-Mirror
User avatar
Hacker
Moderator
Moderator
Posts: 13052
Joined: 2003-02-06, 14:56 UTC
Location: Bratislava, Slovakia

Post by *Hacker »

Dalai,
Kommandozeilenhistory.

Roman
Mal angenommen, du drückst Strg+F, wählst die FTP-Verbindung (mit gespeichertem Passwort), klickst aber nicht auf Verbinden, sondern fällst tot um.
User avatar
Dalai
Power Member
Power Member
Posts: 9364
Joined: 2005-01-28, 22:17 UTC
Location: Meiningen (Südthüringen)

Post by *Dalai »

2Hacker
Selbst da fällt mir kein praktisches Beispiel ein, bei dem ich einem (anderen) Programm ein Passwort als Parameter mitgeben müsste.

Grüße
Dalai
#101164 Personal licence
Ryzen 5 2600, 16 GiB RAM, ASUS Prime X370-A, Win7 x64

Plugins: Services2, Startups, CertificateInfo, SignatureInfo, LineBreakInfo - Download-Mirror
User avatar
karlchen
Power Member
Power Member
Posts: 4601
Joined: 2003-02-06, 22:23 UTC
Location: Germany

Post by *karlchen »

Nur ein denkbares Beispiel

Code: Select all

sqlplus anwender/password@datenbankname

Ist eine Kommandozeile, die Oracle Datenbankadministratoren gar nicht so selten verwenden werden, um sich mit einer Oracle Datenbank zu verbinden.
MX Linux 21.3 64-bit xfce, Total Commander 10.52 64-bit
The people of Alderaan keep on bravely fighting back the clone warriors sent out by the unscrupulous Sith Lord Palpatine.
The Prophet's Song
User avatar
Hacker
Moderator
Moderator
Posts: 13052
Joined: 2003-02-06, 14:56 UTC
Location: Bratislava, Slovakia

Post by *Hacker »

Dalai,
Packer.

Roman
Mal angenommen, du drückst Strg+F, wählst die FTP-Verbindung (mit gespeichertem Passwort), klickst aber nicht auf Verbinden, sondern fällst tot um.
User avatar
Dalai
Power Member
Power Member
Posts: 9364
Joined: 2005-01-28, 22:17 UTC
Location: Meiningen (Südthüringen)

Post by *Dalai »

Hm, offenbar haben wir total unterschiedliche Arbeitsweisen, denn ich habe nie das Verlangen oder die Notwendigkeit gehabt, Packer via TC-Kommandozeile aufzurufen. Ich packe immer entweder mit Alt+F5 oder via Kontextmenü (WinRAR) - letzteres dann ggf. auch unter Verwendung von Archivverschlüsselung mittels Passwörtern.

Aber ich denke, es ist müßig, zu mutmaßen. Wir sollten warten, bis Gloster sich wieder zu Wort meldet. Abhängig davon kann man konkrete Empfehlungen geben, wie man die Speicherung von Passwörtern in der wincmd.ini verhindern kann.

Grüße
Dalai
#101164 Personal licence
Ryzen 5 2600, 16 GiB RAM, ASUS Prime X370-A, Win7 x64

Plugins: Services2, Startups, CertificateInfo, SignatureInfo, LineBreakInfo - Download-Mirror
User avatar
Horst.Epp
Power Member
Power Member
Posts: 6450
Joined: 2003-02-06, 17:36 UTC
Location: Germany

Post by *Horst.Epp »

karlchen wrote:Nur ein denkbares Beispiel

Code: Select all

sqlplus anwender/password@datenbankname

Ist eine Kommandozeile, die Oracle Datenbankadministratoren gar nicht so selten verwenden werden, um sich mit einer Oracle Datenbank zu verbinden.
Sowas mache ich mit KeePass.
Windows 11 Home x64 Version 23H2 (OS Build 22631.3374)
TC 11.03 x64 / x86
Everything 1.5.0.1371a (x64), Everything Toolbar 1.3.2, Listary Pro 6.3.0.69
QAP 11.6.3.2 x64
User avatar
karlchen
Power Member
Power Member
Posts: 4601
Joined: 2003-02-06, 22:23 UTC
Location: Germany

Post by *karlchen »

Moin, Horst.Epp.

Es ging auch nur darum, ein Beispiel zu geben, wie über die Befehlshistorie Passworte in der wincmd.ini landen könnten.
Es ging mir nicht darum, aufzuzeigen, wie man genau das vermeidet.

Eines steht jedenfalls fest, der Total Commander kann nicht erkennen, dass in meinem Beispiel ein Passwort in der Kommandzeile enthalten ist.
Man kann ihm daher auch nicht vorwerfen, dass er die gesamte Befehlszeile, so wie sie eingegeben worden ist samt Passwort im Klartext, abspeichert.

Dasselbe würde passieren, wenn ich das sqlplus Kommando in derselben Weise z.B. in der Linux bash eingebe und die Befehlshistorie dort eingeschaltet ist. (Per Vorgabe ist sie das erst mal.) Auch dort landet dann mein Klartextpasswort in der Befehlshistorie.

Ansonsten müssen wir wirklich auf Gloster warten und darauf, ob er verrät, in welchen Abschnitten der wincmd.ini Passworte gespeichert worden sind.
Das würde hoffentlich Rückschlüsse zulassen, bei welchen Gelegenheiten Gloster selbst diese Passworte im Total Commander eingegeben hat, ohne dass T.C. erkennen kann, dass es sich um Passworte handelt.

Grüße
Karl
MX Linux 21.3 64-bit xfce, Total Commander 10.52 64-bit
The people of Alderaan keep on bravely fighting back the clone warriors sent out by the unscrupulous Sith Lord Palpatine.
The Prophet's Song
User avatar
ghisler(Author)
Site Admin
Site Admin
Posts: 48021
Joined: 2003-02-04, 09:46 UTC
Location: Switzerland
Contact:

Post by *ghisler(Author) »

Wer Passwörter in der Kommandozeile eingibt, sollte den Kommandozeilenverlauf abschalten - woher soll Total Commander denn "wissen", welche Kommandozeilen ein Passwort enthalten?

Konfigurieren - Einstellungen - Operation - Speichern beim Beenden:
"Alte Kommandozeilen" deaktivieren.
Author of Total Commander
https://www.ghisler.com
User avatar
Lefteous
Power Member
Power Member
Posts: 9535
Joined: 2003-02-09, 01:18 UTC
Location: Germany
Contact:

Post by *Lefteous »

Für mich ist es völlig klar, dass sich hier etwas tun sollte. SpeedCommanderhat aus gutem Grund eine 'private (file) browsing' function. Auch für das normale Arbeiten sollte das Löschen non History-Daten vereinfacht werden. Ein generelles Nichtspeichern der Kommandozeile ist auch keine gute Lösung.
User avatar
matixx
Power Member
Power Member
Posts: 1117
Joined: 2003-03-21, 02:37 UTC
Location: ....

Post by *matixx »

@Lefteous: schließe mich an
User avatar
ZoSTeR
Power Member
Power Member
Posts: 1008
Joined: 2004-07-29, 11:00 UTC

Post by *ZoSTeR »

Auch ich halte Lefteous' Vorschlag für durchaus angebracht. Bei PCs die von mehreren Personen genutzt werden, wäre ein Private Mode oder das einfache Löschen von History Daten sehr sinnvoll.
Dies ist natürlich auch über Nutzerprofile lösbar, ich persönlich bevorzuge jedoch immernoch die "Ini im Programmverzeichnis" Variante der TC-Installation.
Post Reply