Datenschutz auf dem Stand von anno Dunnemals

[Gloster]

In unreglmäßigen Abständen inspiziere ich die WINCMD.INI und bin immer wieder erstaunt, daß ich dort alles finden kann, was ich eigentlich an Paßwörtern nur im Kopf haben sollte. Ich frage mich, ob dies forensische Problem im Bewußtsein der meisten User überhaupt vorhanden ist. Es gibt zwar ein paar Schalter (Save xyz) über die man das schlimmste verhüten kann, aber wie lange hält das vor? Bis zur nächsten Installation. Man kann die Wincmd.ini auch mit einem Schreibschutzattribut versehen, was auch unsicher ist und Nachteile hat. Abhilfe schaffen könnte hier eine grundsätzliche und generelle Datenschutzeinstellung, die man bewußt deaktivieren muß, auch bei einer Neuinstallation. Dateien wie WINCMD.INI sollten auch wenigstens verschlüsselt abgespeichert werden. Das Problem sollte auch mehr ins Bewußtsein gerückt werden und vorrangig behandelt werden.

[Horst.Epp]

Das ganze hat mit Datenschutz und Forensik gar nichts zu tun.
Eine schreibgeschütze wincmd.ini ist für den Normalbetrieb unbrauchbar,
ausser man hat viele Sektionen relocated.
In meiner Ini File finde ich keine Passwörter,
welche nicht mit dem Masterpassword verschlüsselt sind.

[norfie²]

Mit der WINCMD.INI ist alles in Ordnung. Da werden keine Passwörter gespeichert, es sei denn man gibt diese im Klartext ein, z.B. in der Kommandozeile, in der Suche o.ä. Es gibt die Möglichkeit einzelne Abschnitte der WINCMD.INI in andere Dateien umzuleiten, diesen kann man einen Schreibschutz verpassen oder regelmäßig löschen. Wer meint die WINCMD.INI verschlüsseln zu müssen, kann dies heute schon tun, indem er die Betriebssystemmittel wie z.B. EFS nutzt.

[Dalai]

In unreglmäßigen Abständen inspiziere ich die WINCMD.INI und bin immer wieder erstaunt, daß ich dort alles finden kann, was ich eigentlich an Paßwörtern nur im Kopf haben sollte.

Kannst du mal ein konkretes Beispiel nennen, welcher Schlüssel in welchem Abschnitt solcherlei Passwörter enthält? Momentan fällt mir kein einziges Beispiel ein, wo das so sein sollte. Passwörter werden im TC nur im Bereich FTP verwendet, und diese Passwörter stehen weder in der wincmd.ini noch sind sie im Klartext.

Grüße
Dalai

[Hacker]

Dalai,
Kommandozeilenhistory.

Roman

[Dalai]

2Hacker
Selbst da fällt mir kein praktisches Beispiel ein, bei dem ich einem (anderen) Programm ein Passwort als Parameter mitgeben müsste.

Grüße
Dalai

[karlchen]

Nur ein denkbares Beispiel

Code: Select all

sqlplus anwender/password@datenbankname

Ist eine Kommandozeile, die Oracle Datenbankadministratoren gar nicht so selten verwenden werden, um sich mit einer Oracle Datenbank zu verbinden.

[Hacker]

Dalai,
Packer.

Roman

[Dalai]

Hm, offenbar haben wir total unterschiedliche Arbeitsweisen, denn ich habe nie das Verlangen oder die Notwendigkeit gehabt, Packer via TC-Kommandozeile aufzurufen. Ich packe immer entweder mit Alt+F5 oder via Kontextmenü (WinRAR) - letzteres dann ggf. auch unter Verwendung von Archivverschlüsselung mittels Passwörtern.

Aber ich denke, es ist müßig, zu mutmaßen. Wir sollten warten, bis Gloster sich wieder zu Wort meldet. Abhängig davon kann man konkrete Empfehlungen geben, wie man die Speicherung von Passwörtern in der wincmd.ini verhindern kann.

Grüße
Dalai

[Horst.Epp]

Nur ein denkbares Beispiel

Code: Select all

sqlplus anwender/password@datenbankname

Ist eine Kommandozeile, die Oracle Datenbankadministratoren gar nicht so selten verwenden werden, um sich mit einer Oracle Datenbank zu verbinden.

Sowas mache ich mit KeePass.

[karlchen]

Moin, Horst.Epp.

Es ging auch nur darum, ein Beispiel zu geben, wie über die Befehlshistorie Passworte in der wincmd.ini landen könnten.
Es ging mir nicht darum, aufzuzeigen, wie man genau das vermeidet.

Eines steht jedenfalls fest, der Total Commander kann nicht erkennen, dass in meinem Beispiel ein Passwort in der Kommandzeile enthalten ist.
Man kann ihm daher auch nicht vorwerfen, dass er die gesamte Befehlszeile, so wie sie eingegeben worden ist samt Passwort im Klartext, abspeichert.

Dasselbe würde passieren, wenn ich das sqlplus Kommando in derselben Weise z.B. in der Linux bash eingebe und die Befehlshistorie dort eingeschaltet ist. (Per Vorgabe ist sie das erst mal.) Auch dort landet dann mein Klartextpasswort in der Befehlshistorie.

Ansonsten müssen wir wirklich auf Gloster warten und darauf, ob er verrät, in welchen Abschnitten der wincmd.ini Passworte gespeichert worden sind.
Das würde hoffentlich Rückschlüsse zulassen, bei welchen Gelegenheiten Gloster selbst diese Passworte im Total Commander eingegeben hat, ohne dass T.C. erkennen kann, dass es sich um Passworte handelt.

Grüße
Karl

[ghisler(Author)]

Wer Passwörter in der Kommandozeile eingibt, sollte den Kommandozeilenverlauf abschalten - woher soll Total Commander denn "wissen", welche Kommandozeilen ein Passwort enthalten?

Konfigurieren - Einstellungen - Operation - Speichern beim Beenden:
"Alte Kommandozeilen" deaktivieren.

[Lefteous]

Für mich ist es völlig klar, dass sich hier etwas tun sollte. SpeedCommanderhat aus gutem Grund eine 'private (file) browsing' function. Auch für das normale Arbeiten sollte das Löschen non History-Daten vereinfacht werden. Ein generelles Nichtspeichern der Kommandozeile ist auch keine gute Lösung.

[matixx]

@Lefteous: schließe mich an

[ZoSTeR]

Auch ich halte Lefteous' Vorschlag für durchaus angebracht. Bei PCs die von mehreren Personen genutzt werden, wäre ein Private Mode oder das einfache Löschen von History Daten sehr sinnvoll.
Dies ist natürlich auch über Nutzerprofile lösbar, ich persönlich bevorzuge jedoch immernoch die "Ini im Programmverzeichnis" Variante der TC-Installation.