(ShiftOS): Entsperrmethoden situativ trennen & kombinieren

[Silva]

Man kann normalerweise nur eine Möglichkeit zum Entsperren wählen.
Die Wahl ist zwischen Bequem und Sicher mehr oder weniger.
Wenn das Gerät seit dem letzten Neustart noch nicht entsperrt wurde (BFU/BeforeFirstUnlock) , bin ich für hohe Sicherheit mit langer PIN/Passphrase ohne Biometrie.
Ist es aber im aktiven Gebrauch (AFU / AfterFirstUnlock)ist langes Tippen lästig, da wäre es praktisch wenn man Fingerprint+einfachere PIN kombinieren könnte.

 

[halemmerich]

Das fand ich als Feature super. Früher hatte ich das mit FDE gelöst um ein langes Passwort vorm Boot zu haben. Ich weiß aber nicht was passiert, wenn man den Speicher ausliest, ist man dann in der Lage die kurze PIN anzugreifen?

 

[Silva]

Wenn man 2 Faktoren, biometrisch & Wissen kombiniert sollte das standhalten.

 

[halemmerich]

Biometrisch ist doch nur ein "Faktor" weil das OS dafür sorgt. Es wird doch wohl kein Kryptoschlüssel aus dem Fingerabdruck abgeleitet? Höchstens "entsperrt" wenn der Sensor ja sagt, aber das basiert soweit ich weiß auf der Integrität des Betriebssystems und der Hardware. Lasse mich da aber gerne eines besseren belehren.

 

[@Lhotze]

Früher hatte ich das mit FDE gelöst um ein langes Passwort vorm Boot zu haben.

Mit FDE (Full Disk Encryption) hat das früher super funktioniert. Jetzt mit FBE (File Based Encryption) wer mir bei keinem Hersteller ein anwendungsfall bekannt wo dieses Feature ohne Probleme umgesetzt werden könnte. Letzten Endes muss ja trotzdem bei jedem Entsperren (weil die Datein beim öffnen on the fly entschlüsselt werden der Crypto-Key aus dem TEE (Trusted Encryption Environment) ausgelesen werden was bedeuten würde das sowohl das lange Passwort als auch der kurze PIN in diesem hinterlegt wäre. Das wäre abseits der beabsichtigten Vorstellung und mit dieser Feature-wunsch meines Erachtens nicht sauber umzusetzen ist.

Greetz

 

[Silva]

Dazu muss ich erstmal weiter in der Dokumentation stöbern um das beurteilen zu können.
Ich denke aber wenn man zur Biometrie eine PIN hinzufügt als Kombination immer noch vor unfreiwilliger Entsperrung durch Dritte (Kinder die spielen wollen während man Sonntags ausschläft zum Beispiel^^)