Vista: Recovery-Konsole doch kein Sicherheitsrisiko?

Microsoft bezeichnet windows Vista als sein bisher sicherstes Betriebssystem. Dennoch findet sich natürlich weiterhin die eine oder andere Schwachstelle. Vor einigen Tagen wurde eine besonders einfach zu nutzende "Lücke bekannt", die es erlauben soll, mit Administrator-Rechten auf die Festplatte zuzugreifen. Verschiedene Sicherheitsdienstleister wiesen darauf hin, dass ein Angreifer mit Hilfe der Wiederherstellungsoptionen von Windows Vista , die beim Starten von der Installations-DVD aufgerufen werden können, die Kommandozeile mit vollen Admin-Rechten nutzen kann, da dafür nicht wie bei Windows XP nach Benutzernamen und Passwort gefragt wird.

Jetzt hat Feliciano Intini, ein Sicherheitsexperte der italienischen Microsoft-Niederlassung, zu der angeblichen Schwachstelle Stellung genommen. Er wies die Behauptung zurück, dass es sich bei dem Fehlen der Passwortabfrage für die Nutzung der Wiederherstellungskonsole um eine Sicherheitslücke handele.

Wenn ein Angreifer ohnehin physischen Zugriff auf die Hardware habe, sei auch die Sicherheit nicht mehr gewährleistet, so seine Argumentation. Um die auf dem PC gespeicherten Daten dann noch zu schützen, sei nur die Verschlüsselung der Festplatte noch eine Lösung, da man auch durch ihren Ausbau an die gewünschten Informationen gelangen könnte.

Intini ging auch darauf ein, warum man sich entschieden hat, die bei der Wiederherstellungskonsole von Windows XP vorhandene Passwortabfrage nicht auch bei Vista einzusetzen. Seinen Angaben zufolge waren Probleme mit dem Dateisystem der Festplatte oder der Registrierungsdatenbank die Ursache für einen Großteil der Startschwierigkeiten von Windows XP.

Da für die Passwortabfrage jedoch ein Zugriff auf die Registry oder das Dateisystem nötig ist, mache deren Einsatz keinen Sinn, da ein Login bei einer Beschädigung von Registry oder Dateisystem ohnehin nicht mehr möglich ist. Um also die Möglichkeit zu schaffen, Probleme dieser beiden Systemkomponenten zu beseitigen, habe man auf die Passwortabfrage verzichtet.

Zusammenfassend schrieb Intini in seinem Weblog, dass Microsoft sich nicht weiter mit der angeblichen Schwachstelle befassen werde.