http://citp.princeton.edu.nyud.net/pub/coldboot.pdf
Ich habe mir das Dokument mal durchgelesen und schreibe hier das Wichtigste dazu mit ein paar Zitaten.
Je neuer die Ramtechnik, desto kürzer die Zeit, die die Daten gehalten werden.
Our first tests measured the decay rate of each memory module under normal operating temperature,
which ranged from 25,5 °C to 44,1 °C, depending on the machine (see Figures 1, 2, and 3). We found that the dimensions of the decay curves varied considerably between machines, with the fastest exhibiting complete data loss in approximately 2.5 seconds and the slowest taking an average of 35 seconds. However, the decay curves all display a similar shape, with an initial period of slow decay, followed by an intermediate period of rapid decay, and then a final period of slow decay.
POST (Power on Self Test) kann den ganzen Speicher überschreiben. (Leider unterstützt dies mein Rechner nicht).
On many machines, the BIOS can perform a destructive memory check during its Power-On Self Test (POST). Most of the machines we examined allowed this test to be disabled or bypassed (sometimes by
enabling an option called “Quick Boot”).
EEC Speicher kann ebenfalls gegen diese Attacke helfen.
On other machines, mainly high-end desktops and servers that support ECC memory, we found that the BIOS cleared memory contents without any override option. ECC memory must be set to a known state to avoid spurious errors if memory is read without being initialized [7], and we believe many ECC-capable systems perform this wiping operation whether or not ECC memory is installed. (ECC DRAMs are not immune to retention effects, and an attacker could transfer them to a non-ECC machine that does not wipe its memory on boot. Indeed, ECC memory could turn out to help the attacker by making DRAM more resistant to bit errors.)
Wichtig ist es, den Computer aus zu lassen. Sobald der PC wieder Strom hat, beginnt das Ram aufgefrischt zu werden. Das heißt es ist sinnlos ein Biospasswort zu setzen. Denn der Angreifer hat genug Zeit die gängigen Masterpasswörter auszutesten, der Arbeitsspeicherinhalt verfällt in dieser Zeit nicht.
Nach 1 bis 2 Minuten ist die Gefahr gebannt. Solange wird man die Grünen schon aufhalten können
.
With most disk encryption systems, users can protect themselves by powering off the machine completely when it is not in use. (BitLocker in “basic” TPM mode remains vulnerable, since the system will automatically mount the disk when the machine is powered on.) Memory contents may be retained for a short period after power-off, so the owner should keep an eye on the machine for a minute or so after removing power. Though effective, this countermeasure is very inconvenient given the long boot time of current
machines.
Relativ sicher wären ein Biospasswort und eine Gehäusesicherung. Sobald das Gehäuse geöffnet wird, setzt sich ein Elektroschocker in Gang und grillt die Arbeitsspeichermodule.
Übrigens ist mir dieses Behalten der Arbeitsspeicherdaten schon bei Backtrack aufgefallen, nachdem dies mir abgestürzt war.
oder eben ständig per Hotkey unmounten und Cache löschen, bevor man Standby aktiviert.
