Bildschirmschutz

[johndoe049]

Es gibt einen Bildschirmschutz von der Firma Promon,

irgendeine Idee, über welche API die es vermeiden, dass man den Fensterinhalt per Fernwartung oder Bildschirmkopie auslesen kann?

Kennt jemand diese Firma? 5000 EUR sind ein haufen Geld, daher würde ich erst einmal Informationen über deren Qualität herausfinden.

Danke im voraus.

Gruß
Johndoe

[himitsu]

Egal was du versuchst, es gibt immer Wege.
* "echtes" Foto vom Monitor
* den HDMI vom PC an den HDMI-In einer Video-Karte oder z.B. einer VU+ und dort dann einen Schnappschuss oder Video erstellen
* eine virtuelle Grafikkarte (Treiber) die einen virtuellen Monitor bereitstellt, dessen Inhalt in Bild-/Video-Datei gespeichert wird, oder als virtuelle WebCam von jedem Programm gelesen werden kann
* ...

Was willst du eigentlich erreichen?


Entwerder versuchen die Prozesse zu verhindern/abzuschießen, die sich in bekannte ScreenCaptureAPIs einklinken wollen,
oder sie versuchen sich vorher einzuklinken und dann nachfoldene Hooks zu behindern oder die BildDaten zu verändern (schwärzen).

Bin mir nicht sicher was TeamViewer benutzt,
aber es gibt z.B. im Direct3D eine nette ScreenCaptureAPI bzw. DesktopDuplicationAPI.
https://docs.microsoft.com/en-gb/win...esktop-dup-api
https://www.codeproject.com/Articles...ing-the-screen

[johndoe049]

Hallo,

es soll nicht möglich sein, per VNC, Teamvier möglichst auch RDP, etc. die Anwendung zu bedienen. D.h. es soll dann anstelle des Programmfensters nur ein schwarzes oder sonstwie gefaktes Fenster erscheinen.

Ist ein Projektwunsch, um sicherzustellen, dass wirklich nur direkt an einem PC ohne Fernzugriff auf die Anwendung zugegriffen werden kann. Man hat halt dieses bei Starmoney gesehen und will das jetzt auch haben...

Gruß
Johndoe

[himitsu]

Nja,

sowas wäre wohl das Einfachste:
Zitat: You need to create a protection rule for screen capture in the DLP policy in ePO.
https://community.mcafee.com/t5/Data...re/td-p/415859

https://softwareengineering.stackexc...e-applications
https://windowsreport.com/anti-screen-capture-software/ (ganz am Ende wird ein Programm erwähnt)



Tja, entweder was von ner Firma kaufen, die sich schon bissl länger mit sowas beschäftigt und mehr Wege kennt.

Oder selber bissl was versuchen, wue z.B. regelmäßig schauen ob dir bekannte Programme laufen, ala Skype, TeamViewer, RDP, VNC-irgendwas usw. und in dem Fall dein Programm beenden/nicht starten, bzw. so lange die Eingabe zu sperren und das Fenster oder Komponenten auszublenden oder ein Panel über alles (Wichtige) drüber legen (im eigenen Programm)

Und zusätzlich noch versuchen rauszufinden, ob dein Programm in einer VM läuft, denn da kannst im Windows schauen wie du willst, wenn das Capturing außerhalb ist.


Um "normale" Benutzer auszusperren, reicht es ja die geläufigen Programme zu behindern, bzw. seine Arbeit bei deren Aktivität einzustellen.
Es kommt auch drauf an wieviel Aufwand/Kosten man nicht scheut, aber egal wieviel, es ist nie auszuschließen, dass auch eine gute teure Firma nicht alles kennt und umgangen werden kann.
(drum schaffen es auch immer wieder Viren und deren Freunde an der AntiVirenSoftware vorbei, bis deren Weg bekannt wird)

[Hobbycoder]

Zitat:

Zitat von himitsu (Beitrag 1463385)

Oder selber bissl was versuchen, wue z.B. regelmäßig schauen ob dir bekannte Programme laufen, ala Skype, TeamViewer, RDP, VNC-irgendwas usw. und in dem Fall dein Programm beenden/nicht starten, bzw. so lange die Eingabe zu sperren und das Fenster oder Komponenten auszublenden oder ein Panel über alles (Wichtige) drüber legen (im eigenen Programm)

Das könnte schwierig werden, das es da echt ne Menge an Programmen gibt, und vor allem sogar Google Chrome die Möglichkeit bietet den Desktop zu teilen. Und Chrome deswegen zu verbieten...

[TigerLilly]

Hmm. Irgendwas hardwaretechnisches, was nur vor Ort zu machen ist. DVD-Lade auf der User muss sie zuschieben. Sowas wie ein Totmann-Schalter.

[Redeemer]

Zitat:

Zitat von TigerLilly (Beitrag 1463391)

Hmm. Irgendwas hardwaretechnisches, was nur vor Ort zu machen ist. DVD-Lade auf der User muss sie zuschieben.

Geht von selbst nach einier Zeit zu und man kann sie glaube ich sogar mit irgendeinem Befehl einfahren.

[Medium]

Zudem nimmt die Zahl der PCs mit optischem LW rapide ab. Ich habe zuhause z.B. nur noch eins per USB, dass ich 1-2x im Jahr bei Bedarf überhaupt anstöpsel.

[himitsu]

Zitat:

Zitat von Redeemer (Beitrag 1463395)

und man kann sie glaube ich sogar mit irgendeinem Befehl einfahren.

Die normalen 5"-Dinger ja, aber bei den winzigen Notebookdingern geht das nicht und die werden auch immer öfters in größeren Desktoprechnern verbaut,

aber wer hat heutzutage überhaupt noch sowas?
Meines liegt auch seit bestimmt schon 10 Jahren als USB-Geräte im Schrank, für die 3-4 selten Fälle, wo es mal benötigt wurde)

[Bernhard Geyer]

Zitat:

Zitat von johndoe049 (Beitrag 1463383)

Ist ein Projektwunsch, um sicherzustellen, dass wirklich nur direkt an einem PC ohne Fernzugriff auf die Anwendung zugegriffen werden kann. Man hat halt dieses bei Starmoney gesehen und will das jetzt auch haben...

Aber die Frage ist doch:
Wieso will man das?
Was will man eigentlich bezwecken das die Anwendung nicht über RemoteDeskop/Citrix/WebEx/TeamViewer/... bedienbar ist.
Was ist in dem Anwendungsumfeld schädlich/gefährlich/rechtlich problematisch wenn das gemacht wird?

Du solltest deinen Stackholtern klar machen
- Evaluierung Lösung kostet x €/Tage
- Einbau kostet Lizenzkosten SW + x €/Tage für Entwicklungsaufwand
- Wartung erhöht sich damit pro Jahr um x €

Dann zeigt sich ob dieser Wunsch nur ein "Wäre schön zu haben" oder wirklich ein notwendiges Feature der Lösung ist.

[hhcm]

Zitat:

Zitat von Bernhard Geyer (Beitrag 1463414)

Aber die Frage ist doch:
Wieso will man das?

Da fallen mir gleich mehrere Dinge ein.
Allerdings nur aus Privater hinsicht. Als Supporter eher weniger.

Gut, ich habe bei meinen Kunden per Teamviewer schon einiges gesehen was ich lieber nicht gesehen hätte. :freak:

Wie voll das Konto - wie hoch die Gewinnmarge oder wie hoch die Personalkosten sind, das geht auch einen Supporter bzw. Admin nichts an.

[Medium]

Zitat:

Zitat von hhcm (Beitrag 1463415)

Gut, ich habe bei meinen Kunden per Teamviewer schon einiges gesehen was ich lieber nicht gesehen hätte. :freak:

Im Allgemeinen würde ich da auch sagen, dass es 100% im Ermessen des Zugriffgewährenden liegt, wie "sauber" er seinen PC präsentiert. Ich mein... er/sie sieht's ja selber.

Zitat:

Wie voll das Konto - wie hoch die Gewinnmarge oder wie hoch die Personalkosten sind, das geht auch einen Supporter bzw. Admin nichts an.

Das ist eine der ganz wenigen Fälle, wo ich sowas als fast sinvoll anerkennen kann: Remote-Support für Finanz- bzw. Personalwesen! Allerdings stellt sich mir dann die Frage, was man denn in Fällen macht, in denen das Problem falsche Berechnungen oder DB Einträge sind - insbesondere wenn sich das Problem nicht mit einer anonymisierten Test-DB reproduzieren lässt.

Wir haben im industriellen Umfeld bei all unseren Kunden Vollzugriff auf z.B. deren Rezept-Datenbanken, in denen effektiv fast das gesamte Know-How abgebildet ist. Das hat vielen "da oben" anfangs sehr viel Kopfschmerzen gemacht. Als wir dann aber anhand historischer Daten illustriert haben, wie viel Produktionsausfall im Schnitt ohne diese Freizügigkeit angefallen sein könnte, war die Kröte in wenigen Stunden am Stück geschluckt und für lecker befunden. (Zumal wir, als das auf den Tisch kam, schon 15-20 Jahre so für den Kunden gearbeitet haben und immer 100% zuverlässig waren. Da Quatsch zu machen wäre nicht nur entgegen jeglicher Geschäftsmoral, sondern auch einfach nur dumm.)

[himitsu]

Aus Sicht des Anwenders/Kunden ist es dann auch garnicht nötig alles zu sperren, denn er selbst hat ja die Zugriffsprogramme aktiviert/installiert/installieren lassen und weiß Welche(s) es ist,
also würde es reichen den Zugriff darüber zu prüfen und dann im Programm die problematischen Daten/Teile/Funktionen auszublenden bzw. zu sperren/deaktiveren.

Klarr, wenn so eine Sperre aus Sicht des Herstellers/Entwicklers kommt, weil sein Programm so extrem inovativ ist, dass es immer nur auf dem lokalen Rechner mit einer eigenen teuren Lizenz laufen soll, ohne dass Mehrere via Remote die selbe Installation/Lizenz benutzen, dann müsste der natürlich enorm Aufwand beteiben und alles Mögliche verbieten.

Wenn sich der Schutz dann auch nicht vom Kunden deaktivieren lässt, dann muß im Ernstfall erst jemand dort persönlich hin ... das dauert länger, kostet mehr und es wird dennoch wieder alles gesehn.


OK, das gilt auch für einen Hersteller, der ein Konsumerprodukt herstellt (ala Starmoney), wo er mit den zuvielen Kunden selbst kaum Kontakt hat, der muß sich dann ebenfalls mit Allem auseinandersetzen.

[himitsu]

[edit] ups, wollte bearbeiten und hatte ausversehn zitiert. :oops:

[johndoe049]

Zitat:

Zitat von Bernhard Geyer (Beitrag 1463414)

Aber die Frage ist doch:
Wieso will man das?
Was will man eigentlich bezwecken das die Anwendung nicht über RemoteDeskop/Citrix/WebEx/TeamViewer/... bedienbar ist.
Was ist in dem Anwendungsumfeld schädlich/gefährlich/rechtlich problematisch wenn das gemacht wird?

Du solltest deinen Stackholtern klar machen
- Evaluierung Lösung kostet x €/Tage
- Einbau kostet Lizenzkosten SW + x €/Tage für Entwicklungsaufwand
- Wartung erhöht sich damit pro Jahr um x €

Dann zeigt sich ob dieser Wunsch nur ein "Wäre schön zu haben" oder wirklich ein notwendiges Feature der Lösung ist.

Es ist eine GUI und Statusüberwachung für eine Maschinensteuerung. Bei Fehlern kann es sehr schnell teuer werden. Daher soll man bei der Anmeldung auch eine zufällige Ziffernfolge zusätzlich eingeben. Wird dass per Sperre nicht remote angezeigt, ist eine Anmeldung nicht möglich. Fehlversuch wird direkt weitergegeben und löst Alarmsignal + Herunterfahren der Anlage aus. Keine freien Fehlversuche. Erste Anmeldung muss korrekt sein.

Befürchtung ist, jemand greift per Remote zu und baut dann Mist in der Produktion...

Ich mach den mal ne schöne Kalkulation auf. Mal sehen, was kommt.

[himitsu]

Ganz billig ist dort zu verbieten, dass jemand solche Programme zur Fensteuerung installiert und die Ports zu sperren, oder gar dass überhaupt irgendwas selbst installiert bzw. draufkopiert/ausgeführt wird.
Ein RDP-Client ist zwar drauf, aber lässt sich wie Gruppenrichtlinien verbieten.

Und relativ billig ist auch eine Hardwarelösung, also ein Knopf an USB oder gleich ein eigener Zifferblock. (da kann dann auch niemand via Remote draufdrücken, außer er stellt sich einen Roboterarm daneben :stupid:)
Oder von mir aus auch was mit RFID oder Barcodescanner, wo jemand was persönlich davor halten muß.

[Medium]

Zitat:

Zitat von johndoe049 (Beitrag 1463482)

Befürchtung ist, jemand greift per Remote zu und baut dann Mist in der Produktion...

Wenn das derart delikat ist, warum dann überhaupt Möglichkeiten des Remotezugriffs schaffen? Wartung sollte bei solch kritischen Anlagen ja ohnehin nur vor Ort erfolgen, damit man die Maschinen stets im Blick haben kann.

[blawen]

Zitat:

Zitat von johndoe049 (Beitrag 1463482)

bei der Anmeldung auch eine zufällige Ziffernfolge zusätzlich eingeben. Wird dass per Sperre nicht remote angezeigt, ist eine Anmeldung nicht möglich. Fehlversuch wird direkt weitergegeben und löst Alarmsignal + Herunterfahren der Anlage aus.

Ich nehme mal an, dass Du Dich verschrieben hast. Wird bei einem Fehlversuch wirklich alles sofort heruntergefahren?
Was ist z.B. mit dem Übermitteln der zusätzlichen Ziffernfolge an ein Mobile Phone?

[himitsu]

Oder jemand steht davor und vertippt sich. :oops:

[OT]
Ich hatte schon an Anlagen gearbeitet, da dauert es einen Tag, bis die wieder hochgefahren und betriebsbereit sind.
Und wenn dann da grade Dinge im Werte von paar Millionen drinen bearbeitet werden, dann ist ein "Runterfahren" gut abzuwägen.
Der Ingenieur, welcher einen Not-Aus genau in Höhe der Arschbacken, gegenüber einer Stelle einbaute, wo man sich öfters bücken muß ... es dauerte eine Weile, bis man rausfand warum das Ding ausgeht, wenn einer der Azubis in der Nähe war, als der Abteilungsleiter dem Azubi zeigen wollte wie man es richtig macht ..... und bsssssssssuuuuuummmmm ... schon kannte man den Grund.

[Moombas]

Zitat:

Zitat von johndoe049 (Beitrag 1463482)

Es ist eine GUI und Statusüberwachung für eine Maschinensteuerung. Bei Fehlern kann es sehr schnell teuer werden. Daher soll man bei der Anmeldung auch eine zufällige Ziffernfolge zusätzlich eingeben. Wird dass per Sperre nicht remote angezeigt, ist eine Anmeldung nicht möglich. Fehlversuch wird direkt weitergegeben und löst Alarmsignal + Herunterfahren der Anlage aus. Keine freien Fehlversuche. Erste Anmeldung muss korrekt sein.

Befürchtung ist, jemand greift per Remote zu und baut dann Mist in der Produktion...

Ganz doof gedacht: Die zufällige Ziffernfolge (verschlüsselte Übertragung) auf eine weitere externe Anzeige (kein normaler Monitor!) bringen. Z.B. Zeilendisplay oder ähnliches.

[johndoe049]

Zitat:

Ich nehme mal an, dass Du Dich verschrieben hast. Wird bei einem Fehlversuch wirklich alles sofort heruntergefahren?
Was ist z.B. mit dem Übermitteln der zusätzlichen Ziffernfolge an ein Mobile Phone?

Ja. Maschine wird heruntergefahren. Neustart dauert nur ein paar Minuten. Mobile Phone - ESD Abschirmung. Funk geht nicht rein und Raus. Ausserdem: Handyverbot.

Zitat:

Und wenn dann da grade Dinge im Werte von paar Millionen drinen bearbeitet werden, dann ist ein "Runterfahren" gut abzuwägen.

Produkthaftung und Folgekosten sind das Problem. Das Produkt an sich nicht. Nur die Auswirkungen, wenn hier was falsch läuft sind erheblich.

Zitat:

Wenn das derart delikat ist, warum dann überhaupt Möglichkeiten des Remotezugriffs schaffen? Wartung sollte bei solch kritischen Anlagen ja ohnehin nur vor Ort erfolgen, damit man die Maschinen stets im Blick haben kann.

Die Produktionsdetails sind verschlüsselt auf einem zentralen Server. Daher Netzwerkverbindung und die theoretische Möglichkeit eines unerlaubten Fernzugriffes von innen.

Zitat:

Und relativ billig ist auch eine Hardwarelösung, also ein Knopf an USB oder gleich ein eigener Zifferblock. (da kann dann auch niemand via Remote draufdrücken, außer er stellt sich einen Roboterarm daneben )
Oder von mir aus auch was mit RFID oder Barcodescanner, wo jemand was persönlich davor halten muß.

Wird nicht gewünscht.

Ich werde mich mit Promon mal auseinandersetzen uns sehen, was machbar ist.

[Moombas]

Zitat:

Zitat von johndoe049 (Beitrag 1463548)

Zitat:

Und relativ billig ist auch eine Hardwarelösung, also ein Knopf an USB oder gleich ein eigener Zifferblock. (da kann dann auch niemand via Remote draufdrücken, außer er stellt sich einen Roboterarm daneben )
Oder von mir aus auch was mit RFID oder Barcodescanner, wo jemand was persönlich davor halten muß.

Wird nicht gewünscht.

Ich werde mich mit Promon mal auseinandersetzen uns sehen, was machbar ist.

Ganz im Ernst, egal wessen Hardwareseitige Lösung es ist, so eine (wirklich sichere) Lösung aus kaufmännischer Sicht steht in keinem Verhältnis zu dem von deinem angesprochenen Anbieter.

[Medium]

Zitat:

Zitat von johndoe049 (Beitrag 1463548)

Die Produktionsdetails sind verschlüsselt auf einem zentralen Server. Daher Netzwerkverbindung und die theoretische Möglichkeit eines unerlaubten Fernzugriffes von innen.

Netzwerkanbindug impliziert doch aber nicht zwangsweise Remote-Zugriff. Dafür muss immer aktiv ein Client installiert werden, bzw. das Windows eigene RDP aktiviert werden. Klar könnte diese Client-Funktion auch eine Malware herstellen, aber dann liegt das Problem nicht bei der theoretischen Abgreifbarkeit des Bildschirminhaltes, sondern unzureichendem Malware-Schutz. Eine Firewall würde zudem sehr gut regulieren können was für ein Netzwerkverkehr überhaupt zu dem Gerät zugelassen wird.

[Sinspin]

Zitat:

Zitat von johndoe049 (Beitrag 1463482)

Befürchtung ist, jemand greift per Remote zu und baut dann Mist in der Produktion...

...oder klaut Firmenwissen.

Das lässt sich eigentlich ganz einfach verhindern.
Das interne Netz hat keine physikalische Anbindung ans Internet. Stecker ziehen und gut.
Ich habe einige Projekte für einen solchen Kunden, mit gutem Sicherheitsbewustsein, mit entwickelt.
Irgendwann fängt man von alleine an eine gewisse Genauigkeit an den Tag zu legen um nicht jedesmal eine Woche auf Testergebnisse warten zu müssen oder stundenlang in der Produktionshalle zwischen den Robotern zu hocken, bei einem Lärm den nichts vermag aufzuhalten (gab noch keine Bose ANC zu der Zeit).

[jfheins]

Vielleicht wäre SetWindowDisplayAffinity() etwas für dich?

In einem normalen Screenshot ist dann nur noch schwarz zu sehen....