extra Comp. für Linux für Onlinebanking oder VM mit Linux unter Windows?

[Rolf R. (dankobum)]

Bisher nutze ich 2 Computer: der eine mit Windows 10 für den normalen 
Gebrauch und ein Debian-Linux-Notebook für das Onlinebanking.

Meine Frage ist jetzt: Könnte ich mir den zweiten Computer sparen und 
statt dessen eine virtuelle Maschine mit Linux unter Windows 10 
betreiben?

Bei meiner momentanen Situation haben Viren oder Trojaner oder sonstiges 
auf dem Windows 10-Computer keinen Zugriff auf das Linux-Notebook.

Haben Viren oder Trojaner oder sonstiges unter Windows 10 Zugriff auf 
eine virtuelle Maschine mit Linux, die auf dem Windows läuft?

[(prx) A. K. (prx)]

Es gibt gelegentlich Bugs in der Virtualisierung, die es erlauben, aus 
einer VM in das Hostsystem oder andere VMs auszubrechen. Und es gibt 
Spectre&Co, mit denen das ebenfalls möglich ist. Das sind allerdings 
sehr komplexe Szenarien, auf die man im üblichen Privatkram selten 
treffen wird.

Andersrum, also vom Host aus ein Gastsystem auszuspionieren, ist 
leichter. Eine verschlüsselte Vdisk hilft ein wenig, hauptsächlich gegen 
Schnüffelei und Angriffe auf inaktive VMs.

[(prx) A. K. (prx)]

Generell ist vorzuziehen, potentiell riskante Aktivitäten wie Web, Mail 
und Games in VMs zu betreiben, statt im Hostsystem. Und Banking 
ebenfalls, aber getrennt. Ein infizierter Host bleibt ein Problem, 
sollte also vermieden werden. Es lässt sich nicht ausschließen, dass ein 
Keylogger auf dem Host auch die VM ausspäht.

Eine Banking VM auf einem riskanten Host-System ist also verkehrt herum 
gewickelt.

Allerdings wird man meist irgendwo Kompromisse eingehen. Nicht alles, 
was an Hacks potentiell möglich ist, wird auch im Zusammenhang mit 
Normalanwendern genutzt.

[Alexander S. (alesi)]

Rolf R. schrieb:
> Bisher nutze ich 2 Computer

Hallo,

eine Möglickeit wäre auch 1 Computer mit Dual-Boot für Linux und 
Windows.
Mit grub lässt sich das leicht einrichten. Nach dem Einschalten
bootet eines der Betriebssysteme nach einer festgelegten Wartezeit
automatisch, wenn nicht vorher per Tastendruck das andere BS ausgewählt 
wurde.

[(prx) A. K. (prx)]

Wenn das Banking es hergibt, kann man auch ein nur für solche 
Aktivitäten reserviertes Handy verwenden, vorzugsweise ohne SIM nur per 
WLAN, und nur bei Bedarf aktiviert. Spart Platz und brandneu muss es 
nicht sein.

[Rolf R. (dankobum)]

Alexander S. schrieb:
> eine Möglickeit wäre auch 1 Computer mit Dual-Boot für Linux und
> Windows.

Das geht leider nicht, weil das Windows immer an sein muss.

[Nano (Gast)]

Rolf R. schrieb:
> Haben Viren oder Trojaner oder sonstiges unter Windows 10 Zugriff auf
> eine virtuelle Maschine mit Linux, die auf dem Windows läuft?

Ja, im einfachsten Fall verschlüsseln sie dir dir Dateien, welche die 
Partitionen der Virtuellen Maschinen enthält.

Es geht aber durchaus auch der umgekehrte Weg.
D.h. Linux wird zum Hostrechner und Windows läuft als Gassystem.

Für Spiele unter Windows bietet sich hier eine dedizierte Grafikkarte 
die ausschließlich dem Gastsystem zugewiesen wird an, dadurch hat man 
dann keine Leistungsverluste beim Spielen.
Die CPU und das Mainboard müssen dann aber virtuelles I/O unterstützen. 
Die meisten neuen Rechner könenn das.

Der Monitor braucht dann aber zwei Eingänge und die Möglichkeit per 
Knopfdruck zwischen den Signalen umzuschalten.
Für Linux kannst du die iGPU der CPU nehmen.

Etwas komplizierter sind Eingabegeräte wie Gamepad und Joystick.
Von der Geschwindigkeit her sollte sich das per Software virtualisieren 
lassen.
Problematisch ist allerdings die Treiberunterstüzung.
Insofern wäre vielleicht eine dedizierte USB PCIe Karte am sinnvollsten, 
an dem du dann diese Komponenten anschließt.
Die dedizierte USB PCIe Karte übergibst du dann an das Gastsystem.

[Nano (Gast)]

A. K. schrieb:
> Wenn das Banking es hergibt, kann man auch ein nur für solche
> Aktivitäten reserviertes Handy verwenden, vorzugsweise ohne SIM nur per
> WLAN, und nur bei Bedarf aktiviert. Spart Platz und brandneu muss es
> nicht sein.

Für so etwas sollte man besser einen Tan Generator erwerben.
Die sind sicherer als Handys.

Viren kann man auch per SMS kriegen und beim mTAN Verfahren muss das 
Handy per SMS erreichbar sein.


Dualbooten ist, wie einer schon erwähnte, aber auch eine Möglichkeit.

[Nano (Gast)]

Rolf R. schrieb:
> Alexander S. schrieb:
>> eine Möglickeit wäre auch 1 Computer mit Dual-Boot für Linux und
>> Windows.
>
> Das geht leider nicht, weil das Windows immer an sein muss.

Wie wäre es mit zwei Windows Installationen?

Eine normale, die per Dual-Boot funktioniert und eine andere, die als 
Gastsystem in einer VM auf dem Linux Host System läuft.

Für den Dateiaustausch bietet sich dann ein NAS im Netzwerk an oder man 
nimmt eine extra NTFS Partition für Daten, auf die das Gastsystem dann 
Vollzugriff kriegt.

[(prx) A. K. (prx)]

Nano schrieb:
> Für so etwas sollte man besser einen Tan Generator erwerben.
> Die sind sicherer als Handys.

Klar. Allerdings ist ein Handy, auf dem nur die Banking App landet auch 
nicht so übel. Manchmal hat man sowas rumliegen.

> Viren kann man auch per SMS kriegen und beim mTAN Verfahren muss das
> Handy per SMS erreichbar sein.

Weshalb der Trend eindeutig zu FotoTAN geht. Das funktioniert ohne 
Mobilfunk.

[Mutluit M. (mutluit)]

Eine andere Alternative wäre folgendes:
Im Systrem einen weiteren Usernamen einrichten und bei solchen 
sensitiven Geschäften via Browser den Browser unter der Kennung des 
anderen Users zu starten (runas o.ä.).
D.h. der Desktop ist normal wie gehabt, nur diese Instanz des Browsers 
arbeitet mit den Rechten des anderen Users; d.h. der Browser kennt nur 
den anderen User und dessen Homedir...

[Nano (Gast)]

Mutluit M. schrieb:
> Eine andere Alternative wäre folgendes:
> Im Systrem einen weiteren Usernamen einrichten und bei solchen
> sensitiven Geschäften via Browser den Browser unter der Kennung des
> anderen Users zu starten (runas o.ä.).
> D.h. der Desktop ist normal wie gehabt, nur diese Instanz des Browsers
> arbeitet mit den Rechten des anderen Users; d.h. der Browser kennt nur
> den anderen User und dessen Homedir...

Es gibt unter Windows leider genug Möglichkeiten der Privilegien 
Eskalation mit der Schadsoftware dann Adminrechte erhält und damit ist 
auch das andere Nutzerkonto nicht mehr sicher.

Es ist aber definitiv besser als gar kein separates Nutzerkonto und ein 
Windows Account unter dem alles gemacht wird.

[Mutluit M. (mutluit)]

Mutluit M. schrieb:
> Eine andere Alternative wäre folgendes:
> Im Systrem einen weiteren Usernamen einrichten und bei solchen
> sensitiven Geschäften via Browser den Browser unter der Kennung des
> anderen Users zu starten (runas o.ä.).
> D.h. der Desktop ist normal wie gehabt, nur diese Instanz des Browsers
> arbeitet mit den Rechten des anderen Users; d.h. der Browser kennt nur
> den anderen User und dessen Homedir...

Nachtrag:

Nach dem selben Schema kann man so auch andere Anwendungen einrichten.
Der Netto-Effekt ist dass diese Anwendungen nicht auf den Homebereich 
des Hauptusers zugreifen können (auch nicht untereinander). Muss man 
natürlich auch die Directory-Rechte entspr. eingrenzen, insb. die 
Home-Dirs...

Ahja, natürlich darf der andere User keine Admin-Rechte haben... :-)
Sonst wär's ja wieder für die Katz :-)