FileVault und "Meinen Mac suchen"

[Paddy2590]

Was soll daran verwunderlich sein? Es handelt sich um eine reine Softwarelösung, ohne die Nutzung von speziellen hardwareseitigen Sperrfunktionen wie sie zB von manchen Festplatten angeboten werden (und selbst die bieten idR einen "harten" Reset auf den Werkszustand an).

Ich hatte wohl ein falsches Verständnis von der Wirkung einer Verschlüsselung... Aber okay, die Verschlüsselung soll ja auch nur verhindern, dass Unbefugte an die Daten kommen. Wenn die Platte formatiert wird, sind die Daten aber weg, somit erfüllt die Verschlüsselung ja ihren Zweck.
Ich habe in meinem MacBook eine Samsung 850 PRO verbaut und per FileVault verschlüsselt, aber die Platte beherrscht auch eine Hardwareverschlüsselung mit AES-256. Macht es Sinn, beides zu aktivieren? Oder nur die Hardwareverschlüsselung? Geht das überhaupt, die Systemplatte Hardwareseitig zu verschlüsseln? Das System müsste ja dann vor dem Starten das Passwort der Hardwareverschlüsselung abfragen.

 

[Paddy2590]

Möglich wäre das - bei Kenntnis des Schlüssels.

Bei Kenntnis des Schlüssels kann ich natürlich auf die Daten zugreifen, das ist ja klar. Den hat aber im Idealfall niemand außer mir selbst. Dann dürfte doch zwar ein Formatieren möglich sein, aber die Daten sind geschützt, oder?

 

[Rastafari]

Macht es Sinn, beides zu aktivieren?

Nein.
Wenn die HD selbst verschlüsseln kann, dann läuft das ohnehin permanent - die Frage ist nur ob mit, oder ganz ohne ein (gänzlich leeres oder einheitlich vorgegebenes) Kennwort.
Erstens unterstützen die Firmwareversionen in Apple Rechnern solche Features gar nicht, zweitens wäre es Nonsens zwei Kennworte nacheinander abfragen lassen zu müssen.
Drittens hat sich die anfängliche Annahme, dass AES-256 sicherer sei als AES-128, inzwischen sowieso - zumindest in der akademischen Theorie - als falsch herausgestellt, genau das Gegenteil scheint der Fall zu sein.

 

[staettler]

Bei Kenntnis des Schlüssels kann ich natürlich auf die Daten zugreifen, das ist ja klar. Den hat aber im Idealfall niemand außer mir selbst. Dann dürfte doch zwar ein Formatieren möglich sein, aber die Daten sind geschützt, oder?

Ja. Es sei denn, die NSA hat noch irgendwelche tollen Tools
Der normale Taschendieb kommt bei einer guten Verschlüsselung nicht mehr ran.

 

[Paddy2590]

Nein.
Wenn die HD selbst verschlüsseln kann, dann läuft das ohnehin permanent - die Frage ist nur ob mit, oder ganz ohne ein (gänzlich leeres oder einheitlich vorgegebenes) Kennwort.
Erstens unterstützen die Firmwareversionen in Apple Rechnern solche Features gar nicht, zweitens wäre es Nonsens zwei Kennworte nacheinander abfragen lassen zu müssen.
Drittens hat sich die anfängliche Annahme, dass AES-256 sicherer sei als AES-128, inzwischen sowieso - zumindest in der akademischen Theorie - als falsch herausgestellt, genau das Gegenteil scheint der Fall zu sein.

Okay, vielen Dank für die Erklärung Gar nicht so einfach, bei all den Möglichkeiten den Überblick zu behalten, was sinnvoll ist und was nicht...
Ich werde dann alles so lassen, wie ich es jetzt habe, das sollte für den gemeinen Taschendieb ausreichen, um meine Daten zu schützen. Ob er die Platten formatieren und dann das Gerät weiter nutzen kann ist im Falle eines Diebstahls sowie kaum von Bedeutung...
Danke für deine Hilfe, @Rastafari

Ja. Es sei denn, die NSA hat noch irgendwelche tollen Tools
Der normale Taschendieb kommt bei einer guten Verschlüsselung nicht mehr ran.

Naja gut, was die NSA hat oder nicht hat oder kann oder nicht kann, das ist sowieso ne ganz eigene Frage. Aber ich schätze, wenn die ein Tool haben, was eine AES-Verschlüsselung, die mit einem vernünftigen Passwort gesichert ist, in einer sinnvollen, annehmbaren Zeit knackt, ist es ziemlich müßig darüber zu diskutieren, wie man seine Daten als Otto-Normalverbraucher noch schützen kann
Danke auch dir für deine hilfreiche Antwort, @staettler

 

[gKar]

Wenn ich FileVault auf meinem MacBook aktiviere und gleichzeitig "Meinen Mac suchen" auch aktiviere,

Ich persönlich habe auf meinem (2007er) MacBook Pro beides aktiviert.

Angenommen, der Dieb schaltet das gestohlene MacBook ein, kann es aber nicht starten, da er das Passwort zum Entschlüsseln der Platte nicht hat

Bei aktivierter FileVault 2 wird ja nach dem Einschalten zunächst eine Art Login-Screen gezeigt, und der enthält nun nicht nur die Liste aller bootberechtigten Accounts (über die die eigentliche Partition entschlüsselt und davon gebootet werden kann), sondern auch einen speziellen Gastaccount, der ohne Passworteingabe von einer separaten, unverschlüsselten Partition bootet (vermutlich die Recovery-Partition?) und Internet-Zugriff bietet. Nutzt ein Dieb diese Möglichkeit, funktioniert auch FindMyMac wieder, und dann sollte auch die Fernlöschung der verschlüsselten Partition (durch Löschen aller Kopien des Schlüssels) klappen.

 

[Paddy2590]

Ich persönlich habe auf meinem (2007er) MacBook Pro beides aktiviert.



Bei aktivierter FileVault 2 wird ja nach dem Einschalten zunächst eine Art Login-Screen gezeigt, und der enthält nun nicht nur die Liste aller bootberechtigten Accounts (über die die eigentliche Partition entschlüsselt und davon gebootet werden kann), sondern auch einen speziellen Gastaccount, der ohne Passworteingabe von einer separaten, unverschlüsselten Partition bootet (vermutlich die Recovery-Partition?) und Internet-Zugriff bietet. Nutzt ein Dieb diese Möglichkeit, funktioniert auch FindMyMac wieder, und dann sollte auch die Fernlöschung der verschlüsselten Partition (durch Löschen aller Kopien des Schlüssels) klappen.

Das lese ich jetzt schon zum wiederholten Male, dass auf dem Login-Screen ein Gastaccount angezeigt wird. Nur ist der bei mir nicht da. Weiß jemand, woran das liegen kann? Ich habe 2 Benutzer, einen Admin und einen normalen Benutzer, und nur einer davon darf den Mac entsperren, und auch nur dieser wird mir angezeigt. Und den Gastaccount in den Benutzereinstellungen habe ich deaktiviert... Liegt es daran?

 

[Rastafari]

Nutzt ein Dieb diese Möglichkeit, funktioniert auch FindMyMac wieder

Das ist korrekt, dieser "Gastbenutzer" ist nichts anderes als ein lecker duftender Fliegenfänger.
Allerdings braucht das Gerät auch hier einen funktionierenden Zugang zum Netz, dh eine verkabelte Ethernetverbindung, oder ein offenes (ungeschütztes) oder bereits bekanntes WLAN. Letzteres ist beinahe nie vorhanden, und ein Dieb der dir den Gefallen tut sich freiwillig ans Kabel zu hängen, der ist inzwischen auch eher unwahrscheinlich.