• Apfeltalk ändert einen Teil seiner Allgemeinen Geschäftsbedingungen (AGB), das Löschen von Useraccounts betreffend.
    Näheres könnt Ihr hier nachlesen: AGB-Änderung
  • Die Bildungsoffensive hier im Forum geht weiter! Jetzt sollen Kreativität und technische Möglichkeiten einen neue Dimension erreichen. Das Thema in diesem Monat lautet - Verkehrte Welt - Hier geht es lang --> Klick

[10.10 Yosemite] FileFault 2 Sicherheit erhöhen?

  • Ersteller Ersteller AZB
  • Erstellt am Erstellt am
wenn ich sowieso die Passworteingabe im Ruhezustand aktiviere weil ich meinen Mac (zwar gegen Diebstahl einmal abgesichert) irgendwo stehen lasse, wo andere Leute Zugriff darauf hätten, dann kann ich doch auch gleich das Keydestroy aktivieren
Die Anmeldedialoge auf Firmware- und Betriebssystemebene mögen ähnlich *aussehen*, technisch gesehen sind sie aber so ähnlich wie eine Essiggurke und ein Kleiderbügel.

...bekanntlich lässt sich der Hauptspeicherinhalt mittels DMA über FireWire auslesen...
Ebenso bekanntlich ist dieser Fehler in der allerersten Version von FV2 (CVE-2011-3215) schon seit Lion 10.7.2 wieder gefixt.

...den ausgeschalteten Mac in den DiskTarget Mode booten...
Die Empfehlung des Herstellers für ein sicheres System ist nach wie vor ein aktiviertes Firmwarekennwort.
(bzw ein aktivierter "Finde meinen Mac" iCloud-Dienst.)
Wie genau du dann in den TargetMode bootest, verrätst du uns hoffentlich.

sich ein Image der Platte ziehen und hat damit alle Daten
Klar. Nur dummerweise immer noch verschlüsselt.
Du kannst ja gerne mal versuchen was geschieht, wenn du eine strikt nach Empfehlung gesicherte HD klonst, oder sie gleich komplett in einen anderen Rechner einbaust (soweit das überhaupt noch möglich ist).
Ich nehme an, du hast den besonderen Gastbenutzermodus der RecoveryHD ("locked mode") schon mal gesehen, von wo aus du nur Zugriff auf einen spartanischen Safari-Browser hast, und sonst auf gar nichts?
 
Die Anmeldedialoge auf Firmware- und Betriebssystemebene mögen ähnlich *aussehen*, technisch gesehen sind sie aber so ähnlich wie eine Essiggurke und ein Kleiderbügel.
Eben, daher meine ursprüngliche Frage, ob das setzen des Häkchens bei "Kennwortabfrage beim Beenden von Bildschirmschoner bzw Ruhezustand" automatisch dazu führt, dass der Schlüssel zerstört wird, wenn der Mac in den Ruhezustand geht, weil nur die Existenz des Passworteingabefelds noch nichts über den Status von FileVault aussagt.

Ebenso bekanntlich ist dieser Fehler in der allerersten Version von FV2 (CVE-2011-3215) schon seit Lion 10.7.2 wieder gefixt.
Tatsache, das war mir nicht bekannt, tut leid :rolleyes:

Wenn aber der Angreifer nun doch meinen Mac im Ruhezustand entwendet und den RAM tiefkühlt, ausbaut und ausliest und gleichzeitig Zugriff auf die Platte hat (er hat ja meinen gesamten Mac), kann er trotzdem die Platte entschlüsseln. Auch wenn man sich relativ blöd anstellen muss (wobei der Diebstahl aus der Tasche immer noch möglich ist, ohne dass ich es merke) und jemanden haben muss, der so sehr an den Daten interessiert ist, dass er es tut, wäre diese Vorgehensweise möglich. Das wäre durch eine Schlüsselvernichtung beim Ruhezustand vermeidbar.

Die Empfehlung des Herstellers für ein sicheres System ist nach wie vor ein aktiviertes Firmwarekennwort.
Da hast du natürlich Recht, das habe ich zwar gesetzt, aber auf die Tatsache vergessen. ;)

Klar. Nur dummerweise immer noch verschlüsselt.
Den Schlüssel habe ich ja aus der oben genannten Attacke.
 
Hallo. Das ich dort Videos habe war ein Scherz. Spielt doch keine Rolle... ob es nun Firmen Geheimnisse sind, oder Videos mit der Freundin.


Ja, ich will das der RAM das Passwort löscht, wenn der Rechner in Standby oder Ruhezustand geht. Mit der Anleitung hat es scheinbar funktioniert. Allerdings macht er es nicht sofort... es dauert 1-2 Minuten. Danach muss ich das Passwort tatsächlich 2 mal eintragen.

Ich dachte mir einfach, dass Filfault 2 nicht seinen Sinn erfüllt, wenn jeder mit etwas EDV Kenntnis über Anschlüsse das Passwort auslesen könnte. Ich fahre den Rechner eben nicht immer runter. Angenommen ich klappe ihn zu, und er wird mir vor der Nase weggeklaut. Mit etwas Ahnung kann man auf alles zugreifen.

Den ROOT habe ich nach der Änderung wieder deaktiviert.
 
Hallo. Das ich dort Videos habe war ein Scherz. Spielt doch keine Rolle... ob es nun Firmen Geheimnisse sind, oder Videos mit der Freundin.


Ja, ich will das der RAM das Passwort löscht, wenn der Rechner in Standby oder Ruhezustand geht. Mit der Anleitung hat es scheinbar funktioniert. Allerdings macht er es nicht sofort... es dauert 1-2 Minuten. Danach muss ich das Passwort tatsächlich 2 mal eintragen.

Ich dachte mir einfach, dass Filfault 2 nicht seinen Sinn erfüllt, wenn jeder mit etwas EDV Kenntnis über Anschlüsse das Passwort auslesen könnte. Ich fahre den Rechner eben nicht immer runter. Angenommen ich klappe ihn zu, und er wird mir vor der Nase weggeklaut. Mit etwas Ahnung kann man auf alles zugreifen.

Den ROOT habe ich nach der Änderung wieder deaktiviert.
 
ob das setzen des Häkchens ... dazu führt, dass der Schlüssel zerstört wird
Nein, und das ist auch gut so.

meinen Mac im Ruhezustand entwendet und den RAM tiefkühlt, ausbaut
Bau das RAM doch mal versuchshalber aus den aktuellen Schlepptops von Apple aus.
Im Schwierigkeitsgrad 1: Ohne Stickstoffkühlung, aber auch ohne Lötkolben. Have fun.
Im Schwierigkeitsgrad 2 machen wir das ganze dann mit Lötkolben, aber dafür auch bei 150 Grad unter Null.
Als Hilfestellung bekommst du sogar einen professionellen Mikromanipulator, wie er in der manuellen Leiterplattenmanufaktur an den Fliessbändern zum Einsatz kommt.
Nur damit du weisst was dich erwartet:
Kommst du einem auf diese Temperatur gekühlten Chip mit dem einige hundert Grad heisseren Lötkolben auch nur zu nahe, solltest du das keinesfalls ohne eine splitterfeste Schutzbrille versuchen.
Bei diesen Bedingungen wird der umhüllende Kunststoff hart und spröde wie mundgeblasenes Murano-Glas.
Im Schwierigketsgrad 3 machen wir das dann mit allen Chips nacheinander, löten diese auch gleich wieder ein, und das ganze in weniger als vllt 2-3 Minuten, mehr Zeit bleibt dir nach der Erwärmung durchs Löten auf keinen Fall - ein paar Minuten für alle Chips zusammen natürlich. Da wirst du wohl schon ein paar Hektoliter RedBull zum Üben verbrauchen.

Den Schlüssel habe ich ja aus der oben genannten Attacke
Den Schlüssel magst du haben (vielleicht bist du ja so ein superflinker Zauberbastler), aber wenn dieser nun weder zur Seriennummer des Speichergeräts noch zur selbigen des HBA passt?
Von wo genau her hast du dir denn schon im Vorfeld der ganzen Aktion solche Detaildaten über das anzugreifende Gerät besorgt?
Du wirst beides zwingend brauchen (und noch deutlich mehr), wenn du den "Ruhezustand" auf diese krumme Tour zu beenden versuchst. Sonst war die ganze Aktion für die gerubbelte 'Katz und du hörst nur kurz einen allzu vertrauten "Gongggg....", eine Chance Nummer 2 bekommst du nicht.
 
Man braucht doch nichts löten.
Über diese Wunderbold Anschlüsse hat man direkten zugriff auf den RAM. Ist der Rechner nur im Standby, kommt man scheinbar mit Mittelmaßen EDV Kenntnissen und einer Anleitung an den Schlüssel.

Deswegen den KEY DESTROY
 
Über diese Wunderbold Anschlüsse hat man direkten zugriff auf den RAM.
Ja klar.
Würde da nicht so eine strunzdoofe "Northbridge" regungslos wie ein nasser Sack Mehl im Weg liegen.
Sonst noch weitere so herrlich naive Ideen?
kommt man scheinbar mit Mittelmaßen EDV Kenntnissen und einer Anleitung an den Schlüssel.
Jo. Und warum demonstriert das keiner einfach mal in der Praxis?
 
Nein, und das ist auch gut so.
Danke, das war alles was ich wissen wollte.
Nur stellt sich nun die Frage, ob das wirklich so gut ist, weil ich ja trotzdem das Passwort eingeben muss (und es mitgelesen werden kann).

Bau das RAM doch mal versuchshalber aus den aktuellen Schlepptops von Apple aus.
Ich bin sicher nicht der einzige, der noch mit einem MBP ohne retina Display herumläuft.

Den Schlüssel magst du haben (vielleicht bist du ja so ein superflinker Zauberbastler), aber wenn dieser nun weder zur Seriennummer des Speichergeräts noch zur selbigen des HBA passt?
Wenn ich den gesamten Laptop (der sich im Ruhezustand befindet) stehle, brauche ich kein Zauberbastler sein, sondern nur ein stinknormales Feinschraubenzieherset sowie Zugriff auf einen zweiten PC haben, auf den ich volle Kontrolle habe, am Besten mit seperatem Memor-Reader um den Memory-Dump zu erstellen. Dann kann ich auch in Seelenruhe den Gong genießen wenn ich das gestohlene Gerät nach dem Memdump wieder einschalte, denn ich habe ja jetzt den Schlüssel und das Gerät samt Seriennummer und HBA.
 
weil ich ja trotzdem das Passwort eingeben muss (und es mitgelesen werden kann).
Zu diesem Zeitpunkt läuft längst eine Unix-übliche Prozessverwaltung mit geschützen Speicherbereichen (komplette Abstraktion inklusive Randomisierung), präemptivem Multitasking, gesperrten CPU-Befehlen und all dem ganzen anderen Rotz, mit dem man sich tagein, tagaus im laufenden Tagesgeschäft vor genau solchen Problemen zu schützen versucht.
EFI bietet dagegen eine überaus primitive Sicherheits-Infrastruktur, die man vom Aufbau her so ungefähr mit einem MS-DOS von 1990 gleichsetzen kann. Was denkst du, wo eine Kennwortabfrage besser aufgehoben ist? Vorschläge?

der noch mit einem MBP ohne retina Display herumläuft
Du kannst es gerne mal mit meiner ollen Flunder von 2007 versuchen. Wenn sie danach kaputt ist, will ich was neues.
<händereib'/>

Dann kann ich auch in Seelenruhe den Gong genießen wenn ich das gestohlene Gerät nach dem Memdump wieder einschalte, denn ich habe ja jetzt den Schlüssel und das Gerät samt Seriennummer und HBA.
Jo, jetzt hast du den Schlüssel (sag ich mal schmunzelnd).
Den müsstest du jetzt aber wieder zurück ins RAM bekommen.
Und das machst du... wie?

Ich frag' jetzt nochmal ganz deutlich (und zum letzten mal):
Wer führt diese angeblich so einfach zu meisternde Aufgabe denn einfach mal öffentlich vor?
Keine Lust, keine Freiwilligen, nein? Hmm.
 
Was ist eine "Northbridge" ?

mir ist zwar kein Video bekannt... aber Seiten mit Screens... wo beschrieben wird, wie man mit einfacher Software den Rechner knacken kann... COLD BOOT ATTACKS nennt sich das glaube ich
 
Du kannst es gerne mal mit meiner ollen Flunder von 2007 versuchen.
Es wurde 2012 noch ein MacBook mit entfernbarem Speicher vorgestellt.

Jo, jetzt hast du den Schlüssel (sag ich mal schmunzelnd).
Wieso schmunzelnd? Dass man aus dem Memdump den Schlüssel auslesen kann wurde ja schon demonstriert.

Den müsstest du jetzt aber wieder zurück ins RAM bekommen.
Aus dem Schlüssel kann man doch wahrscheinlich (Achtung, hier kommt gefährliches Unwissen/Halbwissen ins Spiel, weil ich mir die FileVault Kryptographie noch nicht genau genug angesehen habe, will ich aber, wenn ich mehr Zeit habe, einmal machen) den Wiederherstellungsschlüssel erzeugen, der unter der Option "Passwort vergessen" eingegeben werden kann. Bitte korrigiere mich, sollte hier eine Falschannahme vorliegen.

Keine Lust, keine Freiwilligen, nein? Hmm.
Würde ich liebend gern machen, glaub mir, nur fehlen mir momentan die Ressourcen dafür (dazu gehört viel Zeit (um zu testen und probieren ob die Theorie in der Praxis umsetzbar ist) und Geld (da ich im Moment keinen zweiten PC neben meinem 2010er MBP zur Verfügung habe und außerdem riskieren muss, dass ich irgendetwas dabei zerstöre).
 
Zuletzt bearbeitet:
um die privaten Videos von mir und meiner Freundin im Schlafzimmer zu verschlüsseln. Bist du mit dieser Antwort einverstanden? ... und können wir dann zurück zum Thema kommen? :)
Ach die, na so spannend waren die auch nicht [emoji6]
 
Was ist eine "Northbridge" ?
Autsch. Als ob ein Führerscheinbesitzer fragen würde, wozu ein "Getriebe" denn gut sein soll.

Die zentrale Knotenstelle zwischen CPU und RAM einerseits, und dem gesamten Rest des Datenbussystems auf der Gegenseite.
Also etwa das, was in deinem Kopf durch Stamm- und Kleinhirn gebildet wird. *Nichts* führt daran vorbei.
Und weisst du - im "Ruhezustand" nimmt sich die ein ganz tiefes Nickerchen, und die RAM-Bausteine werden (bis aufs zwingend notwedige, periodische Refresh im Minimaltakt) von dieser ebenfalls kaltgestellt.
Ohne dieses Subsystem vorher wieder zu wenigstens minimal notwendiger Basisaktivität erweckt zu haben, pumpst du da eine Datenmenge von exakt *NULL* Bytes hindurch. Als ob du einen Unfallpatienten im Wachkoma dazu zwingen wolltest, ordentlich laut für dich den Radetzkymarsch zu pfeifen, indem du ihn am Fuss kitzelst.
Das - wird - nicht - klappen. Punkt und Ende des Experiments.

...aber Seiten mit Screens... wo beschrieben wird...
Kannst du dich noch an die Rede von Colin Powell vor der UNO erinnern (2002), mit seinen selbstgemalten Grafiken von den in umgebauten LKWs hergestellten Massenvernichtungswaffen des Irak?

Aus dem Schlüssel kann man doch wahrscheinlich ... den Wiederherstellungsschlüssel erzeugen
Nein. Das ist ein völlig separater, gleichwertiger Zweitschlüssel. Für jeden FV-authorisierten Benutzer wird ein weiterer erzeugt.
Alle diese Schlüssel "für die erste Tür des Flures" geben (alternativ) einen einzigen weiteren, völlig verdeckt gehaltenen Zufallsschlüssel "für die zweite Türe" frei, mit dem die eigentlichen Inhalte dann tatsächlich verschlüsselt werden.
Keiner der verwendeten Schlüssel hat zu irgendwelchen anderen irgendeine inhaltliche Beziehung.

um zu testen und probieren ob die Theorie in der Praxis umsetzbar ist
Das verhält sich genauso wie beim "austricksen" von Fingerabdrucksensoren durch eine im Laserdruck erzeugte Ersatzhaut aus Holzleim. Sieht im Modellversuch, also unter den optimalst besten Bedingungen, zwar tatsächlich irgendwie brauchbar aus, aber in der Praxis ist das Ganze dann so wenig funktionierend wie der alberne Krempel von Tom Cruise in "Mission Impossible" oder der Peilsender in der Zahnplombe von Agent 007, der problemlos um die halbe Erde zu empfangen ist. Nonsens.

Genauso wie das über locker hundert Meter funktionsfähige Richt- und Abhörmikrofon aus nur ein paar zersägten Plastikrohren vom Elektriker und einem Haushaltstrichter - ach halt nein, *das* funktioniert ja wirklich auch ausserhalb des Labors.
Ach ja, und diese winzigen Miniaturkameras in der Zimmerpflanze oder an der Gardinenstange, mit der man einfach dein Keyboard heimlich abfilmt während du darauf rumtippst - das gibt es natürlich auch für jeden Idioten zu kaufen.
Und diese im klassischen UKW-Band so etwa 30-50m weit funkenden USB-Wanzen, die man so dermassen tief in einen x-beliebigen dieser Ports hinein versenken kann dass du deren Existenz auch in 100 Jahren noch nicht bemerkt haben wirst, ja die gibt es natürlich in einschlägigen Fachhandlungen auch (im liberaleren Ausland).
Wenn du Angst vor Schnüffelei hast - mach dir mal lieber vorrangig Gedanken um *völlig* andere Aspekte deiner Privatsphäre.
 
Keiner der verwendeten Schlüssel hat zu irgendwelchen anderen irgendeine inhaltliche Beziehung.
Danke, man lernt nie aus! Gibt's da eine öffentliche Dokumentation dazu?

Wenn du Angst vor Schnüffelei hast - mach dir mal lieber vorrangig Gedanken um *völlig* andere Aspekte deiner Privatsphäre.
Sowieso, das ist klar, ich bin ja nicht mit der Idee aufgekommen, sondern habe den Thread gelesen und mir einmal Gedanken darüber gemacht und das weitergesponnen
 
Gibt's da eine öffentliche Dokumentation dazu?
Booooah, altes verkalktes Hirn macht ganz laut "Aua, Aua" im Googlemodus. Läuft heiss, macht die Haare blutig.
Ich hab da mal ein paar "offizielle" Seiten dazu gesehen, d.h. von Apple war das wenigstens. Aber ob das was frei zugängliches war (für nicht zahlende Mitglieder frei) oder nur was "untenrum" durchgesickertes direkt von der Entwicklermesse... ist viel zu lange her.
Falls ich durch Zufall mal drüber stolpern sollte, versuch ich dran zu denken.
 
  • Like
Reaktionen: simmac
hi...

ich melde mich mal wieder ...

aktuell wird mein Passwort seit 3-4 immer aus dem Speicher gelöscht. wirklich komfortable ist da aber nicht. ich muss das Passwort immer 2 mal eintragen... das hochfahren aus dem ruhezustand dauert deutlich länger.

Rasafarie meinte, dass problem mit dem auslesen wäre seit Lion gefixt.

vielleicht kann ich wieder die ursprüngliche Einstellung übernehmen.

ich denke ich arbeite lieber zusätzlich mit Containern... zb True Crypt oder Apple Container. Als zusätzlicher Schutz.