FileVault 2 (FDE) in Lion: Fragen & Gedanken

[mr.pink]

Wenn du uns wissen lässt, was dieser "Chooser" genau sein soll?

So langsam frag ich mich ja, ob du FV2 überhaupt schon probiert hast... Beim Bootvorgang erscheint irgendwann die Eingabe für das Passwort und rechts oben ist ein DropDown-Dialog, der das Tastaturlayout wählen lässt - der steht beim ersten boot per default auf US-English.
Ich wüßte übrigens nicht, was du mir daran als so kompliziert verkaufen möchtest? Zumindest in meiner InitRD unter Linux hab ich auch (immerhin) vier verschiedene Layouts drin und die haben jeweils <3k.

Du kannst kein Volumen aushängen ohne alle Dateien darauf zu schliessen.

Wieso, man braucht doch nur den aktuellen Stand + die Referenz, woher der kommt und das ist ja nun nicht viel Overhead.

Das ist auch nicht nötig. Der Lader kann sich durchaus selbst auf Integrität prüfen, und seine Ablaufumgebung auch.
Ein Check der ESP wäre auch reichlich sinnfrei, denn davon kann man beliebig viele haben, auf beliebigen Datenträgern, auch auf externen.

Also hab ich recht, es bringt einfach nichts, wenn der Loader signiert ist, wenn man ihn einfach austauschen kann.

 

[Rastafari]

Zumindest in meiner InitRD unter Linux hab ich auch (immerhin) vier verschiedene Layouts drin und die haben jeweils <3k.

Offenkundig stinknormale europäische Layouts (o.ä.).
Ein vollständiger chinesischer Satz bewegt sich bei mindestens zwei mal ~3 MB. Plus Koreanisch, plus Japanisch/Kanji & Hiragino....
Der Speicherplatz ist dabei aber nicht das wesentliche Problem. Um den mit den simplen EFI-Calls (ungepuffert) von der HD zu laden, brauchst du locker eine Minute.

Wieso, man braucht doch nur den aktuellen Stand + die Referenz, woher der kommt und das ist ja nun nicht viel Overhead.

Der "aktuelle Stand" enthält permanent viele offene Dateien, Sockets und Pipes.
Trennst du die, kacken dir alle damit verbundenen Prozesse sofort ab.

Also hab ich recht, es bringt einfach nichts, wenn der Loader signiert ist, wenn man ihn einfach austauschen kann.

Nur dass du mit deinem ausgetauschten Lader genau gar nichts entschlüsseln kannst, auch wenn du die Passphrase kennst. Dafür genügt es, seinen eigenen Hashwert als Salz in einer zweiten Laderinstanz zu benutzen und das Spiel ist aus, bevors überhaupt angepfiffen wurde.

 

[âne]

Ist denn wenigstens jeder Benutzerordner mit dem jeweilig dazugehörenden Benutzerpasswort separat verschlüsselt - oder ist es so, dass jeder mit seinem Kennwort sämtliche Benutzerordner entschlüsseln könnte?

 

[ImperatoR]

Der Admin kommt auf alles. Dort ziehen halt lediglich die Restriktionen des Betriebssystems.

 

[Rastafari]

Ist denn wenigstens jeder Benutzerordner mit dem jeweilig dazugehörenden Benutzerpasswort separat verschlüsselt

Das war nur bisher so, bis SnowLeo.
Manche hielten das offensichtlich für zu gut und zu nützlich, also musste das unbedingt geändert werden.

 

[not found]

Zwei kleinere Geschichten meinerseite zur FV2:

1. Ich hatte bisher keine Lust, meine Daten auszulagern, um FV1 abzuschalten. Mein Benutzerordner ist also nocheinmal mit dem selben Kennwort verschlüsselt wie der Rest. Angesichts der Tatsache, dass das wohl das schwächste Glied der Kette ist, bringt es außer minimalem Performanceverlust wohl nichts, oder hat es noch andere Nachteile, die ich übersehen habe?

2. Weiß jemand, wie der Wiederherstellungsschlüssel erzeugt wird? Pseudozufall, willkürliche RAM-Bereiche laden und solche Späße oder nach einem festen Schema z.B. aus Rechnerparametern, Zeit und einer kleinen Zufallskomponente (also mit verhältnismäßig kleinerem Aufwand reproduzioerbar)? Bin nicht paranoid, aber ich mag auch keine "Blackboxen" und würde interessehalber gern den Ursprung aller gültigen Schlüssel kennen.

 

[ImperatoR]

Wenn du vor der Installation mit dem Festplatten-Dienstprogramm des Installers die Festplatte verschlüsselst und darauf installiert, umgehst du komplett den in (2) beschriebenen Mechanisms und zudem gibt es nur ein Festplatten-Passwort.

 

[not found]

Danke, wieder was gelernt.
Ist eine Überlegung wert, dann ist es einmal sauber. Programme sind ja fix wieder eingespielt und Daten liegen zu 90% eh auf'm Server...