FileVault nur auf einer Platte

[quiddjes]

Moin,

ich habe einen Mac mini, an dem eine externe Platte hängt (mit der iTunes Library) und eine interne Platte eingebaut ist (Mac OS X und Userdaten). Jetzt möchte ich FileVault einschalten (wofür ich die interne Platte formatieren muss).

Ist es zwingend notwendig, dass die externe Platte mitverschlüsselt wird? Ich sehe keinen Sinn darin, eine iTunes Lib zu verschlüsseln. Das macht den Rechner sicher nicht gerade schneller und ich weiß nicht, ob Apple TV dann noch sauber darauf zugreifen kann.

Wie organisiere ich, dass die externe Platte nicht verschlüsselt wird?

 

[bezierkurve]

Verschlüsselt wird per Default immer nur das Startvolume.

 

[Wuchtbrumme]

es wird nur das Systemvolume verschlüsselt (per Default über den Assistenten). Das hat auch Nachteile. So z.B. gibt es keine Recoverypartition; die ist zwar noch da, wird aber zum Zwecke des Starts des verschlüsselten OS angepasst. Außerdem können nur ausgewählte Nutzer das verschlüsselte OS starten; schon das Einbinden in ein Netzwerk mit OS X Server erfordert u.U. Maßnahmen (ich kann mich nicht mehr genau erinnern; ich weiß nur noch, dass ich basteln musste, als ich meinen Account zu einem Netzwerkaccount umbaute).

Falls man eine weitere Platte verschlüsseln will, braucht man nicht über den Assistenten gehen; einfach gleich als HFS+ Encrypted formatieren und gut ist.

 

[quiddjes]

Noch ein Grund mehr, den Familienserver nicht mit OS X Server zu betreiben. Wobei ich von dem Server ohnehin nicht begeistert bin (nach dem Lesen einiger Quellen). Schon die Funktionsbeschreibungen verstehe ich nicht. Time Machine funktioniert auch ohne Server auf einem Zielvolume. Machen wir hier seit Jahren...

 

[Rastafari]

So z.B. gibt es keine Recoverypartition

Ein selbst erstelltes Installationsmedium erfüllt exakt den gleichen Zweck.

können nur ausgewählte Nutzer das verschlüsselte OS starten

Brauchst die User ja nur einmalig dafür freizuschalten?
Und nein ein *Netzwerkbenutzer* darf das selbstredend nicht.

Da würde man aber jetzt erst mal fragen:
Wer ist denn so hirnverbrannt die HD eines Servers zu verschlüsseln, der für gewöhnlich ja ohnehin 24/7 läuft und nicht in der Aktentasche mit auf Reisen geht? Was soll das da denn bringen?

 

[Wuchtbrumme]

frag nicht mich, ich mach sowas nicht

Ich habe lieber ein RAID-1, bevor ich einen stationären Server verschlüssele.

 

[quiddjes]

Ich habe lieber ein RAID-1, bevor ich einen stationären Server verschlüssele.

Bis das erste Mal eingebrochen wurde...

Das motiviert.

 

[Rastafari]

Kein sonderlich durchdachtes Argument.
Ein Dieb der rein am materiellen Wert des Geräts interessiert ist, der will sowieso nicht an deine Daten ran - ganz im Gegenteil, die will er so schnell und so gründlich wie nur möglich entsorgen. Durch Verschlüsselung hilfst du ihm sogar noch dabei.
Und wer bei dir einbricht weil er an deine Daten ran will, und dabei einen laufenden Rechner vorfindet, der nimmt dabei noch nicht mal Kenntnis davon. Der steckt sein Dongle, geht sofort wieder und grinst, weil du keine Beweise bei ihm finden können wirst.
Den weitestgehenden Nichtsnutz von transparenten Verschlüsselungen zu realisieren ist heftig demotivierend.

 

[quiddjes]

Kein sonderlich durchdachtes Argument.
Ein Dieb der rein am materiellen Wert des Geräts interessiert ist, der will sowieso nicht an deine Daten ran.

Er hat sie. Das reicht für ein Strafverfahren gegen den Bestohlenen, wenn der nur den richtigen Beruf hat.

 

[Rastafari]

Meines Wissens nach ist es in unserer Rechtsordnung nicht möglich, das Opfer für eine Straftat zu belangen.
Du magst mir ein Beispiel nennen können wo das anders wäre?

 

[quiddjes]

Das ist einfach: Meine Frau ist Rechtsanwältin. Wenn sie sich ein ungenügend gesichertes Endgerät klauen lässt, spielt sie mit ihrer Zulassung (230 StGB oder so, ich bin kein Strafrechtler), weil sie Mandatendaten fahrlässig aus der Hand gibt. Wird bei Ärzten nicht anders sein, schätze ich mal.

Und dann sind wir noch nicht bei Schadenersatzansprüchen. Mein Kunde würde mich wahrscheinlich am nächsten Baum aufhängen, wenn ich mir den unverschlüsselten Rechner klauen lasse, auf dem seine Preislisten, Kalkulationen, Lieferantenkonditionen etc. drauf sind.

Ein Bekannter hatte das mal, der hat "günstig" einen Laptop geschossen, auf dem lauter Patientendaten waren. Er hat mich (ich bin u. a. Berater für betrieblichen Datenschutz) gefragt, was er nu machen soll.

Das war ganz einfach: Entweder die Platte sicher formatieren und von den Daten vorher keine Kenntnis nehmen oder den Arzt bei der Ärztekammer und bei der StA melden, um ihn zur Verschlüsselung zu motivieren.

Letztere Variante hätte den Nachteil gehabt, dass die Behörden ihn gefragt hätten, wo er das Teil her hat. Ich hab ihm aber deutlich gesagt, dass ich Hehlerei nicht witzig finde.

 

[Rastafari]

Wenn sie sich ein ungenügend gesichertes Endgerät klauen lässt

Unprofessionelle Software einzusetzen die eine Datenbank überhaupt unverschlüsselt speichern kann, das kannst du mit einer FDE nicht wiedergutmachen. Diese Daten könnten auch im laufenden Betrieb jederzeit problemlos entwendet werden und sind damit *auf jeden Fall* in grob fahrlässiger Weise unzulänglich gesichert.
Keines der dafür professionell vertriebenen Systeme würde das jemals tun. Im Fall des beliebten Softwarepakets "MEDIS" für die Ärzteschaft zB erfolgt der Schutz zwar ganz eindeutig aus völlig anderen Motiven heraus, aber er erfolgt auf jeden Fall.

 

[quiddjes]

Unprofessionelle Software. Eine Klageschrift im unprofessionellen MS Office geschrieben ist also unprofessioneller als in einem verschlüsselnden Office-Paket (von dem ich nicht weiß, ob es sowas gibt)?

Edit: Ich muss mal in Walldorf anrufen, dass deren Software unprofessionell ist, denn nichtmal unter SAP werden die Datenbanken verschlüsselt.

 

[Rastafari]

1) Office Produkte von MS verschlüsseln auf Wunsch ihre Dokumente schon seit ich denken kann. Selbst als Word noch ausschliesslich unter DOS lief, noch keine Maus kannte und von WYSIWYG noch Lichtjahre entfernt war, war das schon möglich.
2) Ich kenne kein SAP Paket das ohne Verschlüsselung daherkäme und vor der Deaktivierung derselben (für Entwickler) nicht eindringlich warnen würde.

 

[quiddjes]

In der aktuellen iX ist ein Artikel von mir, der sich mit SAP und Sicherheitsproblemen beschäftigt. Ich konnte bisher noch jedem Kunden auf Anfrage vorführen, dass ich allein über das Abhören des Netzwerktraffics (der zwischen SAPGUI und SAP ist nämlich nicht verschlüsselt) genug Infos zusammenbekomme, um mich auf einem fremden System einzuloggen, für das ich keine Benutzerkennung habe. Anleitungen dazu findet man sogar per Google. Und es gibt praktisch keine mir bekannten Kunden, deren Oracle-DB verschlüsselt ist. Sonst könnte man auf Daten, für die man nicht berechtigt ist, nicht zugreifen.

Ich mache gerade eine Migration, die ich vereinfache, indem ich per Sicherheitslücke direkt aus dem Fremdsystem lese (natürlich mit Wissen und im Auftrag beider Systembetreiber).

Noch Fragen?

 

[Rastafari]

...das Abhören des Netzwerktraffics...

Da soll ausgerechnet eine FDE als Heilmittel helfen? Nicht dein Ernst, oder?

 

[quiddjes]

Da ich SAP nicht daheim habe und Rechenzentren eher seltener geklaut werden: Nein. Das diente nur dem Widerlegen deines Argumentes, dass professionelle Software verschlüsselt.

Es gibt ein ganze Reihe vertraulicher Daten, die ohne FDE ungesichert wären, das fängt bei meinem Adressbuch an.

Es gibt eigentlich keinen Grund, eine Platte NICHT zu verschlüsseln.

 

[MacAlzenau]

Es gibt eigentlich keinen Grund, eine Platte NICHT zu verschlüsseln.

Ich bin da zwar Laie, aber eines finde ich bedenkenswert: bei Verschlüsselung kann bei einem Plattenfehler oder sonst einem kleinen Defekt an der Datei gar nichts mehr entschlüsselt/gelesen werden. Bei einer umverschlüsselten Platte kann man eher etwas retten.
Weshalb ich immer _ein_ Backup umverschlüsselt lassen würde, für den worst case.
Mag im professionellen Bereich mit ausgeklügelten Sicherungsstrategien anders sein, aber im "Nur-Benutzer-Bereich" ist ja oft schon _eine_ Sicherung das Nonplusultra.

 

[Rastafari]

Es gibt eigentlich keinen Grund, eine Platte NICHT zu verschlüsseln.

Mal sehen, ob du nach der ersten gelungenen Softwareattacke aus dem Netz noch genauso denkst.
Dann ist es nämlich jemand anders, der den exklusiven Zugang zu *allen* deinen Daten hat.
Du aber nicht mehr. Nicht, bevor du brav dafür bezahlt hast.

Es gibt nur eine einzige Art von Server, die vorzugsweise per FDE gesichert werden.
Das sind diejenigen, neben denen stets 24/7 irgendjemand Wache hält um bereit zu sein für den vorhersehbaren Moment, an dem die Staatsgewalt an die Türe klopft.

 

[quiddjes]

Mag im professionellen Bereich mit ausgeklügelten Sicherungsstrategien anders sein, aber im "Nur-Benutzer-Bereich" ist ja oft schon _eine_ Sicherung das Nonplusultra.

In Rechenzentren ja, aber ich kann dir x mittelständische Unternehmen nennen, in denen es KEINE Backups gibt.