OSX Lion FileVault verschiedene Passwörter für Entschlüsselung und Benutzer

macgloom

Mitglied
Thread Starter
Dabei seit
28.07.2011
Beiträge
21
Reaktionspunkte
0
Hallo Leute,
weil sich hier anscheinend durchaus kompetente Leute tummeln, dachte ich mal ich frage mal hier nach einer Lösung zu meinem Problem:
Was ich möchte:
Ein langes, sicheres Passwort nur zur Verschlüsselung der Daten und gleichzeitig
Ein kurzes, leichtes Passwort für einen Benutzer, das ich 100 mal am Tag eingebe (Lock Screen, Admin Rechte)

Warum ich das möchte:
Warum ich ein langes Passwort für die Verschlüsselung haben möchte, ist klar denke ich. Gleichzeitig gebe ich aber mein Benutzerkennwort sehr oft am Tag ein, weswegen ich nicht mit der Standard-FileVault-Lösung glücklich bin, ein langes Benutzerkennwort zu haben. Und umgekehrt wäre mir ein kurzes Benutzerkennwort der Marke "Passwort" zu unsicher für eine Verschlüsselung.

Was ich mir vorstellen könnte:
Durch Anlegen von anderen Benutzern, den Effekt zu erreichen, dass Benutzer A zwar Entschlüsseln darf, aber trotzdem nicht sofort eingeloggt wird, sodass sich nach dem Entsperren der Verschlüsselung Benutzer A oder Benutzer B (der ein unsicheres Passwort hat) einloggen kann. Benutzer B wird dann die Möglichkeit untersagt zu entschlüsseln.

Was ich wissen möchte:
Ist es möglich, den automatischen Login nach Verschlüsselungsentsperrung beim Bootvorgang zu verhindern, sodass nochmals ein Login-Fenster erscheint? (Library Tweaks, etc)
Aber vielleicht gibt es einen ganz anderen Weg?

Vielen Dank!
 
Zuletzt bearbeitet:
Nun, es gibt die Möglichkeit Benutzer anzulegen und diesen dann das Recht zu verweigern die Verschlüsselung zu öffnen. Diese können sich dann erst anmelden, wenn ein Admin die Verschlüsselung geöffnet hat. Wenn du mehr als einen Benutzer angelegt hast, sollte in den FileVault Einstellungen ein entsprechender Punkt erscheinen. Dort kann man einstellen, wer zum Öffnen der Verschlüsselung berechtigt ist. Hier steht was dazu:
http://support.apple.com/kb/HT4790

Vielleicht ist das, wonach du suchst. Ich habe aber den Eindruck, dass sich dein Wunsch mit der Idee einer Verschlüsselung ein wenig beißt. Was du im Grunde willst ist doch, dass du zwar eine megasichere Eingangstüre hast, die sich nur mit meinem Spezialschlüssel öffnen lässt. Diese willst du aber den ganzen Tag offen stehen lassen und eine einfache Holztüre verwenden, die sich hinter der sicheren Türe befindet. Ich bin nur der Ansicht, dass dies der ganzen Sache irgendwie den Sinn nimmt.
 
Nun das finde ich nicht :) , denn:

Niemand schließt seine megasichere Haustüre ab, wenn er nur kurz zum Briefkasten geht. Er lässt sie angelehnt, damit man nicht einfach so reinhuschen kann, aber die Möglichkeit ist da. Und der Briefkasten selber ist auch "nur" mit einem kleinen Schloss gesichert, denn die wichtigen Dinge kommen ins Haus und das wird, sobald man weg ist, megasicher abgeschlossen...

Außerdem ist das Benutzerkennwort eh nur Gelegenheitsschutz, wenn jemand root Zugriff braucht, dann kriegt er das mit ein wenig mehr Zeit ganz simpel hin.
Ich weiß, dass es diese Möglichkeit gibt, nur wird man dann sofort als root auch eingeloggt, was ich nicht möchte, weswegen meine Frage ja auch darauf zielte dieses Verhalten auszuschalten :)
 
Wenn der zweite Benutzer (dessen Passwort nicht in der Entschlüsselungs-Passwort-Liste eingetragen wurde), keine Admin-rechte hat, wie soll er an Root-rechte kommen?
 
soweit ich weiß, kann auch ein Admin User nicht das Recht haben zu entschlüsseln.
Aber darum geht es ja auch nicht.
 
Hallo Leute,
weil sich hier anscheinend durchaus kompetente Leute tummeln, dachte ich mal ich frage mal hier nach einer Lösung zu meinem Problem:
Was ich möchte:
Ein langes, sicheres Passwort nur zur Verschlüsselung der Daten und gleichzeitig
Ein kurzes, leichtes Passwort für einen Benutzer, das ich 100 mal am Tag eingebe (Lock Screen, Admin Rechte)

Warum ich das möchte:
Warum ich ein langes Passwort für die Verschlüsselung haben möchte, ist klar denke ich. Gleichzeitig gebe ich aber mein Benutzerkennwort sehr oft am Tag ein, weswegen ich nicht mit der Standard-FileVault-Lösung glücklich bin, ein langes Benutzerkennwort zu haben. Und umgekehrt wäre mir ein kurzes Benutzerkennwort der Marke "Passwort" zu unsicher für eine Verschlüsselung.

Was ich mir vorstellen könnte:
Durch Anlegen von anderen Benutzern, den Effekt zu erreichen, dass Benutzer A zwar Entschlüsseln darf, aber trotzdem nicht sofort eingeloggt wird, sodass sich nach dem Entsperren der Verschlüsselung Benutzer A oder Benutzer B (der ein unsicheres Passwort hat) einloggen kann. Benutzer B wird dann die Möglichkeit untersagt zu entschlüsseln.
Meine Frage könnte also zum Beispiel lauten:
Ist es möglich, den automatischen Login nach Verschlüsselungsentsperrung beim Bootvorgang zu verhindern, sodass nochmals ein Login-Fenster erscheint? (Library Tweaks, etc)
Aber vielleicht gibt es einen ganz anderen Weg?

Vielen Dank!

hm, was soll ich sagen ... das ist nix ...

generell würde ich an deiner stelle den Hersteller versuchen dazu zu bewegen, eine 2 Faktor Lösung zu unterstützten, zB USB-Stick mit inegrierter PKCS container sei es auf smmartcard oder anderem ... das in Verbindung mit einem Passwortcache benötigt von mit nur 2 dinge, ich muss den USB-Stick haben und einen Pin kennen ... dies setzt aber voraus, dass Apple endlich mal die Schnittstellen entsprechend öffnet und anderen Herstellern die Möglichkeit gibt solche Lösungen überhaupt realisieren zu können, denn dann muss jegliches darüber authentisierbar sein ...

Passwörter sind in der heutigen Zeit nicht mehr angebracht ... alternativ dazu sollen Sie mir die Möglichkeit geben alles bei OTP (OneTimePasswort) abzusichern, das OTP Modul selbst habe ich dann entweder in Token, Software oder App im Telefon - gibts auch nicht ... Es gibt etliche, vor allem einfache Lösungen, aber Apple sieht dieses halt nicht vor ... wie bereits mehrfach von mir gesagt: überlegt oft ja, aber nie zu Ende gedacht ... Alles andere sind nur Zwischenlösungen ohne die Ursache zu korrigieren ... Ich weiss nicht wie oft ich schon solche Requests bei Apple gestellt habe und weiss auch, damit bin ich nicht der Einzige ...

Hallo Leute,
Warum ich das möchte:
Warum ich ein langes Passwort für die Verschlüsselung haben möchte, ist klar denke ich. Gleichzeitig gebe ich aber mein Benutzerkennwort sehr oft am Tag ein, weswegen ich nicht mit der Standard-FileVault-Lösung glücklich bin, ein langes Benutzerkennwort zu haben. Und umgekehrt wäre mir ein kurzes Benutzerkennwort der Marke "Passwort" zu unsicher für eine Verschlüsselung.

Was ich mir vorstellen könnte:
Durch Anlegen von anderen Benutzern, den Effekt zu erreichen, dass Benutzer A zwar Entschlüsseln darf, aber trotzdem nicht sofort eingeloggt wird, sodass sich nach dem Entsperren der Verschlüsselung Benutzer A oder Benutzer B (der ein unsicheres Passwort hat) einloggen kann. Benutzer B wird dann die Möglichkeit untersagt zu entschlüsseln.
Meine Frage könnte also zum Beispiel lauten:
Ist es möglich, den automatischen Login nach Verschlüsselungsentsperrung beim Bootvorgang zu verhindern, sodass nochmals ein Login-Fenster erscheint? (Library Tweaks, etc)
Aber vielleicht gibt es einen ganz anderen Weg?

Vielen Dank!

Nein ist es nicht, da es ein SSO ist, es sei denn wie von Magicq99 beschrieben ...
 
hm, was soll ich sagen ... das ist nix ...

Was meinst du damit? Dass es sicherheitstechnik bedenklich ist oder einfach nur, dass es technisch nicht geht?
Als Workaround könnte man vielleicht beim Einloggen von Benutzer A ein Skript starten, das ihn sofort wieder abmeldet.
 
soweit ich weiß, kann auch ein Admin User nicht das Recht haben zu entschlüsseln.
Aber darum geht es ja auch nicht.

Darum ging es mir auch nicht! Du hattest folgende Bedenken geäußert..

Außerdem ist das Benutzerkennwort eh nur Gelegenheitsschutz, wenn jemand root Zugriff braucht, dann kriegt er das mit ein wenig mehr Zeit ganz simpel hin. Ich weiß, dass es diese Möglichkeit gibt, nur wird man dann sofort als root auch eingeloggt, was ich nicht möchte, weswegen meine Frage ja auch darauf zielte dieses Verhalten auszuschalten :)

Wenn Du den Rechner startest und mit dem (hochkomplexen) Passwort des Hauptbenutzers die Platte entschlüsselst und danach zum zweiten Benutzer (ohne Admin-rechte und einem einfacheren/kürzeren/komfortableren Passwort) wechselst und unter diesem arbeitest - welche Sicherheitsbedenken hast Du dann? Welches Passwort wird verlangt, wenn beim zweiten Benutzer der Bildschirmschoner angeht?

Als Workaround könnte man vielleicht beim Einloggen von Benutzer A ein Skript starten, das ihn sofort wieder abmeldet.

Was möchtest Du damit erreichen?
 
Wo ich hauptsächlich Sicherheit haben möchte ist, wenn ich nicht vor dem Computer sitze, sprich wenn er aus ist.
Wenn es jetzt genau einen Benutzer A gibt mit einem sehr komplexen Passwort, der die Festplatte entschlüsseln kann, und diesen sofort nach Anmeldung sich wieder abmelden lässt, landet man wieder im Login Screen.
Ab jetzt ist der Computer so sicher wie das schwächste User Passwort. Das ist ok, weil ich davor sitze.
Wenn ich den Computer wieder ausmache, braucht man wieder das lange Passwort.
Ich habe somit eine tolle Möglichkeit den Computer "abzuschließen", zu sichern, wobei ich gleichzeitig auch mit einem "aufgeschlossenen" Computer sehr komfortabel arbeiten kann.
 
Aber genau so ist es doch auch - nur brauchst Du den Hauptbenutzer nicht abzumelden, sondern wechselst nach der Authentisierung einfach zum zweiten Benutzer, der das einfachere Passwort hat, den Rechner aber nicht entschlüsseln darf - wo glaubst Du dabei eine Schwachstelle zu haben? Wenn Du den Rechner ausmachst, ist die Platte wieder nur über das komplexe Passwort des Hauptbenutzers zu entschlüsseln.
 
Ich glaube gar nicht, dass ich eine Sicherheitsschwachstelle habe :)
Ich wollte eigentlich nur wissen, ob es möglich ist den Autologin zu unterbinden oder ob es eine ganz andere Möglichkeit gibt :)
siehe:
Ist es möglich, den automatischen Login nach Verschlüsselungsentsperrung beim Bootvorgang zu verhindern, sodass nochmals ein Login-Fenster erscheint? (Library Tweaks, etc)
 
Du möchtest den Rechner entschlüsseln aber ohne dass dabei der Hauptbenutzer angemeldet wird - warum ist das so wichtig bzw. was soll es bringen/bewirken, welcher Vorteil soll dadurch entstehen?
 
Na im Gegensatz zu der Alternative immer ein sicherers Passwort eingeben zu müssen, habe ich über den Tag ein kurzes Passwort.
Und im Gegensatz zu keiner Verschlüsselung ist es wesentlich sicherer, wenn ich den PC verliere, geklaut wird, etc.
 
Aber genau diese Situation tritt doch ein, wenn Du nach Rechnerstart u. Authentisierung mit dem sichereren da komplexeren Hauptbenutzer-Passwort, einfach zum zweiten Benutzer wechselst, der das einfachere Passwort hat..
 
Das stimmt!
Deswegen war meine Frage ob es dazu nicht eine bessere Alternative gibt, als jedes mal den Benutzer zu wechseln.
Auf die Sache mit dem Applescript bin erst nach Erstellen des Themas gekommen... Bin ziemlich neu auf dem Mac.
 
Ehm, mit FileVault2 ist doch genau das, was du willst möglich. Du meldest dich mit dem Admin (und dem 64Stelligem Passwort ;) ) an und wechselst zu deinem Benutzerprofil (Admin ausloggen). Der Benutzer darf nicht booten. Geht so, ohne Probleme. Musst nur nach jedem Neustart den Benutzer ändern.

Finde ich aber dennoch eher sinnlos, weil du ja beim sleepmodus eingeloggt bist und die wichtigen Daten doch auf deinem Benutzerzugang sind.
 
Wie gesagt, es gibt dann einen Sicherheitsunterschied zwischen Sleepmodus und Shutdown. Da kann jetzt jeder für sich selber entscheiden, ober er bereit ist dieses Risiko zu tragen.
Aber allemal besser, als die ganze Festplatte mit dem Passwort "honigkuchen" zu verschlüsseln, nur weil man es xmal am Tag eingeben muss.
 
Deswegen war meine Frage ob es dazu nicht eine bessere Alternative gibt, als jedes mal den Benutzer zu wechseln.

Es muss in jedem Fall einmal das Haumptbenutzer-Passwort eingegeben werden, um den Rechner zu entschlüsseln, und dann das Passwort des Zweitbenutzers für dessen Anmeldung, um mit einem kurzen Passwort arbeiten zu können - das lässt sich nicht verhindern, indem man versucht an der Anmeldung des Hauptbenutzers etwas zu verändern. Nehmen wir an, bei der Authentisierung mit dem Hauptbenutzer-Passwort wird der Rechner entschlüsselt aber der Hauptbenutzer nicht angemeldet, danach muss man sich immer noch mit dem zweiten Benutzer anmelden, um mit einem kurzen Passwort arbeiten zu können - es bleiben immer zwei Schritte!

Wie gesagt, es gibt dann einen Sicherheitsunterschied zwischen Sleepmodus und Shutdown.

Welchen?

PS: Also doch Sicherheitsbedenken.. :D
 
es bleiben immer zwei Schritte!

Das stimmt! Es bleiben mindestens zwei Schritte! So ist das ja auch gewollt!
Aber so, wie ich das bis jetzt sehe (mit dem Userwechsel nach dem Booten) bleibt zumindest noch der Schritt des Ausloggens, was drei macht! Und könnte man nicht den zweiten Schritt durch Autologin umgehen oder wird der deaktiviert (ja, das wird dann noch unsicherer! Aber deswegen kann man ja trotzdem die Frage beantworten!)
Weißt du denn, wie ich meinen gewünschten Effekt erzielen kann, aber sagst mir nicht wie? Muss ich dich erst von der Sinnhaftigkeit überzeugt haben? ^^
 
Zuletzt bearbeitet:
Zitat von macgloom
Wie gesagt, es gibt dann einen Sicherheitsunterschied zwischen Sleepmodus und Shutdown.
Welchen?

Es gibt den Unterschied, dass nach einem Shutdown wieder das lange Passwort eingegeben werden muss, und beim Sleepmodus nur das kurze. Aber für mich ist das ja ok^^ Es gibt hier immer nur wieder Leute, die sagen das wäre alles sinnlos und extrem unsicher, deswegen habe ich geschrieben, dass es jeder mit sich selber ausmachen muss, ob es sicher genug ist.
 
Zurück
Oben Unten