File Vault öffnen

[cla]

Aber meine Daten kann ich jetzt wohl abschreiben.

Bleiben nur noch 2 Möglichkeiten:

1. Brute-Force

2. Ex-Mitarbeiter zur Passwortherausgabe überreden/zwingen

cla

 

[mayo]

Brute Force setzt ja voraus, dass der nette junge Mann ein sinnvolles Passwort benutzt hat und keine sinnlose Buchstaben/Zahl Kombination.

Die zweite Möglichkeit muss wohl jetzt wirklich notfalls juristisch durchgesetzt werden.

 

[cla]

Brute Force setzt ja voraus, dass der nette junge Mann ein sinnvolles Passwort benutzt hat und keine sinnlose Buchstaben/Zahl Kombination.

Naja...voraussetzen tut es das nicht...aber ungemein erleichern.

Du hast die Wahl, entweder ein vorhandenes Wörterbuch durchzuklappern, oder halt einfach alle möglichen Kombinationen durchzuprobieren. Das kann bei einem Passwort mit mehr als 7-8 Zeichen durchaus mehrere Tage dauern; je nach Geschwindigkeit des Rechners.

cla

 

[lundehundt]

erst mal muss ich mich, was den Schutz von Filevault angeht, berichtigen. Habe das mit dem Password reset ueber boot CD verwechselt. Allerdings verspricht das durchsuchen des swap files mit dem string hier durchaus Erfolg.

sudo strings -8 /var/vm/swapfile0|grep -A 4 -B 2 longname

Ist hier etwas ausfuehrlicher beschrieben und wurde schon von cla in dem Dritten Beitrag zu diesem Fred erwaehnt:


Cheers,
Lunde

 

[Stefan]

Bei manchen Rechner geht das, bei mir bringts aber kein Passwort. Also hast Glück gehabt, wenn das Passwort so rauskam. Was mich wundert: Werden die SWAP-Files nicht bei jedem Systemstart neu angelegt? bzw. beim Start gelöscht?

Ciao,
Stefan

 

[mayo]

sudo strings -8 /var/vm/swapfile0|grep -A 4 -B 2 longname

Das bringt nur etwas, wenn der User kurz vorher eingeloggt war und am besten der Rechner seit dem nicht neu gestartet wurde.

Ich werde meinen Chef jetzt wohl davon überzeugen können, das der offizielle Weg (Anwalt) vielleicht doch einfacher ist.

Falls jemandem noch etwas einfällt, immer her damit und Danke nochmal für die bisherige Unterstützung.

 

[Purzel]

So, jetzt hab ich ein gesichertes Home Verzeichnis, in dem ein Sparseimage liegt, das ich mangels gültigen Passworts nicht öffnen kann. Das System scheint sicherer zu sein, als ich dachte. Aber meine Daten kann ich jetzt wohl abschreiben.

Versuchs auch mal so
1) Admin-Kennwort zurücksetzen über CD (haste ja schon)
2) Umbenennen der Dateien: /Library/Keychains/
FileVaultMaster.cer und
FileVaultMaster.keychain -> Masterpasswort löschen und neu setzen
4) Filevault-PW ändern
3) wenn es dann nicht geht, gehts gar nicht

 

[Stefan]

Also ich schätze nicht, dass Du so reinkommst. Das FileVault-Image ist mit dem alten Masterpasswort und dem Userpasswort geschützt. Auch wenn Du das FileVault-Hauptkennwort änderst, bleibt das Image nur mit dem alten Hauptkennwort oder dem Userpasswort zu decodieren. Sollte das mit dem Passwort neu setzen gehen, würde das meinen Glauben in meine Krypografiekenntnisse erschüttern .

Ciao,
Stefan

 

[chen]

Na gut, ich werde es mal in groben Zügen erklären:
1. Wie man das Admin Passwort ändert, sollte bekannt sein (von CD booten).
2. Jetzt kann ich mich als Admin einloggen
3. Im Ordner /Library/Keychains/FileVault den Master.keychain löschen
4. Jetzt kann ich das Hauptpasswort neu anlegen und so das FileVault deaktivieren

Hört sich einfach an, ist es auch.

Das funktioniert nicht.

Für das verschlüsselte Sparseimage werden die Passwörter verwendet, die beim Einschalten von FileVault aktuell waren. Nachträglich kann man die Passwörter eines AES-Images nicht ändern. Das nachträglich Ändern des Master-Keys bringt absolut nichts.

Es gibt 3 Möglichkeiten:

1. Brute-Force
2. hacken der passwd bzw. shadow-Datei
3. hacken des Master.keychain, falls es nachträglich nicht geändert wurde.
(4. Swap, doch nur wenn unverschlüsselt)

Wenn der Kerl schlau war, hat er das Master-Passwort nachträglich geändert und somit kannst den 3. Schritt gleich mal vergessen. Wenn das Kerlchen aber wirklich so schlau war, dann wurde er wohl nicht aus Mangel an fachlicher Qualifikation gefeuert, d.h. aus Personal-Gründen.

Rein rechtlich kann man ihn nicht zur Herausgabe des Passwortes zwingen. Zudem kann er behaupten, dass er das Passwort einfach nicht mehr weiß. Wenn dieses Kerlchen z.B. in der Entwicklung tätig wäre und eine neue Erfindung auf dem Rechner hätte, die Millionen einbringen würde, dann gehören diesem Kerlchen die Rechte. Und wenn er gefeuert wurde, dann hat die Firma auch kein Anrecht auf seine Erfindungen mehr.

Ich find's nur gerecht. Die Geschäftsführung sollte sich vorher über die Probleme einer Kündigung im Klaren sein.