FileVault ist unsicher

[TerminalX]

Sorry, aber den Zusammenhang versteh ich jetzt leider nicht ganz.

Off-Topic:
Man braucht ja nicht zur jeder Frage gleich ein Thread zu eröffnen. Ich dachte vielleicht könnte ja jemand von euch die Frage auch in diesem Thread beantworten. An Stelle deines Beitrags, was diese Frage hier soll, hättest du mir einfach auf die Frage antworten können und das wärs...
Ich werde das auch nie wieder hier in diesem Forum so tun.
Sorry normal.

 

[sgmelin]

Das wichtigste ist, keine einfachen Passworte wählen, wichtige Dinge, die nie in die Hände dritter gelangen dürfen nicht auf dem Rechner speichern, denn wer physikalisch an die Maschine ran kommt schafft alles mit ein wenig krimineller Energie. Das ist nicht nur bei Apple so, das ist bei Linux, AIX, Solaris oder Windows nicht anders. Also schalte einfach mal einen Gang zurück und relativiere das "Leck", welches gar keins ist. Wenn jemand die Platte in die Hand kriegt bringt es auch nix, wenn das Swapfile bei jedem Neustart neu angelegt wird. Denn ich starte ja nicht von der Platte. Ausserdem können entsprechende Filerestorer gelöschte Dateien wieder sichtbar machen. Und es ist nicht sicher, ob das neue Swapfile an der gleichen Stelle auf der Platte liegt, wie vor dem löschen. Also: knacken kann man alles wenn man Zeit, Werkzeug und Energie hat.

 

[maceis]

Off-Topic:
Man braucht ja nicht zur jeder Frage gleich ein Thread zu eröffnen.
...
hättest du mir einfach auf die Frage antworten können und das wärs...
Ich werde das auch nie wieder hier in diesem Forum so tun.
Sorry normal.

Sorry, aber im Zusammnhang mit dem Zitat und dem rotfl hab ich jetzt wirklich nicht geschnallt, dass dies eine unabhängige Frage sein sollte.

Abgesehen davon:
Ich weiss es nicht auf Anhieb;
ich würde es mal mit den Kommando "defaults" versuchen ("man defaults"; aber Achtung: das ist manchmal etwas undurchschaubar)

 

[TerminalX]

Sorry, aber im Zusammnhang mit dem Zitat und dem rotfl hab ich jetzt wirklich nicht geschnallt, dass dies eine unabhängige Frage sein sollte.

Abgesehen davon:
Ich weiss es nicht auf Anhieb;
ich würde es mal mit den Kommando "defaults" versuchen ("man defaults"; aber Achtung: das ist manchmal etwas undurchschaubar)

Danke für die Antwort. Da gabs auch keinen Zusammenhang.
Nächstest mal schreib ich "Off-Topic Frage" drüber. Dann kommt sowas nicht mehr vor.

 

[Darii]

Das wichtigste ist, keine einfachen Passworte wählen, wichtige Dinge, die nie in die Hände dritter gelangen dürfen nicht auf dem Rechner speichern, denn wer physikalisch an die Maschine ran kommt schafft alles mit ein wenig krimineller Energie. Das ist nicht nur bei Apple so, das ist bei Linux, AIX, Solaris oder Windows nicht anders. Also schalte einfach mal einen Gang zurück und relativiere das "Leck", welches gar keins ist. Wenn jemand die Platte in die Hand kriegt bringt es auch nix, wenn das Swapfile bei jedem Neustart neu angelegt wird. Denn ich starte ja nicht von der Platte. Ausserdem können entsprechende Filerestorer gelöschte Dateien wieder sichtbar machen. Und es ist nicht sicher, ob das neue Swapfile an der gleichen Stelle auf der Platte liegt, wie vor dem löschen. Also: knacken kann man alles wenn man Zeit, Werkzeug und Energie hat.

Wenn ich bei einer Linuxmaschine(ich denke Mal, dass das bestimmt auch irgendwie mit Darwin geht) eine verschlüsselte Datei mit einem hinreichend sicheren Algoritmus sowie Passwort erstelle. Das ganze dann über ein loopback-Gerät mounte, so dass ich quasi ein verschlüsseltes Verzeichnis erhalte und die Swap-Datei ins RAM verlagere, dann sollte es jemandem ohne Kenntnis aber in Besitz der Festplatte meines Wissens nach nicht gelingen, an die verschlüsselten Datei zu kommen. Da die geschützten Dateien zu keinem Zeitpunkt irgendwo auf der Festplatte in Klartext vorhanden sind/waren.

 

[maceis]

...
knacken kann man alles wenn man Zeit, Werkzeug und Energie hat.

Stimme ich Dir grundsätzlich zu.
Aber so einfach mit ein bisschen "googlen" und ein wenigen "greppen" wie eingangs beschrieben ist es beleibe nicht.

Um die geswappten Credential der FileVault Dateien mit einem Filerestorer, einem Bitreader o. ä zu finden benötigt man IMHO nicht nur das Glück eines Lottomillionärs, sondern ganz erhebliche Fachkenntnisse.

[edit]
@ Darii
Es ging ja eigentlich darum, dass das Passwort der Verschlüsselung im Swapfile liegt, mit dem man dann an die Nutzdaten gelangen könnte.
Aber selbst dann glaube ich nicht, dass es mit "normalem" Aufwand machbar ist.

 

[sgmelin]

Wenn ich bei einer Linuxmaschine(ich denke Mal, dass das bestimmt auch irgendwie mit Darwin geht) eine verschlüsselte Datei mit einem hinreichend sicheren Algoritmus sowie Passwort erstelle. Das ganze dann über ein loopback-Gerät mounte, so dass ich quasi ein verschlüsseltes Verzeichnis erhalte und die Swap-Datei ins RAM verlagere, dann sollte es jemandem ohne Kenntnis aber in Besitz der Festplatte meines Wissens nach nicht gelingen, an die verschlüsselten Datei zu kommen.

Warum so aufwändig? Von einer Linux CD im Servicemode booten, Filesysteme vom Laufwerk mounten, root Umgebung auf die Platte wechseln und mittels passwd ein neues root Passwort setzen. Nun neu booten und alles machen, was man will. Das einfachste von der Welt. Bei älteren Linuxen reicht es auch im Servicemode von der Platte zu booten. Man hat dann rootrechte ohne eingabe des Passworts. Fertig. Dann hilft auch ein 2048 bittiger Passwort Algorithmus nicht.

 

[abgemeldeter Benutzer]

By popular demand:

sudo strings -8 /var/vm/swapfile* |grep -A 4 -i longname

In der 3. Zeile dürfte jetzt euer Login-Passwort stehen,

In der dritten Zeile steht "password", aber nicht das Passwort.

 

[maceis]

In der dritten Zeile steht "password", aber nicht das Passwort.

Bei mir steht in der dritten Zeile das Login-Passwort im Klartext.
In der zweiten Zeile steht "dapassword" und in der vierten die Standardshell.

Was sagt mir das jetzt ?

 

[Darii]

Warum so aufwändig? Von einer Linux CD im Servicemode booten, Filesysteme vom Laufwerk mounten, root Umgebung auf die Platte wechseln und mittels passwd ein neues root Passwort setzen. Nun neu booten und alles machen, was man will. Das einfachste von der Welt. Bei älteren Linuxen reicht es auch im Servicemode von der Platte zu booten. Man hat dann rootrechte ohne eingabe des Passworts. Fertig. Dann hilft auch ein 2048 bittiger Passwort Algorithmus nicht.

Das hast mich nicht verstanden. Wenn eine Datei verschlüssle, nützten dem Angreifer selbst root-Rechte nichts. Er kann die Datei zwar lesen, aber ohne Passwort nichts mit den Daten anfangen und das passwort würde nirgendwo gespeichert werden..

 

[abgemeldeter Benutzer]

@ maceis
Ich habe es gerade noch mal auf dem iBook ausprobiert: Kein Passwort.
Und auch kein Eintrag "dapassword".
Erst "longname", dann mein Name, in der dritten Zeile steht "password" und in der vierten die Standardshell.

 

[maceis]

@ maceis
Ich habe es gerade noch mal auf dem iBook ausprobiert: Kein Passwort.
Und auch kein Eintrag "dapassword".
Erst "longname", dann mein Name, in der dritten Zeile steht "password" und in der vierten die Standardshell.

Is` ja eigenartig.
Kann das vielleicht mit der Auslastung des physikalischen RAM zusammenhängen?
Warum ein login-Passwort überhaupt geswapt wird ist mir auch dann schleierhaft.
Außerdem habe ich beobachtet, dass nur das login-Passwort des Admin-Users (, der sich zuerst angemeldet hatte) geswapt wurde, wenn ein zweiter Benutzer sich an der Shell anmeldet, geschieht das nicht.

 

[abgemeldeter Benutzer]

Kann das vielleicht mit der Auslastung des physikalischen RAM zusammenhängen?

Mein Cube hat 54 Tage Uptime, die 1,25GB RAM bis auf 17MB belegt, 7,5GB VM und beim greben gerade noch das swapfile6 (also das dritte GB Swap) angelegt. Das iBook war gerade frisch gestartet, 380MB von 640MB frei, 2GB VM. Das kann es also nicht sein.

 

[sgmelin]

Wenn eine Datei verschlüssle, nützten dem Angreifer selbst root-Rechte nichts. Er kann die Datei zwar lesen, aber ohne Passwort nichts mit den Daten anfangen und das passwort würde nirgendwo gespeichert werden..

Wenn es wichtige Daten sind, dann ist es weiter auch kein Thema. Dann kopiert man sich das File irgendwo hin und entschlüssselt es dann in aller Ruhe mit einem schönen, riesigen Cluster. Wenn man will kriegt man alles klein. Auch wenn es nicht einfach wird. Aber wenn die Daten wichtig genug sind zahlt es sich vielleicht aus.

 

[maceis]

Mein Cube hat 54 Tage Uptime, die 1,25GB RAM bis auf 17MB belegt, 7,5GB VM und beim greben gerade noch das swapfile6 (also das dritte GB Swap) angelegt. Das iBook war gerade frisch gestartet, 380MB von 640MB frei, 2GB VM. Das kann es also nicht sein.

Ich dachte eigentlich eher, dass bei mir zu wenig RAM da ist, denn bei mir wurde ja (im Gegensatz zu Dir) offensichtlich ausgelagert.
Ich habe ja "nur" 512 MB in meinem Sawtooth.

Dann kopiert man sich das File irgendwo hin und entschlüssselt es dann in aller Ruhe mit einem schönen, riesigen Cluster.

... den jeder Laptopdieb bei sich zu Hause stehen hat und sicher gerne für die Entschlüsselung von unbekannten FileVault-geschützten Benutzerkonten einsetzt nur um dann zu sehen, dass er ein paar mp3´s und ein wenig Schmuddelkram ge"knackt" hat.
.
Ne, jetzt mal im Ernst.
Das ist doch schon sehr theoretisch, mal abgesehen davon, dass es von der Vorgehensweise her auch nicht so einfach sein dürfte.

 

[sgmelin]

... den jeder Laptopdieb bei sich zu Hause stehen hat und sicher gerne für die Entschlüsselung von unbekannten FileVault-geschützten Benutzerkonten einsetzt nur um dann zu sehen, dass er ein paar mp3´s und ein wenig Schmuddelkram ge"knackt" hat

Das war ja nicht die Frage. Es ging darum, daß Filefault unsicher sein soll. Ich habe dagegen gehalten, dass man mit der nötigen Zeit und Equipment alles kleinkriegt. Und ein einfacher Laptop Dieb interessiert sich sicherlich nicht für Deine Daten. Der wird vermutlich ein paar mal versuchen ein Passwort zu erraten und die Mühle dann neu aufsetzen, bzw. sie so verscherbeln, wie sie ist. Den wird es nicht kümmern, ob da im Swapfile die Kennwörter im Klartext drin stehen.

Das ist doch schon sehr theoretisch, mal abgesehen davon, dass es von der Vorgehensweise her auch nicht so einfach sein dürfte

Es durchaus sehr theoretisch, aber nichtsdestotrotz eine Möglichkeit. Und das vorgehen als solches ist einfacher als Schuhe binden. Im Internet findet man alles. Insbesondere Tools um Passwörter zu knacken. Da braucht man heutzutage nicht mehr viel mehr IQ als eine Kerze.

 

[maceis]

Also: Wenn euer iBook/Powerbook geklaut wird und der Dieb an euren Daten interessiert ist und Google bedienen kann, dann seid ihr am A****. Da kann Apple noch so sehr rumschwafeln wie viele Milliarden Jahre das Cracken von AES-128 dauert.

...
Und das vorgehen als solches ist einfacher als Schuhe binden.
...

Das halte ich jetzt aber für ein Gerücht.

Um die von Dir genannten Programme einsetzen zu können ist erstmal ein (remote)-Zugang zum Rechner oder das verschlüsselte Passwort erforderlich.
Wenn die entsprechenden Dienste (telnetd, sshd etc. ) nicht laufen, würde ich gerne mal sehen, wie Du überhaupt an ein verschlüsseltes Passwort oder an eine Eingabeaufforderung kommst .

 

[maba_de]

hier wurde bereits erwähnt, das man sich ein verschlüsseltes Image anlegen soll.

Was sagen denn die Experten hier, ist das als (relativ) sicher anzusehen?

Thanx im voraus für die Infos!

 

[sgmelin]

Um die von Dir genannten Programme einsetzen zu können ist erstmal ein (remote)-Zugang zum Rechner oder das verschlüsselte Passwort erforderlich.

Hättest Du den Thread verfolgt wüsstest Du, dass es genau darum geht. Wenn den Rechner jemand in die Finger bekommt kann er alles rausfinden. Da kann man noch so toll verschlüsseln. Zufällig ausgelagerte Passworte aus einer Auslagerungsdatei herauszufischen setzt auch einen root-Zugriff auf den Rechner voraus. Hat jemand die Maschine physikalisch im Zugriff, kann man sich den Root-Zugang sehr einfach und schnell beschaffen. Danach stehen dem Angreifer Tür und Tor offen.
Klar, hat man keinen Zugang zur Maschine und laufen keine Dienste, die den Zugriff ermöglichen, ist es sehr, sehr schwierig dran zu kommen, wenn überhaupt.

 

[sgmelin]

Was sagen denn die Experten hier, ist das als (relativ) sicher anzusehen?

Alles ist relativ Eine hundertprozentige Sicherheit gibt es nicht. Aber ein verschlüsseltes Image ist eine der besten Methoden. Man kann das natürlich noch kombinieren. Man legt das Image auf einem FileVault Laufwerk ab, gibt ihm am besten einen nichtssagenden Namen, am besten von einem existierenden Softwarepaket und legt das Image in ein Verzeichnis, in dem noch andere Images liegen. Dadurch wird es sehr schwierig an die Daten zu kommen.