FileVault ja oder nein?

[mausfang]

Auch auf das schwache Passwort muss man aber erst einmal kommen.

Rainbow-Tables?

 

[xentric]

Rainbow-Tables?

Und die finden hier Anwendung, weil?

[] Du hast einen nicht gesalzenen Hashwert

 

[Hausbesetzer]

Brauchst du doch gar nicht, denn "123" hast Du in 0.4 Sekunden erknakt.

 

[bumbklaatt]

Hab das Passwort mal modifiziert und FV aktiviert.

Wie würde das jetzt im Ernstfall aussehen, wenn jemand das MBP stehlen und im Targetmode booten würde. Könnte er dann entweder das Anmeldepasswort oder den Entschlüsselungscode von FV eingeben? Zweiteren kenne ich nicht, da ich die iCloud Freischaltung aktiviert habe.

 

[BadaBiing]

Filevault aktivieren ist Basic Security. Würde ich immer machen. Man merkt dadurch keine Performance oder Komfort Probleme (zumindest als SSD User)

 

[Madcat]

Könnte er dann entweder das Anmeldepasswort oder den Entschlüsselungscode von FV eingeben?

Na klar, geht beides im Targetmode. Ein Passwort schützt doch nicht davor, dass man kein Passwort eingeben kann. Du meinst aber sicher etwas anderes.

Filevault aktivieren ist Basic Security. Würde ich immer machen. Man merkt dadurch keine Performance oder Komfort Probleme (zumindest als SSD User)

Bei HDDs auch nicht

Bei einem mobilen Mac würde ich immer FV aktivieren auch bei schwachem Passwort. Ich beschreib das mal mit Worten, die ich bei der Bundeswehr mal gelernt habe: Jeder nicht abgegebene Schuss kann auch nicht treffen. Sinngemäß auf FV angewandt heißt das: Jeder nicht eingerichtete Schutz kann auch nicht schützen. Wenn man natürlich weiß, dass einem der Rechner nie gestohlen wird, dann macht auch das Einrichten von FV keinen Sinn. Aber wer von uns weiß schon, ob einem nicht doch mal der Mac geklaut wird? Ich weiß das nicht, daher ist bei mir FV auf allen Macs aktiviert.

 

[xentric]

Brauchst du doch gar nicht, denn "123" hast Du in 0.4 Sekunden erknakt.

Deshalb kann man ja nur XX Anmeldeversuche pro Zeitintervall machen, oder z.B. ab 10 Versuche gar keine mehr, damit man eben nicht brutforcen kann. Das ist Stand der Technik. Ich vermute, das ist das, was mausfang auch mit Rainbowtables wollte (Brutforce Angriffe)..

 

[Schattentanz]

Deshalb kann man ja nur XX Anmeldeversuche pro Zeitintervall machen, oder z.B. ab 10 Versuche gar keine mehr, damit man eben nicht brutforcen kann. Das ist Stand der Technik. Ich vermute, das ist das, was mausfang auch mit Rainbowtables wollte (Brutforce Angriffe)..

Das Bringt halt nur so lange etwas bis man den Rechner z.b. mit einem Linux USB-Stick bootet.
Ein ein kleines bisschen versierter Angreifer würde den Angriff generell eh auf einer Kopie des Datenträgers durchführen. Da hilft die Brute-Force-Sperre rein gar nix.

 

[Hausbesetzer]

Deshalb kann man ja nur XX Anmeldeversuche pro Zeitintervall machen, oder z.B. ab 10 Versuche gar keine mehr,

Das sind Sicherungsmaßnahmen vom Gerät selbst - die sind, sobald Du auf die Daten direkt zugreifst, sofort ausgehebelt.

 

[Schiffversenker]

Die ganz Sicherheitsbewussten legen ihre sensiblen Daten sicher zusätzlich in verschlüsselten Images ab, die nur bei Bedarf geöffnet werden. Denn wenn einem der eingeschaltete Rechner entrissen wird, greift die FV-Verschlüsselung natürlich nicht.

 

[Hausbesetzer]

Also *nur* auf FV würd ich nicht setzen. Das ist ne proprietäre Verschlüsselung und noch dazu von "wir schreiben das Passwort für so Kram erstmal im Klartext in das Log" und "ne für root braucht man kein Passwort" Apple.

 

[mj]

Abgesehen von der Sicherheit gibt es noch einen zweiten Aspekt, den ich in den Raum werfen möchte und der auch bei stationären Rechnern greift: sobald personenbezogene Daten egal welcher Art und Form gespeichert werden ist Verschlüsselung dank DSGVO quasi Pflicht.

Einfache Passwörter bis 6 Zeichen und ohne Sonderzeichen/Ziffern sind übrigens mit heutiger Technik in wenigen Sekunden bis Minuten erraten und geknackt. Noch schneller geht es mit Hash- und Rainbow-Tables, wobei erstere zumindest im Falle von FileVault nicht weiterhelfen. Leider sind Passwörter wie mW'Jkun6Sm~5\U5Ec6/h irgendwie auch scheiße einzugeben, aber ich sag nur eines: correct horse battery staple.

 

[xentric]

Das Bringt halt nur so lange etwas bis man den Rechner z.b. mit einem Linux USB-Stick bootet.
Ein ein kleines bisschen versierter Angreifer würde den Angriff generell eh auf einer Kopie des Datenträgers durchführen. Da hilft die Brute-Force-Sperre rein gar nix.

Das ist mir schon klar. Deshalb weiß ich nicht, wieso du mich zitierst. Hab ich auch nichts anders geschrieben.

Vor 3 Jahren (das letzte Mal als ich geschaut hatte) gab es noch keine (Open Source) Linux oder Windows Implementierung die FileVault 2 überhaupt öffnen konnte, geschreibe denn lesen. Oder wie die FV 1 Implementierung, die 100% Gebastel, experimentell und als PoC von einem Hacker für den Kongress zusammengebastelt wurde in der die Hälfte fehlte. Ein "bisschen viersierter Angreifer", der erstmal seine eigene FileVault Implementierung schreiben muss zu einer closed source FDE-Lösung.

Das sind Sicherungsmaßnahmen vom Gerät selbst - die sind, sobald Du auf die Daten direkt zugreifst, sofort ausgehebelt.

. Ist ja nicht so, dass genau das Selbe offensichtliche schon in dem Kommentar direkt über dir steht, ..

 

[picknicker1971]

und ohne Sonderzeichen/Ziffern .

Ich habe bis heute noch nicht verstanden, was der grösse Unterschied bei Verwendung von Zahlen und Sonderzeichen sein soll, ausser das Gesamtkombination sich "etwas" erhöht, von ca. 60 möglichen Zeichen (Gross/Klein/Umlaute) auf etwa ca. 90 Zeichen...

 

[Kaito]

"etwas" erhöht? Uh oh, da hat jemand in Mathe nicht aufgepasst.

 

[picknicker1971]

"etwas" erhöht? Uh oh, da hat jemand in Mathe nicht aufgepasst.

Kombinatorik ist mir schon geläufig - deshalb 'etwas' auch in Anführungszeichen.

 

[Schiffversenker]

Kann man bei der FV-Passworteingabe auch Zeichen nehmen, die nicht auf der Tastatur beim aktuellen Layout vorhanden sind, durch Hexcode oder Wechsel des Tastaturlayouts? Dann käme man auf sehr viel mehr als 90 mögliche Zeichen.
Oder liest er Bootmanager da gar nicht die Zeichen sondern nur die Tasten? Ich denke nicht, denn es gab - jedenfalls beim normalen Benutzer-Passwort - ja schon oft das Problem, daß Leute beim Booten ein anderes Tastaturlayout hatten als bei der Vergabe des Passwortes und dann ihre Eingabe nicht akzeptiert wurde.
Sicherheitsfanatiker könnten sich ja auch ihr eigenes Tastaturlayout zusammenstellen mit "gemischtem" Inhalt, ein bißchen kyrillisch, ein bißchen japanisch… (wovon ich allerdings abraten würde, bei einem Defekt könnte man kaum von einem anderen Rechner aus die Verschlüsselung auflösen).

 

[mj]

Ich habe bis heute noch nicht verstanden, was der grösse Unterschied bei Verwendung von Zahlen und Sonderzeichen sein soll, ausser das Gesamtkombination sich "etwas" erhöht, von ca. 60 möglichen Zeichen (Gross/Klein/Umlaute) auf etwa ca. 90 Zeichen...

Weil ein Passwort, das aus zufällig zusammengewürfelten Kleinbuchstaben, Großbuchstaben, Zahlen und Sonderzeichen aller Wahrscheinlichkeit nach in keiner Rainbow-Table der Welt auftauchen wird, außer:

a) die Zahlen/Sonderzeichen sind nach Schema F angegeben: o=0, a=4, s=$, e=3, usw.
b) das Passwort ist bereits irgendwo abgegriffen worden und der Hash daher in einer der aus diesen Daten erstellten Rainbow Tables enthalten

 

[Madcat]

Ich habe bis heute noch nicht verstanden, was der grösse Unterschied bei Verwendung von Zahlen und Sonderzeichen sein soll, ausser das Gesamtkombination sich "etwas" erhöht, von ca. 60 möglichen Zeichen (Gross/Klein/Umlaute) auf etwa ca. 90 Zeichen...

Genau das ist ja eigentlich der Trick dabei. Bei einem z.B. 6-stelligem Passwort steigt die Kombinationsmöglichkeit von ca. 4.7e10 auf 5.3e11, das sind rund 4.8e11 mehr Kombinationsmöglichkeiten, das braucht Zeit die alle auszuprobieren. Und mit hinreichend Zeit ist jedes Passwort knackbar

Weil ein Passwort, dass aus zufällig zusammengewürfelten Kleinbuchstaben, Großbuchstaben, Zahlen und Sonderzeichen aller Wahrscheinlichkeit nach in keiner Rainbow-Table der Welt auftauchen wird, außer:

Das ist ja nur eine Frage der Zeit. Die Rainbow-Tables gibts ja auch nicht so lange wie es Passwörter gibt. Diese Systeme werden sich stets anpassen.

 

[mj]

Das kommt natürlich noch hinzu, auf den mathematischen Aspekt und die Entropie bin ich allerdings gar nicht erst eingegangen, weil:

Kombinatorik ist mir schon geläufig