Filevault Systemvollverschlüsselung, PW erst nachträglich ändern, Sicherheitseinbußen?

[Sharptype]

Moin zusammen,

habe vielleicht ne doofe Frage , aber:

Ich habe mein System (MBP 2015 mit Sierra) mit Filevault vollverschlüsselt und das PW wird beim Bootvorgang abgefragt. Wenn ich dieses PW jetzt im nachheinein (korrigiert mich, es ist ja einfach das PW von dem eingerichteten Benutzer?) in ein sicheres ändere, habe ich - weil ich initial bzw. vorher ein unsicheres benutzt habe - irgendwelche Sicherheitseinbußen im Vergleich als wenn ich von Anfang an das sichere PW verwendet hätte?

Danke euch

 

[little_pixel]

Hallo,

nein, da musst Du Dir keine Sorgen machen.
Zur Verschlüsselung wird auch gar nicht das Passwort selbst genommen.

Viele Grüße

 

[Sharptype]

Hmmm mich würde ja nun die technische Erklärung dazu interessieren, warum das so ist

...um mein Hirn weiterzuentwickeln

 

[Haskelltier]

Ganz einfach: Filevault verwendet den XTS-AES 128 Algorithmus mit einem 256 Bit langem Schlüssel. Der Schlüssel wird beim Einrichten von Filevault zufällig generiert und danach für jeden autorisierten Nutzer mit dem Benutzerpasswort verschlüsselt und gespeichert. Beim Booten des Macs wird nach den Benutzerpasswort gefragt um damit den eigentlichen Schlüssel zu entschlüsseln.

Änderst du nun dein Benutzerpasswort, wird einfach der mit dem alten Passwort verschlüsselte Key durch den mit dem neuen Paswort verschlüsselten Key ausgetauscht.

 

[Sharptype]

D.h. der eigenliche Filevault-Schlüssel bleibt immer gleich?

 

[iPhill]

D.h. der eigenliche Filevault-Schlüssel bleibt immer gleich?

Ja, 100 Punkte für den Kandidaten/die Kandidatin!
Wobei du den FileVault-Key auch ändern kannst, wenn du die Festplatte ent- und anschliessend wieder verschlüsselst.

 

[Sharptype]

Ok, besten Dank euch für die vereinfachte Erklärung.

 

[frimp]

Wobei bei mir das Festplattenpasswort ein anderes als das Benutzerpasswort ist. Dadurch kann ich auch andere Logins verwenden.
Dazu habe ich auch noch ein anderes Firmwarepasswort.
Sollte mir jemand das Macbook klauen ärgere ich mich natürlich, der Dieb hat dann aber auch nur maximal ein Ersatzteillager.

 

[Sharptype]

Wobei bei mir das Festplattenpasswort ein anderes als das Benutzerpasswort ist

Wie kann man das einstellen? Wenn ich FV aktiviere, kommt im letzten Schritt welche Benutzer ich darauf "freischalten" möchte und damit ist das FV-Kennwort direkt am Benutzerkennwort geknüpft. Was ja auch eine gute Sache ist?!

Was bringt es, wenn FV aktiv ist, zusätzlich das Firmwarepasswort einzurichten? An die verschlüsselte Platte kommt man doch trotzdem nicht ran.

 

[Zitlo]

Was bringt es, wenn FV aktiv ist, zusätzlich das Firmwarepasswort einzurichten? An die verschlüsselte Platte kommt man doch trotzdem nicht ran.

Er kann das Macbook dann auch mit einer neuen Festplatte nicht mehr normal verwenden, z.B. kein Betriebssystem mehr installieren.

 

[Sharptype]

Ja okay, aber das geht dann eher in die Richtung dem "Dieb" noch zusätzlich ein Bein zu stellen (was ja legitim ist). Die Sicherheit der eigenen Daten jedoch kann dadurch nicht weiter erhöht werden.

 

[iPhill]

Ja okay, aber das geht dann eher in die Richtung dem "Dieb" noch zusätzlich ein Bein zu stellen (was ja legitim ist). Die Sicherheit der eigenen Daten jedoch kann dadurch nicht weiter erhöht werden.

So ist es. Fast. Man kann damit z.B. auch verhindern, dass überhaupt von einem anderen Laufwerk gebootet werden kann als durch Genehmigung mittels FW-Passworteingabe; so wird z.B. auch die heimliche Installation/das Einschleussen einer Malware oder ähnliches - ohne dein Wissen - verhindert, sollte jemand kriminelles physischen Zugriff auf's Gerät haben.

 

[Sharptype]

Ja das denk ich mir und da hast du sicher Recht. Wobei ich da immer vorsichtig bin mit solchen PW außerhalb des OS. Tastatur auf EN oder bestimmte Zeichen gehen nicht usw. Alles schon gehabt. Bitlocker lässt grüßen.

Fahre da eher die Schiene, wenn mein MBP geklaut wird, ist mein einziges Ziel, dass meine Daten sicher sind. Was mit dem MBP dann passiert ist mir dann letzten Endes auch egal.

 

[frimp]

Das ist legitim. Was jedoch das nachträgliche Aktivieren einer Passphrase für die verschlüsselte Systemplatte angeht, bin ich etwas überfragt. Diese Passphrase ist ja unabhängig von eingeloggten Benutzern. Bislang sind mir nur Befehle im Terminal bekannt. Wenn man hier aber Mist baut, kann man sich durchaus nachträglich komplett aussperren.
Mit "sudo fdesetup list -extended" wird eine Liste der Benutzer angezeigt, die bei der Anmeldung die Platte entschlüsseln können. Wenn es dort auch eine Zeile gibt wie
ESCROW UUID TYPE USER
12345678-1234-1234-1234-123412341234 Disk Passphrase User
können die darunter gelisteten Benutzer mit "sudo fdesetup remove -user Benutzername" entfernt werden. Somit wäre kein Benutzer mehr berechtigt, sich direkt anzumelden. Es muss dann erst die Passphrase, also das Festplattenkennwort eingegeben werden.
Wenn jedoch die obige Zeile "Disk passphrase" fehlt, bitte nicht ausprobieren!
Wie man nachträglich eine allgekeine Disk Passphrase anlegt, wird richtig kompliziert. Aber vielleicht weiss ja einer von den Pros hier wie das geht.

 

[Sharptype]

Moin nochmal,

ich habe jetzt einen Standardbenutzer und diesem ein komplexes PW zugewiesen. Daneben noch ein Adminuser für Installationen mit einem weniger komplexen PW. Mit dem Standardbenutzer arbeite ich und nur dieser Standardbenutzer ist für Filevault freigeschaltet, der Adminuser nicht.

Meine Idee ist: Ein komplexes PW für die Festplattenverschlüsselung (Filevault) und dieses wird beim Hochfahren eingegeben (nur das, weil nur der Std-User für Filevault aktiviert wurde) und wenn Installationen anstehen, dann fragt er nach dem Adminuser, welches eben ein weniger komplexes PW ist und damit schnell eingegeben.

Dann habe ich auf der einen Seite eine sichere Festplattenverschlüsselung und auf der anderen Seite etwas Komfort. Ist das klug so?
Das weniger komplexe PW für den Adminuser hat - sofern es nicht extra dafür freigeschaltet ist - (korrigiert mich) ja keinen Einfluss auf die Festplattenverschlüsselung?

 

[Olivetti]

Die User-Passwörter haben generell keinen Einfluss auf die FV-verschlüsselung. Aber das wurde dir hier im Thread auch schon geschrieben.

 

[Sharptype]

Mit Einfluss meinte ich, dass der User mit dem User-PW die FV-Verschlüsselung der Systemplatte freigibt. Somit Einfluss auf die Sicherheit hat, wenn man so will.