FileVault Workaround: Seamless Verschlüsselung mit Time Machine Funktionalität

[K@mil]

Hallo,

wie schon bekannt, bringt FileVault unter anderem folgende mögliche Nachteile mit sich:
1. der gesamte Benutzerordner wird verschlüsselt, also auch Daten, die nicht sensibel sind
2. ein Backup mit Time Machine ist nur möglich, wenn man sich ausloggt
3. die Wiederherstellung von Daten über die Time Machine Oberfläche ist für den ganzen Benutzerordner deaktiviert
4. das Benutzerpasswort und das Passwort zur Entschlüsselung der Daten ist das selbe
(5. meine irgendwo gelesen zu haben, dass der Target-Boot-Mode mit FileVault nicht funktioniert (unter Vorbehalt))

Ich habe eine Methode ausprobiert, die diese Punkte größtenteils beseitigt und die in meinem Fall seit Wochen problemlos funktioniert.

Die Prozedur ist folgende:

- statt FileVault zu benutzen, habe ich mit dem Festplattendienstprog. ein 256 Bit verschlüsseltes, mitwachsendes Image erstellt

- in das Image wurden alle Ordner kopiert, die ich für sensibel und verschlüsselungsbedürftig halte
(z.B. persönliche Dokumente, meine iTunes Datenbank, einige Ordner aus der Benutzer-Library wie Adium, Adressbuch, Mail etc.)

- für jeden kopierten Ordner habe ich per Terminal einen Soft-Link (ln -s ...) erstellt, der in das verschlüsselte Image auf den gleichnamigen Ordner verweist

- abschließend habe ich einen LoginHook eingerichtet, bei dem das verschlüsselte Image gemountet wird


Das Ganze hat folgende Konsequenzen:

Nachdem man sich in OS X einloggt, erscheint als erstes ein Fenster, in dem man nach dem Passwort für das verschlüsselte Image gefragt wird. An dieser Stelle finde ich es vorteilhaft, dass man für das Image ein unabhängiges Passwort wählen kann.
Ist das Passwort richtig, verhält sich das System anschließend so, als würden die verschlüsselten Ordner an ihrem ursprünglichen Platz sein, d.h. es merkt nichts davon, dass die Ordner in einem Image liegen. Dem Benutzer fallen höchstens die kleinen Pfeile an den entsprechenden Ordnern im Finder auf, die den Soft-Link kennzeichnen.
Bricht man beim Login die Passworteingabe für das Image ab, erscheint der Desktop auch, allerdings ist das verschlüsselte Image und die darin befindlichen (sensiblen) Daten nicht gemountet.

Bei Time Machine ist mir folgendes aufgefallen. Man kann Time Machine ganz normal einschalten und so wie es aussieht, wird das verschlüsselte Image mitgesichert, auch wenn es gemountet ist. Man kann auf dem Time Machine Volume das Image von jeweils einem anderen Sicherungszeitpunkt mounten und es sind dort eindeutig auch die Dateien von dem jeweiligen Zeitpunkt enthalten. Trotzdem wird bei jedem Backup nur das gesichert, was sich geändert hat. Es scheint also, dass nicht jedes mal wieder das ganze verschlüsselte Volume kopiert wird. Ein netter Nebeneffekt ist, dass (nur) die sensiblen Daten ebenfalls auf dem Time Machine Volume verschlüsselt sind.

Versucht man über die Time Machine Oberfläche Daten wiederherzustellen, verhalten sich die verlinkten Ordner und das verschlüsselte Volume selbst so wie man es vom Benutzerordner unter FileVault gewohnt ist. D.h. man kann in diesen Ordnern nicht "in die Vergangenheit schauen". Der unverschlüsselte Rest lässt sich aber normal mit TM browsen. Man hat hier also die Möglichkeit, Daten im Benutzerordner, die nicht sensibel sind und nicht verschlüsselt werden müssen, bequem über die TM Oberfläche wiederherzustellen (denkbar wären z.B. pdf manuals, die man irgendwann mal gelöscht hat oder ähnliches). Wirft man das verschlüsselte Volume aus, kann man auch über die TM Oberfläche das ganze Volume von einem wählbaren Zeitpunkt wiederherstellen. Ansonsten besteht, wie gesagt, die Möglichkeit (manuell) im TM Volume darauf zuzugreifen und sich den Inhalt vom jeweiligen Sicherungszeitpunkt anzeigen zu lassen.

Zusammengefasst sehe ich bei dieser Methode folgende Vorteile:
- ein weiterer Sicherheitsschritt aufgrund der unabhängigen Passwörter von Benutzeraccount und verschlüsseltem Image
- gewohntes Time Machine Backup auch der verschlüsselten Ordner
- Freiheit, den zu verschlüsselnden Content selbst zu bestimmen
- Wiederherstellung von unverschlüsselten Dateien im Benutzerordner über TM GUI
- volle Einsicht in die gesicherten Daten durch Mounten des verschlüsselten Volumes im TM Backup Ordner zum jeweiligen Datum
(- Target-Mode funktioniert weiterhin)

Ein Punkt, den man als Nachteil auslegen könnte ist folgender:
- wenn man das Image per LoginHook mounten lässt, versucht das System dies bei jedem Benutzer zu tun, der sich einloggt. Hat man also einen Gast-Account eingerichtet, kommt bei diesem ebenfalls die Abfrage nach einem weiteren Passwort nach dem Login. Man sollte es daher vermeiden, das Passwort für das verschlüsselte Volume im Systemschlüsselbund abzulegen, da es dann unabhängig vom Benutzer bei jedem Login ohne Passwortabfrage gemountet wird. Alternativ zum LoginHook kann man das Image auch bei seinem eigenen Benutzer in die Startobjekte ziehen, sodass es nur dann gemountet wird, wenn sich dieser Benutzer einloggt. Ich habe auf meinem System nur einen Benutzer (mich) eingerichtet und bin mit der LoginHook Lösung zufrieden, zumal das Volume dann gemountet wird, bevor irgendetwas anderes startet.

Wie gesagt, funktioniert die genannte Methode bei mir seit einiger Zeit ohne jegliche Zwischenfälle oder Probleme und soll eine Anregung als mögliche Alternative zu FileVault sein. Ich würde sie daher gerne hier möglichst sachlich diskutieren und vor allem von den Leuten, die sich mit dem Thema Verschlüsselung, FileVault und Time Machine länger auseinandersetzen Meinungen dazu hören, da ich mich auf dem Gebiet nicht auskenne.

 

[Bobuscho]

So ähnlich hab ich das auch gelöst! Schön, dass noch jemand diese Idee hatte


Ich hab nur einen kleinen Unterschied zu deinem Verfahren verwendet:

Ich bin der Einzige, der das Notebook verwendet, also habe ich die Passwörter für die Disk Images im Anmeldeschlüsselbund gespeichert und ein entsprechend sicheres Login-Passwort verwendet. So muss ich keine zwei Passwörter eingeben.


Dabei habe ich mich oft gefragt, ob es so wie ichs gemacht habe, sicher ist. Wenn ich mich abgemeldet habe, sind die Images zu und ein potentieller Dieb kann auch durch zurücksetzen des Loginpasswortes nicht an die Daten kommen oder? Übel wäre natürlich, wenn er das Loginpasswort auslesen könnte...

 

[K@mil]

...
Ich bin der Einzige, der das Notebook verwendet, also habe ich die Passwörter für die Disk Images im Anmeldeschlüsselbund gespeichert und ein entsprechend sicheres Login-Passwort verwendet. So muss ich keine zwei Passwörter eingeben.
...

Hi,

das mit den zwei Passwörtern finde ich eigentlich gar nicht so schlecht. Es kommt ja auch mal öfters vor, dass man das Account/Admin Passwort eingeben muss um Software zu installieren, also hantiert man damit relativ oft. Das Passwort für das verschlüsselte Volume gibt man dagegen viel seltener ein. Dieses Passwort ist bei mir entsprechend länger und lässt sich auch soweit ich weiß durch nichts zurücksetzen. Wenn man es nicht kennt, kommt man an die Daten auch nicht (in realistischer Zeit) dran.
Es im Schlüsselbund zu speichern entfällt bei mir sowieso, da der Schlüsselbund selbst sich im verschlüsselten Image befindet. Klingt zwar doppelt gemoppelt, aber hat genauso den Vorteil, dass man ohne Account Passwort UND Image Passwort nicht an die "Schlüssel" kommt.

 

[Bobuscho]

Hm, das stimmt...du musst also nur bei Login einmal das Passwort eingeben? Wie genau hast du das denn angestellt?

Dann noch eine Frage: Hast du quasi einfach dein gesamtes Benutzerverzeichnis in ein DMG verschoben und dann einen symlink gesetzt?

Ich hatte das bisher mit separaten Diskimages für Daten, die iPhoto Library etc., was zu einigen Problemen geführt hat. Z.b. wuchs das Image, welches die iPhoto Library beherbergt, einfach nicht mit, obwohl es ein mitwachsendes Image sein sollte...

 

[K@mil]

Hm, das stimmt...du musst also nur bei Login einmal das Passwort eingeben? Wie genau hast du das denn angestellt?

Dann noch eine Frage: Hast du quasi einfach dein gesamtes Benutzerverzeichnis in ein DMG verschoben und dann einen symlink gesetzt?

Ich hatte das bisher mit separaten Diskimages für Daten, die iPhoto Library etc., was zu einigen Problemen geführt hat. Z.b. wuchs das Image, welches die iPhoto Library beherbergt, einfach nicht mit, obwohl es ein mitwachsendes Image sein sollte...

Hi,

also mein Image ist ein sparsebundle, d.h. ein mitwachsendes Image. Beim erstellen ist zu beachten, dass die Größe, die man für das Image angibt nicht die Anfangsgröße sondern die Maximalgröße ist (z.B. 100 GB). Es wächst dann zusammen mit dem Inhalt bis auf diese Größe an. Man kann es im Nachhinein noch vergrößern, falls es zu voll wird.

Ich habe nicht mein komplettes Home Verzeichnis in das Image gelegt, sondern nur die Sachen, die ich verschlüsselt haben möchte. Darunter sind einige Ordner aus der Library (Mail, Evernote, Adium, Adressbuch usw.), mein Dokumenteordner, Musik etc.
Die Symlinks habe ich für jeden Ordner einzeln gemacht. Ist zwar am Anfang etwas Arbeit, aber das macht man eigentlich nur ein Mal. Es hat nebenbei den Vorteil, dass die Passworteingabe abgebrochen werden kann und das System dann trotzdem ohne das gemountete Volume funktioniert .

Das Mounten des Volumes beim Login habe ich über ein LoginHook eingerichtet mit einem hdiutil Terminal befehl. Mehr zum LoginHook gibt es hier.
Das sorgt dafür, dass das System nach dem Login auf die Eingabe des Volumepassworts wartet, bis es irgendwelche Programme startet.