Fragen zu FileVault

M

MacDomi

Mitglied
Thread Starter
Dabei seit
16.06.2022
Beiträge
81
Reaktionspunkte
10
Hallo zusammen,

ich habe bisher nur Windows und Linux benutzt, und habe daher ein paar Verständnisprobleme beim Thema FileVault.

Ich habe unter Windows/Linux mein System immer komplett verschlüsselt. Bei Linux mit LUKS und bei Windows mit Veracrypt.
Dabei habe ich immer die komplette Systemplatte verschlüsselt.
Zum Entschlüsseln muss ich dann direkt nach dem Bootloader das Passwort eingeben.
Ich habe ein recht langes PW (über 20 Zeichen) benutzt, da man dieses ja nur einmal nach dem Start des Rechners eingeben muss.
Nach dem Entschlüsselungsvorgang kommt man dann ja zur eigentlichen Windows- bzw. Linux-Accountanmeldung.
Das Accountpasswort habe ich dann etwas kürzer gewählt, da ich dieses ja öfter mal eingeben muss, z.B. beim Installieren neuer Software.

Bei MacOS scheint das allerdings anders zu laufen.
Wenn ich es richtig verstehe, ist mein Mac-Accountpasswort gleichzeitig das PW zum Entschlüsseln der SSD.
Da ich dieses Passwort dann aber gerne sehr lang wählen möchte, wäre es etwas nervend, wenn ich das dann bei jeglichen Systemmeldungen eigeben muss.
Evtl. könnte ich dann auf TouchID zurückgreifen, aber das erscheint mir irgendwie auch nicht so sicher. (ich weiß, Aluhut :-D )

Und wie funktioniert es dann, wenn ich mehrere Benutzer habe, mit unterschiedlichen Passwörter?
Kann dann jeder Benutzer (Admin) das System entschlüsseln, obwohl es ja dann andere Passwörter sind?

Und als Verschlüsselungsmethode bei FileVault scheint außerdem nur 128-Bit-AES benutzt zu werden.
Denke nicht, dass das noch zeitgemäß ist. Oder gibt es auch die Möglichkeit 256-Bit zu benutzen?

Ich hoffe, ihr könnt mir weiterhelfen.
 
Artikel aus 2016… also knapp aktuell ;)

Es wird immer irgendwie, irgendwo und von irgendjemandem jede Verschlüsselung geknackt werden können.
 
SwissBigTwin schrieb:
Artikel aus 2016… also knapp aktuell ;)

Es wird immer irgendwie, irgendwo und von irgendjemandem jede Verschlüsselung geknackt werden können.
Zum Vergrößern anklicken....
Haben die dort genannten Fakten sich relevant geändert? Der Artikel ist meines Erachtens hilfreicher als der 5 Monate alte Apple Support Artikel. Ok, Touch ID ist nicht berücksichtigt.
 
MacDomi schrieb:
Wenn ich es richtig verstehe, ist mein Mac-Accountpasswort gleichzeitig das PW zum Entschlüsseln der SSD.
Zum Vergrößern anklicken....
Ja.
MacDomi schrieb:
Da ich dieses Passwort dann aber gerne sehr lang wählen möchte, wäre es etwas nervend, wenn ich das dann bei jeglichen Systemmeldungen eigeben muss.
Zum Vergrößern anklicken....
Wenn du einen modernen Mac mit T2-Chip (ein Sicherheitschip) hast (die letzten Intel-Macs oder einen ARM-Mac), dann braucht das Passwort nicht sehr lang zu sein.

Erklärung:
Die Platte wird nicht mit deinem Passwort, sondern mit einem sehr langem und geheimen Schlüssel verschlüsselt, welcher im T2-Chip sitzt. Diesen Schlüssel kennst du nicht und kriegst ihn nie zu Gesicht. Der ist übrigens viel zu lang, als dass er jemals per Brute Force geknackt werden könnte. Zu Anfang, wenn du die Platte mit dem Passwort entsperrst, liefert der T2-Chip dem System für dein Passwort den geheimen Schlüssel, mit dem dann die Platte entschlüsselt wird.

Je nach Version des Sicherheitschips können maximal 90 Passwörter durchprobiert werden, da der Chip dann dicht macht. Da reichen dann sogar vergleichsweise unsichere Passwörter, um auf der sicheren Seite zu sein. Es gibt wohl Möglichkeiten, in einigen Fällen die Beschränkung auf 90 Versuche zu umgehen (siehe hier, wenn's interessiert), aber auch dann können maximal 15 Passwörter pro Sekunde probiert werden, da der T2-Chip nicht schneller macht. Mit einem 8-stelligen Passwort bist du also auch da auf der sicheren Seite.

MacDomi schrieb:
Und wie funktioniert es dann, wenn ich mehrere Benutzer habe, mit unterschiedlichen Passwörter?
Kann dann jeder Benutzer (Admin) das System entschlüsseln, obwohl es ja dann andere Passwörter sind?
Zum Vergrößern anklicken....
Der T2-Chip kann mehrere Benutzerpasswörter speichern, Zu jedem dieser Passwörter liefert er denselben geheimen Schlüssel für die Plattenverschlüsselung. Deshalb können mehrere Benutzer die Platte entschlüsseln, und auch das Ändern eines Passwortes geht schnell, ohne dass die Platte neu verschlüsselt werden muss. Welche Benutzer die Platte entsperren dürfen, kannst du (zumind. unter High Sierra) bei Einstellungen -> Sicherheit -> FileVault festlegen.

Eine Sicherheitslücke hat sich Apple da (zumindest bei High Sierra) geleistet. Wenn man einen neuen Benutzer anlegt, erhält dieser automatisch das Recht, die Platte zu entsperren. Wenn du also mal eben den Benutzer 'test' mit dem Passwort 'test' anlegst, ohne an FileVault zu denken, hast du den Schutz der Verschlüsselung ausgehebelt ...
MacDomi schrieb:
Und als Verschlüsselungsmethode bei FileVault scheint außerdem nur 128-Bit-AES benutzt zu werden.
Denke nicht, dass das noch zeitgemäß ist. Oder gibt es auch die Möglichkeit 256-Bit zu benutzen?
Zum Vergrößern anklicken....
Auf Grund einer Angriffsmöglichkeit (siehe hier und hier) gegen AES-256 ist AES-256 formal gesehen sogar schwächer als AES-128. In der Praxis ist das aber bedeutungslos. Beide Verfahren sind Stand heute absolut sicher.
 
Die Platte wird nicht mit deinem Passwort, sondern mit einem sehr langem und geheimen Schlüssel verschlüsselt, welcher im T2-Chip sitzt. Diesen Schlüssel kennst du nicht und kriegst ihn nie zu Gesicht. Der ist übrigens viel zu lang, als dass er jemals per Brute Force geknackt werden könnte. Zu Anfang, wenn du die Platte mit dem Passwort entsperrst, liefert der T2-Chip dem System für dein Passwort den geheimen Schlüssel, mit dem dann die Platte entschlüsselt wird.
Zum Vergrößern anklicken....

Wobei das im Endeffekt ja eigentlich das gleiche ist.
Das Passwort, welches zum Entschlüsseln eingegeben werden muss, sollte ja trotzdem so lang wie möglich sein, um es Angreifern nicht zu leicht zu machen.
 
Dein Passwort wird mit einem viel längeren Schlüssel kombiniert.
Da macht es dann auch kaum einen Unterschied ob dein Passwort 10 oder 12 Zeichen hat, wenn am Ende (achtung fiktive zahlen) 512 gegen 514 Zeichen stehen.

Und man generiert zusätzliche Sicherheit durch begrenzen der Versuche.
In Anzahl (90) und Geschwindigkeit (15/s)

Problematisch wir es erst wenn man dein Passwort mit hoher Wahrscheinlichkeit in 90 versuchen knacken kann.

Ich habe keine große Ahnung aber ich denke das dürfte schon ab 2 alphanumerischen Stellen kaum möglich sein.
https://www.welivesecurity.com/deutsch/2014/09/02/mathematik-der-passworter-pin-vs-kennwort/
72^2 = 5184 möglichkeiten

-> Du musst immer am T2 Vorbei und der bestimmt die Regeln.
 
Zuletzt bearbeitet:
MacDomi schrieb:
Wobei das im Endeffekt ja eigentlich das gleiche ist.
Das Passwort, welches zum Entschlüsseln eingegeben werden muss, sollte ja trotzdem so lang wie möglich sein, um es Angreifern nicht zu leicht zu machen.
Zum Vergrößern anklicken....
Nein, das ist nicht das Gleiche.

Das Passwort kann nur über den T2-Chip verifiziert werden. Wenn alle Möglichkeiten per Brute Force durchprobiert werden, dann sind nur etwa 90 Versuche möglich oder wenn die erwähnte Lücke im T2-Chip genutzt werden kann, max. 15 Versuche pro Sekunde. Da macht es dann keinen Unterschied mehr, ob das Passwort zehn, zwanzig oder dreißig Zeichen hat, weil bereits bei zehn Zeichen die Zeit zum Durchprobieren jenseits von Gut und Böse ist.

Soll hingegen der geheime Schlüssel per Brute Force durchprobiert werden, dann wird der T2-Chip nicht gebraucht, sondern nur der verschlüsselte Inhalt der SSD, und damit sind ohne Begrenzung der Anzahl Tausende oder Hunderttausende von Versuchen pro Sekunde möglich. Der geheime Schlüssel muss also viel länger sein.
 
Danke euch allen für die Infos. Mir war das nicht bewusst und nun habe ich sogar die Herleitung und Hintergründe verstanden. Toll wie ihr das alles geschrieben habt. Ich hab euch allen mal ein Like gegeben. =)

Gibt es eigentlich etwas vergleichbaren für Touch ID für den Mac, wie beim iPhone mit den Seitentasten? So dass man den FingerScanner deaktiviert und dann immer das Passwort eingeben muss. Wie wehrt man sich, dass die Behörde einem einfach den Finger auf das Gerät legt?
 
Johanna K schrieb:
Du kannst die gespeicherten Fingerabdrücke löschen. Danach musst du immer das Passwort eingeben. Meinst du so was?
Zum Vergrößern anklicken....
Danke für deinen Einsatz mir zu helfen. Ich habe bereits mehre Antworten erhalten, dass das so nicht geht.

Ich suche sozusagen das Mac Porndon dazu:
"Face ID vorübergehend deaktivieren
Drücke die Seitentaste und eine der Lautstärketasten und halte beide Tasten zwei Sekunden lang gedrückt. Drücke die Seitentaste, sobald die Schieberegler erscheinen, um das iPhone sofort zu sperren."

So etwas scheint es für den Mac nicht zu gaben.
 
Du musst dich einloggen oder registrieren, um hier zu antworten.

Ähnliche Themen

B
macOS Update & FileVault Recovery Key
Antworten
11
Aufrufe
382
blur
B
B
Mac-Fileserver mit FileVault verschlüsseln
Antworten
10
Aufrufe
561
be99
B
B
Tastatur FileVault
Antworten
7
Aufrufe
656
Verdeboreale
Verdeboreale
Zurück
Oben Unten