Lion Full Disk Encryption und mehrere Benutzer

[amok]

Na, endlich kommt ein wenig Leben in den Thread!

Also meiner Meinung nach macht eine zusätzliche Verschlüsselung des Homeordners schon Sinn. Die Zugriffsrechte können ja entsprechend umgangen werden.

Dass WDE nur vor unberechtigtem Zugriff schützen soll, verstehe ich auch. Aber ich sehe halt das Problem, dass wenn ein Nutzer mit sehr sicherem Kennwort mal ursprünglich WDE eingerichtet hat und dann irgendwann ein neuer Benutzer mit schlechtem Passwort erstellt wird, auch gleich die Daten des Users mit sicherem Passwort kompromittiert werden.

Ist für mich jetzt alles kein großes Problem, aber darauf hinweisen sollte man schon.

 

[maba_de]

ok, jetzt habe ich verstanden, was Du meinst.
Das, was dort im Artikel steht, ist korrekt.
Wir haben zum Beispiel im Büro Bitlocker (ohne Preboot Athentifikation) geknackt.

 

[SirLockholmes]

Na, endlich kommt ein wenig Leben in den Thread!

Also meiner Meinung nach macht eine zusätzliche Verschlüsselung des Homeordners schon Sinn. Die Zugriffsrechte können ja entsprechend umgangen werden.

Dass WDE nur vor unberechtigtem Zugriff schützen soll, verstehe ich auch. Aber ich sehe halt das Problem, dass wenn ein Nutzer mit sehr sicherem Kennwort mal ursprünglich WDE eingerichtet hat und dann irgendwann ein neuer Benutzer mit schlechtem Passwort erstellt wird, auch gleich die Daten des Users mit sicherem Passwort kompromittiert werden.

Ist für mich jetzt alles kein großes Problem, aber darauf hinweisen sollte man schon.

wenn dem so ist, kann ich mich nur selbst zitieren: apple hat oft interessante ideen und setzt diese auch um, denkt aber leider nur selten zuende ...

 

[StarSirius]

@amok: Ich weiß ja nicht, was du dir hier für Antworten erhoffst, aber ich will mal kurz aufzeigen, was ich bei den Fragen in deinem Anfangspost gedacht habe.

D.h. doch aber, dass die Festplattenverschlüsselung nur so gut ist, wie das schwächste Passwort unter den Userpasswörtern, oder?

Wenn deine Ausführung aus dem Absatz davor zutreffen sollten, hast du recht. Mangels Zugriff auf die Beta von Lion oder detaillierteren Informationen über die Umsetzung kann ich die Richtigkeit der Überlegungen aber nicht beurteilen.

D.h. wenn ich einen User test mit Passwort test habe, dann kann man damit auch auf die Daten eines Nutzerkontos mit deutlich besserem Passwort zugreifen, oder?

Hier das gleiche. Wenn es so funktioniert wie du sagtest, stimmt das. Ich kann es nicht verifizieren.

Oder sind die einzelnen Home-Ordner etwa nochmal mit dem Userpasswort verschlüsselt? Das ginge performancemäßig aber sicher nicht, oder?

Und auch hier, woher soll das jemand wissen, der nicht die Lion Beta testen kann?

Genial finde ich dann aber Post 10, dort schreibst du:

Also es ist schon so, dass mit jedem Userpasswort der Schlüssel für die FDE-Entschlüsselung freigeben wird. Und nach dem Booten kann ich alle Userverzeichnisse sehen. Verschlüsselt ist da gar nichts, der Zugriff ist nur über Dateisystemrechte beschränkt.

Womit du deine Fragen alle selbst beantwortest.

Ich hoffe doch, du verstehst jetzt meinen gut gemeinten Tipp. Entwickler, die die Beta testen, dürfen laut NDA hier in diesem Forum nicht ins Detail gehen. Und auch wenn dir die NDA egal ist, würde ich nicht erwarten, dass andere, nur um deine Fragen zu beantworten, gegen die NDA verstoßen. Alle anderen Macuser haben keinen Zugriff auf die Beta und können nur das wiedergeben, was die Medien veröffentlichen (wobei diese da auch nicht näher ins Detail gehen) oder deinen Ausführungen glauben und werden dann zu den gleichen Schlüssen gelangen wie du. Ob deine Informationen richtig sind, kann dir niemand sagen. Daher mein gut gemeinter Tipp, stelle deine Fragen in den dafür vorgesehenen Foren, da werden die Antworten weitaus informativer sein.

 

[SirLockholmes]

ok, jetzt habe ich verstanden, was Du meinst.
Das, was dort im Artikel steht, ist korrekt.
Wir haben zum Beispiel im Büro Bitlocker (ohne Preboot Athentifikation) geknackt.

Dennoch, und da wiederhole ich die Frage von ProUser: welche Software erstellt für den User einen andern Key als für die Platte? Ich kenne nicht jedes Produkt, aber das ist mir in meinem Job (ISO) noch nicht untergekommen.

du hast hier nen fehler, die frage ist eher welche software verschlüsselt das schlüsselmaterial für die FDE mit einem anderen passwort und das ist zB der fall mit hardware FDE oder tpm gestützter und entsprechendem software-addon, sei es jetzt PGP, Check Point, Truecrypt, you name it ...

zudem gibts es aber auch programme die diese intgeration gleich mitbringen, zB Check Point FDE, Safeboot oder ich meine auch die utimaco produkte können das... zudem gibts für den gov bereich besonders US/CDN/UK/IL eigenentwicklungen die dieses als zwangsauflage hatten ...

 

[amok]

ich weiß nicht mehr, wo ich das gelesen habe, aber: wenn man die Verschlüsselung aktiviert, wenn es bereits mehrere User gibt, kann man wohl auswählen, welche Nutzer für die Entschlüsselung beim Booten berechtigt sind. Die anderen können dann nur in ihre Accounts, wenn der Rechner schon gestartet und gebootet ist.

Allerdings habe ich keine Option gefunden, das nachträglich zu machen.

 

[maba_de]

du hast hier nen fehler, die frage ist eher welche software verschlüsselt das schlüsselmaterial für die FDE mit einem anderen passwort und das ist zB der fall mit hardware FDE oder tpm gestützter und entsprechendem software-addon, sei es jetzt PGP, Check Point, Truecrypt, you name it ...

zudem gibts es aber auch programme die diese intgeration gleich mitbringen, zB Check Point FDE, Safeboot oder ich meine auch die utimaco produkte können das... zudem gibts für den gov bereich besonders US/CDN/UK/IL eigenentwicklungen die dieses als zwangsauflage hatten ...

ich hatte editiert, weil ich festgestellt habe, das das Produkt, das wir aktuell einsetzen (Safeboot), verschiedene Keys für verschiedene User hat.
Dennoch wird hier der Benutzer nicht separat verschlüsselt!

 

[SirLockholmes]

ich hatte editiert, weil ich festgestellt habe, das das Produkt, das wir aktuell einsetzen (Safeboot), verschiedene Keys für verschiedene User hat.
Dennoch wird hier der Benutzer nicht separat verschlüsselt!

ja weil ihr wahrscheinlich keine zweitsoftware nutzt, bin mir grad nicht sicher ob safeboot/mcafee auch securefolders oder images unterstützte, müsste ich erst wieder nachsehen ... aber da ich eher im anderen bereich angesiedelt bin, wo eigentwicklungen den tag bestimmen, war mir das jetzt "zuviel" aufwand, bitte hier um nachsicht ...

Wir haben zum Beispiel im Büro Bitlocker (ohne Preboot Athentifikation) geknackt.

wir schon ganz anderes ... das ist aber auch unser job ...

 

[amok]

Daher mein gut gemeinter Tipp, stelle deine Fragen in den dafür vorgesehenen Foren, da werden die Antworten weitaus informativer sein.

Ich bin völlig zufrieden mit der Qualität des Threads. Ich wollte auch nicht alle meine Fragen selbst beantworten, sondern meine Überlegungen teilen. Und wissen, ob die stichhaltig sind.

Und jetzt mal um diese leidige NDA-Diskussion zu beenden: Ich habe Zugriff auf einen Rechner eines korrekt angemeldeten Entwicklers. Er bricht damit vermutlich seine NDA (so what?) aber ich weder eine NDA noch irgendein Gesetz. Feierabend.

Kleine Ergänzung, wen es interessiert: Normale User können auch beim Boot entschlüsseln, hab ich gerade mal getestet.

 

[SirLockholmes]

vielleicht kann ma jemand die NDA posten, dann kann man diskutieren was diskutiert werden darf, also was dem in dem jeweils zutreffendem land, indem sich die beitragsersteller aufhalten auch wirklich anzuwendendes recht ist ... das lassen nämlich viele immer aussen vor .. nur weil etwas in zB USA "recht" ist, muss das noch lange nicht woanders zutreffend sein ... das nur als kurzer exkurs ...

 

[amok]

In jedem Fall wird sie sich nicht auf Dritte erstrecken (können).

Außerdem verstehe ich wirklich nicht, warum sich hier so viele dazu berufen fühlen, sie für Apple durchzusetzen.

 

[SirLockholmes]

ich hab grad mal geschaut, hab nen dev account - nur nicht für mac, ich zahle erst und muss wohl später dann der NDA zustimmen, nach deutschem recht zB soweit ich das noch in erinnerung habe, schon mal nicht anwendbar ...

 

[ProUser]

Das Prinzip bleibt aber, dass bei einer FDE (egal welches Produkt) die einzelnen Benutzer nicht separat also von einander unabhängig verschlüsselt werden, oder gibt es Ausnahmen? Wie sollte das auch umgesetzt werden?

 

[SirLockholmes]

Das Prinzip bleibt aber, dass bei einer FDE (egal welches Produkt) die einzelnen Benutzer nicht separat also von einander unabhängig verschlüsselt werden, oder gibt es Ausnahmen? Wie sollte das auch umgesetzt werden?

die platte nicht, ist ja auch nicht die aufgabe einer FDE ... haben wir zwei das nicht schon mal diskutiert??? das schlüsselmaterial lässt sich hingegen sehr wohl userunabhängig schützen, was auch sinnvoll ist, damit nicht das gleiche passwort für alle gilt ..

 

[chris25]

Gut, dass Apple solche wichtigen Themen mit einem Satz in der Feature-Seite abhandelt während der Fullscreenmodus eine ganze Seite bekommt Wäre ganz nett, wenn Filevault2 nicht unsicherer wäre, als FileVault, wenn man einen Gastaccount auf dem Rechner hat, der nur ein triviales Passwort hat.

 

[ProUser]

die platte nicht, ist ja auch nicht die aufgabe einer FDE ... haben wir zwei das nicht schon mal diskutiert??? das schlüsselmaterial lässt sich hingegen sehr wohl userunabhängig schützen, was auch sinnvoll ist, damit nicht das gleiche passwort für alle gilt ..

Haben wir.. Ungleiches Passwort macht Sinn.. Aber jeder Benutzer hat seinen Schlüssel und kann die Platte entschlüsseln, also stehen nur die Zugriffsrechte im Weg und das ist keine große Hürde.. Also zusätzlich Images verwenden..

 

[StarSirius]

Ich bin völlig zufrieden mit der Qualität des Threads. Ich wollte auch nicht alle meine Fragen selbst beantworten, sondern meine Überlegungen teilen. Und wissen, ob die stichhaltig sind.

Dann hättest du vielleicht Lion aus deinen Überlegungen rauslassen sollen. Denn die Problematik ist natürlich nicht auf Lion beschränkt sondern ist bei jeder Form von FDE, bei der die Platte mit mehreren Passwörtern entschlüsselt werden kann, anzutreffen. Ein Datendieb muss nur eines der Passwörter "raten", die Verschlüsselung ist demnach nur so gut ist, wie das schwächste/schlechteste Passwort. Besser wäre dann natürlich eine (zusätzliche) Verschlüsselung jedes einzelnen Benutzer-Verzeichnisses mit nur EINEM Passwort (kann ja durchaus auch eines der Passwörter sein, das bei der FDE benutzt wird). Aber das ist auch Lion-unabhängig.

 

[SirLockholmes]

Haben wir.. Ungleiches Passwort macht Sinn.. Aber jeder Benutzer hat seinen Schlüssel und kann die Platte entschlüsseln, also stehen nur die Zugriffsrechte im Weg und das ist keine große Hürde.. Also zusätzlich Images verwenden..

siehe post 8 von derzeit 38 ....

 

[amok]

Gut, dass Apple solche wichtigen Themen mit einem Satz in der Feature-Seite abhandelt während der Fullscreenmodus eine ganze Seite bekommt Wäre ganz nett, wenn Filevault2 nicht unsicherer wäre, als FileVault, wenn man einen Gastaccount auf dem Rechner hat, der nur ein triviales Passwort hat.

Ist es aber, da leg ich mich mittlerweile fest. Das ganze wird auch hier diskutiert, wen es interessiert:

http://forums.appleinsider.com/showthread.php?p=1866025

My concern is similar to #2.

My son's computer screen crapped out and I took it in for repair. Normally I would wipe the disk. But with no screen I wasn't able to do so this time. The tech ask for an account password, I reluctantly gave it to him knowing there's no exploitable data on my son's computer.

If it had been a shared computer, I'd have been confident that if the tech gained root privilege, he could only access my user Filevault by maybe he resetting my account password (not certain of this, but a layman's take). Which I would be able to detect.

With Lion, if I had to give a tech a standard account access (not being able to pre-wipe the disk) and he gained root privilege, he may be able to access other account data through file permissions alone. This would not be detectable.

 

[ProUser]

siehe post 8 von derzeit 38 ....

Und Beitrag #12.. wir kauen hier auf dem selben Kaugummi, welches vom Prinzip her nichts neues ist.. Und Apple wird es auch nicht neu erfunden haben, Lion hin oder her..

Für Einzelbenutzer (oder bei mehreren Benutzern die was Daten angeht die gleichen Berechtigungen haben), ist die FDE in Lion gut - kommt natürlich drauf an wie es umgesetzt ist..