8. Filevault scheint nach einer Mini-Recherche wohl nicht aaall zu toll zu sein. Es ist Closedsource und verschlüsselt wohl nur das Benutzerverzeichnis. Ich werde mich mal aer an den empfohlenen Benutzer wenden!
Das wäre ja dann wohl ich
FileVault ist eine faire Lösung für das Mittelmaß. Meines Erachtens ist es aber schlecht integriert. TimeMachine wird praktisch unbrauchbar, wenn man FV benutzt. Die Performance leidet auch. Das Abmelden kann nach langen Sitzungen lange dauern, weil FV erst Plattenplatz frei räumen muss. Man kann AES256 nicht wählen (vermutlich aus Performancegründen) sondern "nur" AES128.
Eine weitere Möglichkeit wäre, grundsätzlich nur mit einem Container für hochsensible Daten zu arbeiten. Entweder mit einem verschlüsselten Image mit Bordmitteln oder mit Lösungen wie TrueCrypt. Praktisch halte ich solche Lösungen für anfällig. Entweder sind sie extrem unpraktisch, wenn man sie ernst nimmt, weil man dann den Container immer nur in sehr engen Zeitfenstern mountet oder sie sind unwirksam, weil man den Container ohnehin immer offen hat.
Außerdem ist es heutzutage nicht einfach, sensible von harmlosen Daten zu trennen. Ist eine E-Mail sensibel? Wenn man PGP einsetzt, muss man den Container mit dem Keyring doch immer offen haben. Was ist mit Spotlight und Mails, die indexiert wurden als sie entschlüsselt waren, auch wenn sie dann mit PGP sicher sind, was ist mit dem Index? Etc.
Etwas übertrieben würde ich sagen: Reine Containerverschlüsselung ist ala long immer wirkungsminimiert.
Ich persönlich bin der Ansicht, dass sich Anwender und Betriebssystem am besten harmonisch verhalten wenn die Verschlüsselung umfassend und im laufenden Betrieb transparent ist. Daher tendiere ich zu Full Disk Encryption-Lösungen. Auch die Anmelde- und Bildschirmschonerpasswörter können dann rel. kurz (wirkungsvoll schon aber nicht 40+ Zeichen) gehalten werden, da das FDE-PWD nur beim Booten und ggf. beim Beenden eines Ruhezustandes eingegeben werden muss.
Grundsätzlich gibt es zur Fesplattenverschlüsselung mit PBA (PreBootAuthentication) zwei Ansätze:
-a-) Softwarebasiert
-b-) Hardwarebasiert
zu -a-
Nachteile:
.) Ist anfällig für die ColdBoot-Attacke (die so nicht heißen sollte, ich nenne sie daher immer "FrozenRAM"-Attacke.
Details hier.)
.) Kostet Performance
.) Die meisten unterstützen keine Suspend-to-Disk (außer SecureDoc)
.) Muss im aktiven System laufen und reagiert daher ggf. widerborstig auf Updates
Vorteile:
.) Benötigt keine spezielle Hardware
.) Ist leichter bzw. vielfältiger verfügbar: PGP-Desktop, Checkpoint FDE, Winmagics SecureDoc (als reine SW-Lösung)
(Leider kann TrueCrypt unter OS X kein FDE/PBA, es bleiben also doch nur Closed Source-Lösungen.)
zu -b-
Nachteile:
.) Schwer zu erwerben
.) Nur eine Lösung derzeit: SecureDoc
.) Benötigt spezielle Hardware (Seagate FDE Drives)
.) Teuer (ich musste vier Securedoc-Lizenzen und 4 Jahreswartungslizenzen kaufen damit man mich überhaupt als Kunde akzeptiert hat - runde 800 Euro für praktisch EINE FDE-Lösung)
Vorteile:
.) Vollkommen unempfindlich gegen Frozen RAM
.) Absolut transparent in Bezug auf das laufende OS, kaum Gefahr dass ein Update Probleme erzeugt
.) Kein Performanceverlust
.) Unterstützt Suspend-to-Disk
Für TimeMachine nehme man ein externes HW-verschlüsselndes Drive. WD My Book Studio mit FW800 (Mac Edition) ist ein Superlaufwerk. Es gibt aber auch Laufwerke, die ein Hardware-Eingabefeld auf der Platte haben und mittels PIN entsperrt werden. Sind teurer und nicht so elegant, aber ich will sie nicht verschweigen:
DiskGenie oder
AMACOM DataLocker
Ich hoffe, ich konnte dir weiter helfen.
PS: Ich habe einen Bug offen mit Apple. Die Sache wäre nämlich unendlich leichter, wenn Apples EFI-Implementation die ÜBERALL VERFÜGBARE BIOS-Funktion "ATA Security Feature" implementiert hätte. Es gibt nämlich Hardware FDE-Platten die IMMER verschlüsseln. Ob die Platte aber Zugriff akzeptiert wird über diese ATA Security Function gesteuert (PC-Usern als "Harddiskpasswort" im BIOS bekannt). Schon ohne HW-Verschlüsselung kommen nur noch Leute mit sehr guter Ausrüstung an die Daten so geschützter Platten ran, mit den FDE-Drives ist jedes Bemühen vergeblich, Daten auszulesen. Das würde dann komplett transparent funktionieren, ganz ohne weitere Software (nur die FDE-Platte braucht man) - jeder noch so billige PC kann das. Es ist ein Bugreport offen (ID# 6023682) - vielleicht sehen wir ja eines schönen Tages in einem Firmwareupdate diese ATA Security Function. Bis dahin ist die Lösung ein FDE Drive (Enterprise Model) und SecureDoc.
Ich habe schon Leute gesehen, die damit so präziese gearbeitet haben, wie ich mit meiner Lasermaus. Aber dennoch wäre es nichts für mich - auch nach mehrmaligem üben war ich noch zu langsam unterwegs.