Neuer 27" iMac kommt. Ohne Migrationsassistent umsteigen. Frage Nr.2: „File Vault“

[tiny]

Ich werde von meinem iMac 27" late 2014 auf einen 27" 4,2 GHz i7, 16GB RAM, 1TB SSD umsteigen. Ich werde das Gerät neu aufsetzen. Den Mac benutze ich alleine zu Hause. Hauptsächlich Emails, Pages, PDF, Safari, Photobearbeitung (nicht professionell).

Merke ich etwas an der Geschwindigkeit, wenn ich die SSD von Beginn an mit File Vault verschlüssle
Was wären Nachteile so einer Verschlüsselung?
Ich gebe gegenwärtig ein Passwort ein, wenn ich meinen Mac hochfahre (so etwas wie "h7GzUE"). Ist ganz einfach. Müßte ich bei einer File Vault Verschlüsselung jedesmal dieses dann kompliziertere Passwort eingeben?

 

[Macbeatnik]

Wieso sollte das filevault Passwort komplizierter sein?
Und ja, du gibst zuerst das filevault Passwort ein, dann anschließend das benutzerpasswort. In der Regel ist das benutzerpasswort auch das filevault Passwort.

 

[tiny]

Mein Benutzerpasswort ist ja zur Zeit recht einfach gestaltet. Soll ja nur verhindern wenn jemand vorbeigeht und schnell mal einen Blick auf meinen Mac werfen möchte. Aber die Verschlüsselung dient ja dazu, den Mac zu schützen, wenn er als Ganzer entwendet wird. daher wäre doch ein kompliziertes Passwort notwendig. Oder sehe ich da etwas nicht richtig?

 

[Marcel Bresink]

Der FileVault-Schlüssel ist sehr lang und wird normalerweise vom System generiert. Den bekommst Du nie zu sehen und der wird auch nie eingegeben.

FileVault funktioniert anders: Du kannst bestimmen, dass bestimmte Benutzer des Mac berechtigt sind, den Computer hochzufahren, wozu ja die Entschlüsselung der Festplatte nötig ist. Dabei identifizieren sich die Benutzer mit ihrem normalen Kennwort vor dem Start bei einer Art FileVault-Minibetriebsssystem, das dann intern Zugriff auf den FileVault-Schlüssel freigibt, wodurch der Mac die Festplatte entschlüsseln und das echte Betriebssystem starten kann.

Im FileVault-Betrieb reicht das Minibetriebssystem dann das eingegebene Kennwort in der Standardeinstellung an das echte Betriebssystem durch, wodurch eine zweite Eingabe des Kennworts (nun zur Anmeldung bei macOS) vermieden wird. Wenn man unbedingt will, könnte man das abschalten, so dass tatsächlich zwei Anmeldungen erforderlich sind.

 

[tiny]

Das heißt aber, daß ich mit einem Benutzerpasswort (nach dem hochfahren) a la "G5jpM" erst recht wieder gefährdet bin. So ein Benutzerpasswort dürfte ja recht leicht zu knacken sein. Wofür sollte ich dann die Festplatte verschlüsseln?

 

[Macbeatnik]

Das benutzerpasswort ohne filevault Verschlüsselung interessiert niemanden mit Zugriff auf deinen Rechner, die Daten wären auch mit längeren Passwort durchaus einfach zu bekommen, das benutzerpasswort, es sei denn man möchte an verschlüsselte Daten, wie das Schlüsselbund kommen Stört nicht.
Wenn du filevault nutzt, sind alle Daten bei hardwarezugriff geschützt und man müsste zuerst einmal die Verschlüsselung knacken.

 

[iCoco]

Wenn wir grad dabei sind: Macht File Vault eigentlich auch Sinn, wenn die meisten Daten auf iCloud Drive gespeichert sind? FV verschlüsselt ja nur die Daten, die sich lokal auf der Festplatte befinden. Bei iCloud Drive dagegen sind die Daten ja ohnehin verschlüsselt. Wer also zum Speichern seine Dokumente iCloud Drive verwendet, für den macht die FIleVault-Verschlüsselung nicht viel Sinn? Oder sehe ich das falsch?

 

[Marcel Bresink]

So ein Benutzerpasswort dürfte ja recht leicht zu knacken sein.

Aha, dann versuche mal einen Angriff auf das FileVault-Betriebssystem.

Wofür sollte ich dann die Festplatte verschlüsseln?

Damit keiner an Deine Daten kommt, wenn jemand physischen Zugriff auf die Festplatte bekommt, beispielsweise indem man den Rechner klaut und die Festplatte ausbaut. Ohne FileVault würde man überhaupt kein Kennwort brauchen, um z.B. in diesem Fall alle Deine Daten zu sehen.

Macht File Vault eigentlich auch Sinn, wenn die meisten Daten auf iCloud Drive gespeichert sind?

Ja, natürlich.

Bei iCloud Drive dagegen sind die Daten ja ohnehin verschlüsselt.

Während Dein Mac mit dem Daten arbeitet, sind sie entschlüsselt im Hauptspeicher, sonst könntest Du ja selber die Daten nicht mehr lesen. "Verschlüsseltes iCloud Drive" bedeutet in Wirklichkeit, dass

a) die Daten während sie per Internet zu Apple übertragen werden, erneut verschlüsselt werden,
b) Apples Server (oder die Dienstleister, die das in Wirklichkeit speichern) diese Daten auch verschlüsselt auf ihre eigenen Festplatten ablegen.

Es geht also sozusagen um 3 unterschiedliche Kopien dieser Daten, die jeweils getrennt verschlüsselt werden müssen, wenn es sicher sein soll.

 

[MACaerer]

Wie ist das eigentlich bei neuen Macs? Ist es richtig das alle nun den T2-Chip haben und FileVault damit Standard ist?

 

[tiny]

..... es sei denn man möchte an verschlüsselte Daten, wie das Schlüsselbund kommen Stört nicht.

Das heißt, es ändert sich gar nix im täglichen gebrauch, wenn ich File Vault verwende. Sollte ich jedoch auf meinen Schlüsselbund zugreifen wollen, dann benötige ich ein kompliziertes Passwort? Ich raffe es irgendwie nicht!

 

[Macbeatnik]

Nein, der Schlüsselbund ist verschlüsselt und auch hier wird zum entschlüsseln ein Passwort, dein benutzerpasswort, gebraucht. Also du willst im Schlüsselbund ein Passwort nachfragen, dann wird dieses erst nach Eingabe deines Passwortes angezeigt. Ohne filevault sind aber alle anderen Daten, deine Bilder, E-Mail Dokumente die nicht verschlüsselt sind für jeden mit hardwarezugriff einsehbar, wenn filevault eingerichtet ist, sind diese nicht so einfach lesbar.

 

[FrankR]

Aha, dann versuche mal einen Angriff auf das FileVault-Betriebssystem.

Naja, mit einem einfachem Benutzerkennwort könnte ein Angreifer schon via Brut-Force versuchen den FileVault Schlüssel herauszubekommen, wenn er Hardwarezugriff auf den Datenträger hat - oder sehe ich da was falsch? Wenn nicht, denke ich ein sicheres Anwenderkennwort (für alle Nutzer, die den Mac auch beim Hochfahren freischalten dürfen) sollte es dann schon sein.

 

[Marcel Bresink]

Das heißt, es ändert sich gar nix im täglichen gebrauch, wenn ich File Vault verwende.

Richtig.

Sollte ich jedoch auf meinen Schlüsselbund zugreifen wollen, dann benötige ich ein kompliziertes Passwort?

Der Schlüsselbund ist zusätzlich verschlüsselt, bei Verwendung von FileVault also zweifach. Das Kennwort zur Entschlüsselung ist ebenso das Kennwort des jeweiligen Benutzers.

Wie ist das eigentlich bei neuen Macs? Ist es richtig das alle nun den T2-Chip haben und FileVault damit Standard ist?

Ständige Hardware-Verschlüsselung der eingebauten Platte ist Standard, FileVault jedoch nicht. Man sollte unter dem Begriff FileVault nicht das Verschlüsselungsverfahren verstehen, sondern die Infrastruktur mit der gesamten Bedieneroberfläche, die die Entschlüsselung des System-Volumes und die dazu notwendige Benutzerverwaltung organisiert.

Ohne T2-Prozessor schaltet das Kennwort des Benutzers den internen Schlüssel für FileVault frei.
Mit T2-Prozessor schaltet das Kennwort des Benutzers einen Zugang zur FileVault-Enklave des T2-Prozessors frei. Der wiederum gibt dann den Zugriff auf seinen internen Schlüssel frei, mit dem er "immer schon" (also auch als FileVault noch ausgeschaltet war) die Systemplatte verschlüsselt hat.

Das ist allerdings stark vereinfacht erklärt. In Wirklichkeit ist in beiden Fällen die Hierarchie der Schlüssel noch sehr viel komplizierter. Der Schlüssel für die T2-Enklave besteht aus einem Hardware-Schlüssel, der individuell in den Prozessor eingebrannt ist und den auch Apple nicht kennt, sowie einem zweiten maschinenbezogenen Schlüssel. Der Hardware-Schlüssel schaltet einen Medienzugriffsschlüssel frei. Der Maschinenschlüssel schaltet einen benutzerbezogenen Schlüssel frei, der einen Volumeschlüssel für das Systemvolume verschlüsselt. Medienzugriffsschlüssel und Volumeschlüssel kombiniert entschlüsseln dann das Systemvolume.

 

[iCoco]

Danke für die super Erklärungen. Bleibt am Ende die Frage, ob es für den „normalen Nutzer“ Sinn macht, FV zu aktivieren. Besonders wenn dieser seine Dateien auf iCloud Drive sichert (auch um z. B. auf iOS Geräten dran zu kommen). Wird die maximierte Sicherheit durch Einschränkungen im Alltag erkauft? Und wäre es das wert?

 

[Macbeatnik]

Du hast keinerlei Einschränkungen. Einzig das Passwort musst du beim Rechnerstart 2x eintippen, aber die wenigen Male, die ein Rechner neugestartet wird sollten ja nicht stören.

 

[tiny]

Du hast keinerlei Einschränkungen. Einzig das Passwort musst du beim Rechnerstart 2x eintippen, aber die wenigen Male, die ein Rechner neugestartet wird sollten ja nicht stören.

1.
Weiter oben habe ich es aber so verstanden, daß bei einem Neustart trotzdem nur einmal ein Passwort einzugeben ist.

2.
@Marcel Bresink
Wird der Startvorgang und das öffnen von Programmen etwas verlangsamt durch FV

3.
Kann man FV nach einem halben Jahr Verwendung wieder deaktivieren? Ist es möglich, daß dabei etwas schief geht im System?


4.
Abschließend gefragt: Sollte man besser FV einrichten bei der Neuinstallation? Oder ist es nur dann notwendig, wenn ich Daten speichere, die absolut von niemandem ausser mir gesehen werden dürfen? Meine Photos sind in der iCloud, viele PDF Dokumente in der Dropbox. Der Einfachheit halber riskiere ich das sowieso...

 

[Macbeatnik]

Zu 1. du startest den Mac und musst dann zuerst die filevault Verschlüsselung freigeben, dann startet das System und du musst dann in der benutzeranmeldung den Benutzer freigeben.
2. minimale Verzögerung beim Start, wirklich minimal, während des Betriebs sind keine Verzögerungen spürbar
3. ja, die Frage ist nur warum man zusätzliche Sicherheit nicht will
4. ob du zusätzliche Sicherheit brauchst, musst du selber entscheiden.

 

[Marcel Bresink]

du startest den Mac und musst dann zuerst die filevault Verschlüsselung freigeben, dann startet das System und du musst dann in der benutzeranmeldung den Benutzer freigeben.

Wie schon in #4 geschrieben, ist das nicht erforderlich.

 

[tiny]

Dabei identifizieren sich die Benutzer mit ihrem normalen Kennwort vor dem Start bei einer Art FileVault-Minibetriebsssystem, das dann intern Zugriff auf den FileVault-Schlüssel freigibt, wodurch der Mac die Festplatte entschlüsseln und das echte Betriebssystem starten kann.

Im FileVault-Betrieb reicht das Minibetriebssystem dann das eingegebene Kennwort in der Standardeinstellung an das echte Betriebssystem durch, wodurch eine zweite Eingabe des Kennworts (nun zur Anmeldung bei macOS) vermieden wird. Wenn man unbedingt will, könnte man das abschalten, so dass tatsächlich zwei Anmeldungen erforderlich sind.

Wenn man so vorgeht, könnte also jemand, der mein einfaches Benutzerkennwort "6Gh4" kennt, einfach den mit FV verschlüsselten Mac hochfahren und hat auf meine Photos, Dropbox etc. Zugriff. Wenn jedoch mein Mac entwendet wird, die Festplatte ausgebaut wird und darauf Zugriff genommen werde möchte, dann ist der Zugriff nicht mehr möglich, da die FP ja mit FV verschlüsselt ist.
Stellt sich die Frage: Wie leicht ist denn so ein leichtes Benutzerkennwort zu knacken? Weil dann wäre ja FV mit einem einfachen Benutzerkennwort sinnlos...

 

[wavelow]

Puh... Ich habe das Ganze hier nun mal durchgelesen. Das mit dem zweimal Passwort eingeben hatte ich noch nie, auch nicht mit aktivierten FileVault. Einmal Passwort eintippern, so wie immer und los gehts. Ich wusste bis eben nicht mal, dass es eine Möglichkeit gibt zweimal ein Passwort eingeben zu können/müssen.

Ich sehe FileVault als Schutz z.B. wenn einem das MacBook gestohlen wird oder man es irgendwo verliert. Auch wenn es für einen normalen Menschen auch ohne FileVault mittlerweile schon kompliziert geworden ist an die Daten zu kommen weil man ja nicht mal eben eine Festplatte ausbauen kann, so wäre es jedoch mit etwas Hartnäckigkeit möglich. Durch FileVault sollte das nahezu unmöglich sein, dass jemand die Daten sichtbar machen könnte. Zumindest müsste der Dieb schon zur oberen Garde der weltweiten Hackergenies gehören.

Ich habe es aber auch auf dem iMac zu Hause aktiviert. Auch hier kann niemand ausschliessen, dass jemand Fremdes sich die Kiste schnappt und dann in Ruhe seziert. Wobei hier sogar noch eine ausbaubare SSD drin wäre, was es auch nicht so begabten bösen Leuten leicht macht an die Daten zu kommen.

Ich merke selber überhaupt keinen Unterschied im täglichen Umgang mit den Geräten. Mit oder ohne FileVault. Alles ist wie immer. Auch tempomässig merke ich nichts davon.

Wie ist das überhaupt? Wie könnte ein böser Bube denn versuchen einen Mac zu knacken? Wie oft kann man eigentlich das Passwort falsch eingeben oder hat man da unendliche Versuche? Ich habe das noch nie ausprobiert. Und wie würde ein Angreifer versuchen einen Mac per Brute-Force zu knacken z.B. Ich meine wie funktioniert das technisch? Wo und wie will denn ein Dieb da ansetzen am Startbildschirm? Oder geht das vom Recoverymode aus? Oder muss er die SSD auslöten? Würde mich mal interessieren.