Sicherheitslücke im SaveSleep?

[radneuerfinder]

Auslagerungsdateien (Swap Files) werden seit 10.4 auf Wunsch verschlüsselt angelegt. Aber was ist mit dem RAM Abbild beim Safe Sleep?

Besteht nach erfolgtem Suspend to Disk eine Sicherheitslücke? Laut Diskussion in http://www.fscklog.com/2006/01/core_duoimac_sc.html wird /private/var/vm/sleepimage unverschlüssselt angelegt. Somit wären darin evtl. vorhandene Passwörter im Klartext gespeichert.

[FOX]

hmm. das wird hier wohl nur mbs beantworten können.

[Florian]

Nachdem noch mal hierher verlinkt wurde:
Scheinbar ist das wirklich so. Kann zumindest keine anderen Aussagen finden. Wurde das repariert und keiner hat's gemerkt oder haben wir hier einen guten Grund, Safe Sleep skeptisch zu sehen?

[mbs]

Meines Wissens liegt keine Sicherheitslücke vor. Wenn die Auslagerungsdatei verschlüsselt ist und man einen der "gesicherten" Betriebsarten für den "sicheren Ruhezustand" (Safe Sleep) verwendet, wird auch die Abbilddatei verschlüsselt.

Ich kann den Link zu dem Bastelartikel von MacFixIt nicht öffnen. Möglicherweise haben die Jungs (wie leider meistens bei MacFixIt) das falsch gemacht: Wenn man den sicheren Ruhezustand manuell über das Terminal aktiviert, muss man für den verschlüsselten Hibernation-Mode die Betriebsart 5 oder 7 verwenden.

[Florian]

Ich glaube radneuerfinder meinte die Kommentare unterhalb des fscklog-Artikels.
Ich habe auf Macintouch noch was gefunden. Da wurde wohl in der Tat die falsche Betriebsart benutzt, sage ich mal gänzlich unbefleckt von Wissen, da weder eine 5 noch eine 7 auftaucht....

[mbs]

Ich glaube radneuerfinder meinte die Kommentare unterhalb des fscklog-Artikels.

Ist schon klar. Aber diese Kommentare beziehen sich auf eine Anleitung zum manuellen Aktivieren des Safe Sleep-Modus bei MacFixIt, die inzwischen kostenpflichtig ist.

Ich habe auf Macintouch noch was gefunden. Da wurde wohl in der Tat die falsche Betriebsart benutzt, sage ich mal gänzlich unbefleckt von Wissen, da weder eine 5 noch eine 7 auftaucht....

Das ist wieder was anderes. Der Befehl liest nur die Abbilddatei aus, die vom letzten Safe Sleep angelegt wurde. Ob die Datei verschlüsselt oder unverschlüsselt geschrieben wurde, kann man dort nicht sehen. Nach den dortigen Kommentaren wurde diese Datei offensichtlich unverschlüsselt abgelegt.

Noch eine Aktualisierung: Nach kurzem Überfliegen des Quellcodes des Kernels von 10.4.7 sehe ich, dass Apple in Abhängigkeit einer bestimmten Variable, die aus den aktuellen PowerManagement-Präferenzen berechnet wird, die Datei entweder verschlüsselt oder unverschlüsselt auf Platte schreibt.

[warlord]

Ich hol den Thread nochmal aus der Versenkung, nachdem ich mir das Chaosradio Video "Unlocking FileVault" mit Jacob Appelbaum und Ralf-Philipp Weinmann angesehen habe. Die Jungs haben FileVault reverse engineered und so endlich ein bisschen mehr Details an die Öffentlichkeit gebracht, wie FileVault wirklich funktioniert.

Unter anderem kommt auch SafeSleep zur Sprache. Und wie es ausschaut, stellt es eben doch ein Sicherheitsproblem dar. Es trifft zwar zu, dass das Sleepimage verschlüsselt wird, wenn die Swap-Verschlüsselung eingeschaltet ist. Allerdings wird der Schlüssel einfach in den Header geschrieben. Pretty much useless diese Verschlüsselung also...
Nicht präzis geklärt bleibt, ob es sich beim Schlüssel um den normalen FileVault-Schlüssel oder um einen eigens dafür Generierten handelt. Eine Bemerkung von Appelbaum suggeriert ersteres, was nun wirklich nicht gerade toll wäre. Hiesse das ja, dass FileVault gänzlich nutzlos ist, solange der Mac in laufendem Zustand in fremde Hände fällt. Der Dieb braucht dann nur den Stecker zu ziehen und zu warten. 

[warlord]

Und ich komme noch einmal zurück auf den Thread. Wie würde man denn eigentlich die (ja anscheinend auch nicht wirklich) "sicheren" Safe Sleep Modi 5 oder 7 ohne Terminal-Turnereien überhaupt aktivieren?

[fränk]

"Terminal-Turnereien"

[mbs]

Wie würde man denn eigentlich die (ja anscheinend auch nicht wirklich) "sicheren" Safe Sleep Modi 5 oder 7 ohne Terminal-Turnereien überhaupt aktivieren?

Eigentlich sollte es ausreichen, auf einem safe-sleependen Notebook die Option "Sicheren virtuellen Speicher verwenden" einzuschalten.

Aber ich habe es gerade ausprobiert und es funktioniert nicht. ARGH!