Logo von heise online

Suche
Ronald Eikenberg 206

Mac OS X speichert Klartext-Passwort neben verschlüsselten Daten

Wer von älteren Mac-OS-Versionen auf das aktuelle Lion (10.7.3) umgestiegen ist und weiterhin die alte FileVault-Verschlüsselung der Vorgängersysteme nutzt, hat unter Umständen ein Problem: Offenbar haben die Apple-Entwickler mit dem Update auf 10.7.3 im Februar dieses Jahres eine Debug-Option aktiviert, die dafür sorgt, dass die Klartext-Passwörter von FileVault-Nutzern beim Mounten der verschlüsselten Ordner in einer Log-Datei landen. Dies berichtet der Sicherheitsexperte David I. Emery auf einer Security-Mailingliste.

Anzeige

Der Antivirenspezialist Sophos weist darauf hin, dass es nur Anwender betrifft, die ein Upgrade von Snow Leopard auf Lion durchgeführt haben; das mit Lion eingeführte und standardmäßig aktive FileVault 2 ist nach bisherigem Kenntnisstand nicht betroffen.

Auf die Log-Datei, die mehrere Wochen erhalten bleibt, haben zwar eigentlich nur Admins Zugriff. Wer das System jedoch im Firewire-Disk-Mode als Festplatte an einem anderen Rechner ausliest oder die Superuser-Shell der Recovery-Partition nutzt, kann die Log-Datei problemlos auslesen. Laut Emery enthalten unverschlüsselte TimeMachine-Backups neben dem FileVault-Container auch die ungeschützten Passwörter.

Einem Nutzer des Apple-Supportforum ist dieses Problem bereits im Februar dieses Jahres aufgefallen, allerdings wurde er nicht erhört: Seine Supportanfrage wurde bis vor kurzem weder von Apple noch von anderen Nutzern des Forums kommentiert.

Schützen kann man sich, indem man auf FileVault 2 migriert. Das Setzen eines Firmware-Passwort schützt hingegen nicht vollständig: Zwar wird dadurch ein weiteres Passwort abgefragt, bevor man das System booten oder im Firewire-Disk-Mode betreiben kann, allerdings kennt laut Emery zumindest Apple einen Weg, dies zu umgehen.


Hinter dem roten Balken befindet sich das Nutzerpasswort im Klartext. Vergrößern
Update: Offenbar sind auch Nutzer betroffen, die ihr Benutzerverzeichnis von einer Netzwerkfreigabe mounten. Dies geht sowohl aus einem Beitrag im Novell-Forum als auch aus der ursprünglichen Fehlerbeschreibung im Apple-Supportforum hervor. Demnach befindet sich der Fehler im HomeDirMounter, der sowohl das Einhängen der FileVault-Verzeichnisse als auch der Nuterverzeichnisse auf AFP-Freigaben übernimmt. In der Beta von 10.7.4 tritt dieses Problem laut einem Anwenderbericht nicht mehr auf, sodass man davon ausgehen kann, dass Apple den Fehler bereits behoben hat.

Die entsprechende Log-Datei findet man in beiden Fällen unter /var/log/secure.log. Unklar ist derzeit noch, wo sich die Passwörter in den unverschlüsselten TimeMachine-Backups befinden sollen; die entsprechende Log-Datei wird von TimeMachine anscheinend nicht mitgesichert.

Update 2: heise Security konnte das Problem inzwischen nachvollziehen. Bei der Anmeldung an einem AFP-Server wird das Klartext-Passwort lokal im System Log gespeichert. (rei)

206 Kommentare

Themen:

  1. Skype: Keine Unterstützung mehr für Mac OS X 10.5.8 und älter

    Hersteller

    Künftig muss man mindestens einen Intel-Mac mit OS X 10.6 haben, um den Kommunikationsdienst zu nutzen. Die Microsoft-Tochter hatte dies bereits angedroht.

  2. Apple gibt OS X 10.9.5 frei

    Screenshot via MacRumors

    Nach iOS 8 hat Apple in der Nacht zum Donnerstag auch seine vermutlich letzte Version von OS X Mavericks zum Download bereitgestellt. Das Update behebt Fehler und fixt Sicherheitslücken. Auch eine Security-Aktualisierung für den Vorgänger steht bereit.

  3. "Rootpipe": Rechteausweitung für OS X 10.10 gibt Admin-Accounts direkt Root

    Ein Fehler, der offenbar mindestens in OS X 10.10 und 10.8.5 steckt, gibt lokalen Nutzern ohne Passworteingabe Super-User-Rechte. Was genau dahinter steckt, ist noch unklar.

  1. Meinung: Andauernder Murks in Mac OS X

    Meinung: Murks in Mac OS X

    Das Betriebssystem von Apple soll, so sagt es die Legende, besonders stabil und zuverlässig sein. Dafür kostet ein Mac auch etwas mehr. Umso schlimmer ist es, dass Apple schwere Bugs in Mac OS X seit Jahren nicht in den Griff bekommt.

  2. Kernel-Log: Neue Werkzeuge

    Die Werkzeugsammlung Util-Linux wurde um resizepart erweitert, ein nützliches Tool zum Umpartitionieren. Die X.org-Grafiktreiber erhielten Verbesserungen für Hybridgrafik. Die Erweiterungen zur Unterstützung von UEFI Secure Boot reifen heran.

  3. Die Neuerungen von Linux 3.6

    Der Kernel 3.6 beherrscht hybriden Schlaf, kann PCIe-Chips die Stromzufuhr abklemmen und bringt ein neues Framework für Userspace-Treiber. Dazu kommen verbesserte Netzwerkfunktionen, Quota- und Backup-Funktionen für Btrfs und neue Treiber.

  1. Bären-Tour

    Der zweite Teil unserer Mongoleidurchquerung im Russenbus bringt unter anderem die Erkenntnis, dass in der Wüste Gobi selbst ein UAZ an manche Grenzen seines Könnens stößt

  2. Apple erhält Patent auf vernetzte Mobiltelefon-Rauchmelder

    Apple Rauchmelder

    Die Integration von Rauchsensoren in Handys könne helfen, einen Brand an Stellen zu entdecken, die nicht von stationären Brandmeldern abgedeckt werden, meint der iPhone-Hersteller.

  3. Fate Customs

    Zweirad

    Der Umbau von alten Motorrädern zu Unikaten, dargestellt anhand der aufstrebenden Firma "Fate Customs". Dahinter steckt ein junger Mann, dessen handwerkliche Fähigkeiten und Kreativität atemberaubende Projekte entstehen lassen

  4. Dreiklangdimensionen

    Test VW Golf 1.0 TSI BlueMotion

    VW hat das Motorenangebot des Bestsellers Golf um einen Dreizylinder mit 115 PS erweitert. Der verspricht exzellente Werte im NEFZ und mehr als nur ausreichende Fahrleistungen. Kann er dies in der Praxis einlösen?

Anzeige