Logo von heise online

Suche
preisvergleich_weiss

Recherche in 1.516.035 Produkten

Ronald Eikenberg 206

Alert Mac OS X speichert Klartext-Passwort neben verschlüsselten Daten Update

Wer von älteren Mac-OS-Versionen auf das aktuelle Lion (10.7.3) umgestiegen ist und weiterhin die alte FileVault-Verschlüsselung der Vorgängersysteme nutzt, hat unter Umständen ein Problem: Offenbar haben die Apple-Entwickler mit dem Update auf 10.7.3 im Februar dieses Jahres eine Debug-Option aktiviert, die dafür sorgt, dass die Klartext-Passwörter von FileVault-Nutzern beim Mounten der verschlüsselten Ordner in einer Log-Datei landen. Dies berichtet der Sicherheitsexperte David I. Emery auf einer Security-Mailingliste.

Anzeige

Der Antivirenspezialist Sophos weist darauf hin, dass es nur Anwender betrifft, die ein Upgrade von Snow Leopard auf Lion durchgeführt haben; das mit Lion eingeführte und standardmäßig aktive FileVault 2 ist nach bisherigem Kenntnisstand nicht betroffen.

Auf die Log-Datei, die mehrere Wochen erhalten bleibt, haben zwar eigentlich nur Admins Zugriff. Wer das System jedoch im Firewire-Disk-Mode als Festplatte an einem anderen Rechner ausliest oder die Superuser-Shell der Recovery-Partition nutzt, kann die Log-Datei problemlos auslesen. Laut Emery enthalten unverschlüsselte TimeMachine-Backups neben dem FileVault-Container auch die ungeschützten Passwörter.

Einem Nutzer des Apple-Supportforum ist dieses Problem bereits im Februar dieses Jahres aufgefallen, allerdings wurde er nicht erhört: Seine Supportanfrage wurde bis vor kurzem weder von Apple noch von anderen Nutzern des Forums kommentiert.

Schützen kann man sich, indem man auf FileVault 2 migriert. Das Setzen eines Firmware-Passwort schützt hingegen nicht vollständig: Zwar wird dadurch ein weiteres Passwort abgefragt, bevor man das System booten oder im Firewire-Disk-Mode betreiben kann, allerdings kennt laut Emery zumindest Apple einen Weg, dies zu umgehen.


Hinter dem roten Balken befindet sich das Nutzerpasswort im Klartext. Vergrößern
Update: Offenbar sind auch Nutzer betroffen, die ihr Benutzerverzeichnis von einer Netzwerkfreigabe mounten. Dies geht sowohl aus einem Beitrag im Novell-Forum als auch aus der ursprünglichen Fehlerbeschreibung im Apple-Supportforum hervor. Demnach befindet sich der Fehler im HomeDirMounter, der sowohl das Einhängen der FileVault-Verzeichnisse als auch der Nuterverzeichnisse auf AFP-Freigaben übernimmt. In der Beta von 10.7.4 tritt dieses Problem laut einem Anwenderbericht nicht mehr auf, sodass man davon ausgehen kann, dass Apple den Fehler bereits behoben hat.

Die entsprechende Log-Datei findet man in beiden Fällen unter /var/log/secure.log. Unklar ist derzeit noch, wo sich die Passwörter in den unverschlüsselten TimeMachine-Backups befinden sollen; die entsprechende Log-Datei wird von TimeMachine anscheinend nicht mitgesichert.

Update 2: heise Security konnte das Problem inzwischen nachvollziehen. Bei der Anmeldung an einem AFP-Server wird das Klartext-Passwort lokal im System Log gespeichert. (rei)

206 Kommentare

Themen:

Anzeige
  1. Stilles Apple-Update kappt Ethernet-Verbindungen

    Ein iMac

    Eine Sicherheitsaktualisierung, die unter OS X im Hintergrund installiert wird, sorgt für Probleme bei der Nutzung drahtgebundener Netze auf iMacs und MacBook-Pro-Maschinen. Doch es gibt einen Fix.

  2. Geschwächte iTunes-Backup-Verschlüsselung: Apple stellt Fix in Aussicht

    Apple

    Eine Schwachstelle macht Brute-Force-Angriffe auf verschlüsselte iTunes-Backups von iOS-10-Geräten weniger zeitintensiv. Apple ist das Problem bekannt – und betont, dass iCloud-Backups davon nicht betroffen sind.

  3. Populärer OS-X-Updater Sparkle mit problematischer Sicherheitslücke

    Populärer OS-X-Updater Sparkle mit problematischer Sicherheitslücke

    Angreifer können dem Installer unter Umständen fremden Code unterjubeln, weil Ressourcen unverschlüsselt angefordert werden. Eine neue Version behebt das Problem.

  4. Lösch-Bug unter Mac OS X: Adobe stellt neuen Creative-Cloud-Installer bereit

    Lösch-Bug: Adobe stellt neuen Creative-Cloud-Installer bereit

    Nutzer sollen das Kreativpaket laut Adobe auf dem Mac wieder gefahrlos installieren können. Der Hersteller äußerte sich zudem in seinem Blog zu dem Fehler, der Ordnerinhalte vernichten konnte.

  1. Meinung: Andauernder Murks in Mac OS X

    Meinung: Murks in Mac OS X

    Das Betriebssystem von Apple soll, so sagt es die Legende, besonders stabil und zuverlässig sein. Dafür kostet ein Mac auch etwas mehr. Umso schlimmer ist es, dass Apple schwere Bugs in Mac OS X seit Jahren nicht in den Griff bekommt.

  2. Bug beim TFS-Checkin in Visual Studio: "Value was either too large or too small for a UInt32".

    Bug beim TFS-Check-In in Visual Studio: "Value was either too large or too small for a UInt32".

    Ursache für diese Fehlermeldung sind ungespeicherte Dateien in der Entwicklungsumgebung.

  3. Kernel-Log – Was 3.19 bringt (1): Dateisysteme und Storage

    Tekrams PCI-SCSI-Hostadapter der DC-390-Serie.

    Die Kernel-Entwickler haben die RAID-5/6-Unterstützung von Btrfs verbessert. Der NVMe-Treiber nutzt jetzt eine noch junge Infrastruktur, die deutliche Leistungsgewinne bei PCIe-SSDs verspricht. Neu dabei sind auch zwei Treiber für steinalte SCSI-Controller.

  1. 1.000.000 km im Mercedes 200 D

    Mercedes

    Die Baureihe W 124 brachte Daimler nach anfänglichen Problemen einen Ruf für Dauerhaltbarkeit. Michael Nickl fährt so einen. Seit 1987 arbeitet der bei Daimler und fährt Tag für Tag mit seinem 200er Diesel. Seit 1992 nun schon über eine Million Kilometer, Tendenz steigend. Ein Vorbild für nachhaltige Auto-Nutzung

  2. Toyota röntgt Lithium-Ionen-Akkus

    Elektroautos, alternative Antriebe

    Um Kapazität und Lebensdauer von Lithium-Ionen-Speichern zu verbessern, hat Toyotas Forschungsabteilung eine Methode entwickelt, mit der sich das Verhalten von Lithium-Ionen beim Laden und Entladen von Lithium-Ionen-Batterien in Echtzeit direkt beobachten lässt

  3. Stephen Hawking: Künstliche Intelligenz und Automation bedrohen Arbeitsplätze

    Stephen Hawking

    Der britische Physiker Stephen Hawking sieht durch das wachsende Potential von künstlicher Intelligenz und Automationstechnik Arbeitsplätze bedroht. Die flächendeckende Verfügbarkeit des Internets mache Ungleichheit zudem viel spürbarer.

  4. Audi Q3, Mazda CX-5 und VW Tiguan im Vergleichstest

    Mit seiner Skyactiv-Technologie verspricht der Mazda CX-5 niedrige Verbräuche und vorbildliche Emissionseigenschaften. Gut ausgestattet ist er auch und könnte damit eine günstige Alternative zu Audi Q3 und VW Tiguan sein. Wie schlagen sich die drei Allrad-Diesel um die 175 PS?

Anzeige