Какое поведение пользователя необходимо, чтобы сделать Filevault 2 максимально безопасным?

Ситуация: Пароли Filevault 2 могут быть украдены

Компания Passware выпустила пакет Passware Kit Forensic 11.3 , который может украсть пароль FileVault 2 из оперативной памяти, выполнив атаку DMA через порт FireWire.

Они заявляют, что их программное обеспечение:

  • восстанавливает пароли пользователя Mac для входа в систему и ключи FileVault из памяти компьютера и
  • расшифровывает тома TrueCrypt и FileVault за считанные минуты.

Были сделаны различные предложения , пытаясь описать, как защитить Mac с Filevault 2 от такой атаки:

sudo pmset -a destroyfvkeyonstandby 1 hibernatemode 25

Это приведет к удалению полного ключа шифрования тома из ОЗУ, когда система будет переведена в спящий режим, и заставит систему немедленно записывать ОЗУ на диск и отключать питание от памяти в спящем режиме.

Вопрос:

Какое поведение пользователя необходимо и какие шаги нужно предпринять для максимальной защиты с помощью FileVault 2 на Mac?

NB inception ( ссылка на github ) может выполнять атаки DMA на различные цели (OS X, Windows и Linux), поэтому для этого вам не нужно программное обеспечение Passware.

Ответы (2)

В вашем вопросе содержится самая важная вещь, необходимая для защиты компьютера от мотивированной атаки с целью компрометации тома Mac, защищенного FileVault 2.

  1. Не подключайте FireWire к устройству, которому вы не доверяете или не можете доверять, пока вы вошли в учетную запись с активными ключами хранилища файлов.
  2. Выбирайте хорошие одноразовые пароли, чтобы уменьшить вероятность других компрометаций, снижающих безопасность вашего пароля FileVault.
  3. Обновите до 10.7.3 и проверьте sudo pmset -a destroyfvkeyonstandby 1 hibernatemode 25настройки управления питанием, которые переводят режим гибернации для защиты ваших ключей от компрометации, когда устройство обычно «спит».

Я слежу за Ричем Траутоном , чтобы быть в курсе его блога и получать хорошие комментарии по защите компьютеров Mac. Сочетание актуальных тем, приправленных реальным опытом системного администратора, делает его статьи очень ценными для меня.

Суть проблемы заключается в том, что вы анализируете, какое поведение пользователя необходимо для обеспечения безопасности. Мне всегда нравится думать о безопасности как о мышлении и постоянных попытках планировать, внедрять, измерять и адаптировать. Безопасность — это не то, что вы покупаете или что-то, что вы «настраиваете», и обучение пользователей тому, чтобы они фактически не разглашали код доступа, который они использовали для хранения своей фразы разблокировки, является самой слабой частью уровня безопасности FileVault. Не использовать этот пароль повторно — иметь систему, в которой вы даете своим пользователям понять, почему их пароль связки ключей должен быть уникальным и безопасным, намного, намного сложнее и занимает гораздо больше времени, чем просто создание плана для первоначального внедрения хранилища файлов. Желаем удачи в вашем стремлении к безопасности!

Кроме того, не просто отвечайте на технические меры, чтобы защитить вас. Все, что вы можете сделать для повышения безопасности с помощью конфигурации и т.п., может быть атаковано. Этот вектор атаки не нов, не уникален для Filevault, а также на самом деле не особенно практичен, учитывая, что он требует, прежде всего, прежде всего, физического доступа к вашей машине , когда она включена . Если вы беспокоитесь об этом, никогда не используйте сон, никогда не используйте спящий режим. Выберите длинный пароль (monkeyrhubarbcatsunglasses лучше, чем hjsa£1KJh4$) и выключайте его, когда он не используется.
Спасибо за ответ, bmike! Безопасность как образ мышления - это очень верно. Я бы сказал, что вы решаете большинство моих проблем. Я надеялся, что, возможно, в ответе появится что-то еще, о чем я не знал до сих пор. Судя по всему, больше сказать нечего :) Спасибо!
@stuffe Надежность паролей только по длине оспаривается, поэтому у меня есть и сложный, и длинный пароль. Вас может заинтересовать этот вопрос на security.stackexchange: Короткий сложный пароль или длинная кодовая фраза словаря?
Применяется ли эта уязвимость, если машина заблокировала экран перед сном? Приведенная здесь диаграмма предполагает, что машины с заблокированным экраном безопасны, разве это не относится к спящей машине? Кроме того, это говорит о том, что простое включение установки пароля прошивки решает проблему.

Может ли кто-нибудь украсть вашу машину? Помимо предотвращения электронного доступа, вам нужно держать его под замком.

Серьезно, на каждом этапе вы получаете наибольшее улучшение, закрывая самое слабое место; как только ваша программная защита станет лучше, чем физическая, более совершенная программная защита не принесет (или почти не принесет) улучшений.

Какое поведение пользователя необходимо, чтобы сделать Filevault 2 максимально безопасным?
СпросиСетьПолитика конфиденциальности1y, 0v