Ich höre diese Frage so oft, dass es nun ein Muss geworden ist, einen speziellen Artikel dafür zu schreiben.
Die Antwort: nein, gibt es nicht. An seiner Stelle gibt es FileVault. Wir verwenden FileVault für die vollständige Festplattenverschlüsselung auf unseren Macs. FileVault ist die Full Disk Encryption (FDE)-Lösung von macOS, die den Verschlüsselungsalgorithmus AES-XTS mit einem 256-Bit-Schlüssel verwendet. Persönliche und unternehmensweite Nutzungen von FileVault sind möglich. Im Rahmen dieses Artikels werden wir Folgendes behandeln:
• Grundlegende Informationen zu FileVault
• Seine Nutzung auf persönlichen Computern
• Nutzungsszenarien in Unternehmensumgebungen
• Seine Konfiguration mit verschiedenen MDMs
Zuerst die Grundlagen
FileVault 1
Diese Funktion, die jetzt FileVault 1 oder Legacy FileVault genannt wird, wurde erstmals in der Version MacOS X 10.3 (Panther) angekündigt. In seiner ersten Version war die Verschlüsselungslogik etwas weiter von der heutigen Struktur entfernt. Es wurde nicht die ganze Festplatte verschlüsselt; die zu den Benutzern gehörenden Home-Ordner wurden verschlüsselt und in Sparseimage-Images umgewandelt.
FileVault 1 war nur durch das Passwort des Benutzers (und das Master Password, falls vergessen) geschützt. Aus diesem Grund galt es als nicht sehr sicher, und das Knacken dauerte ohnehin nicht lange.
FileVault 1.5
Lassen Sie mich es Ihnen sagen, bevor Sie googeln: So etwas gibt es nicht. Zumindest nicht unter diesem Namen. Aber das FileVault 2, das wir heute verwenden, hat sich im Laufe der Zeit weiterentwickelt, bis es seinen heutigen Zustand erreichte. Um die Zwischenstufen hervorzuheben, die es durchlaufen hat, sehe ich keinen Schaden darin, es v1.5 zu nennen.
Apple kündigte FileVault 2 im Jahr 2011 an. FileVault 2 verschlüsselte im Gegensatz zu seinem Vorgänger die gesamte Festplatte. Diese Verschlüsselungs- oder Entschlüsselungsvorgänge konnten je nach Größe der Festplatte Stunden dauern. Nicht nur das Öffnen oder Schließen, sondern auch das Arbeiten mit Dateien konnte viel Zeitverlust verursachen. Denn eine Datei musste verschlüsselt werden, bevor sie auf die Festplatte geschrieben wurde, und entschlüsselt werden, bevor sie von der Festplatte gelesen wurde. Und das bedeutete in der Zeit vor SSD / Flash-Datenträgern jede Menge Blut, Schweiß und Tränen. Diese Periode dauerte an, bis sich SSD-Datenträger verbreiteten und das APFS-Festplattenformat kam.
Aber was das heutige FileVault wirklich von der Periode trennte, die ich FileVault 1.5 nenne, war der Beginn der Verwendung des T2-Chips. Der T2-Chip wurde bekanntlich nach 2018 in Intel-Geräten verwendet. Nach 2020 wurde zu Apple Silicon-Prozessoren übergegangen und er wurde in den Apple Silicon-Chip integriert. In der Periode nach dem T2-Chip trat das Konzept der Secure Enclave in unser Leben und es wurde zu einer hardwareunterstützten Verschlüsselungsmethode übergegangen. In der Periode vor dem T2-Chip sorgte FileVault nicht für die Verschlüsselung der auf der Festplatte befindlichen Dateien, bevor es aktiviert wurde. Nach T2 änderte sich die Struktur. Wenn Sie möchten, lassen Sie uns das, was danach kommt, auch unter der Überschrift FileVault 2 erklären.
FileVault 2
Sie haben einen Mac gekauft, die Power-Taste gedrückt und mit der Einrichtung begonnen. Unter den Setup Assistant-Schritten erschien die Option FileVault und fragte, ob Sie Ihre Festplatte verschlüsseln möchten. Und Sie sagten „Nein danke, mein Lieber.“ Ihre Festplatte ist trotzdem verschlüsselt. Wenn Ihr Computer ein T2-Chip oder Apple Silicon ist, kommt Ihre Festplatte automatisch verschlüsselt. Diese Verschlüsselung wird durch einen Schlüssel namens Hardware Key geschützt, der in der Secure Enclave gehalten wird. Später, wenn FileVault vom Benutzer aktiviert wird, wird der Hardware Key mit dem mit dem Passwort des Benutzers erzeugten Key Encryption Key und dem zur Verhinderung von Brute-Force-Angriffen verwendeten xART Key kombiniert, um einen Volume Encryption Key zu erstellen.
Wenn Sie sich entscheiden, FileVault auf einem Computer einzuschalten, auf dem FileVault ausgeschaltet ist, haben Sie vielleicht bemerkt, dass die Festplatte innerhalb von Sekunden in den verschlüsselten Modus wechselt. Tatsächlich ist der in diesem Moment durchgeführte Vorgang keine echte Verschlüsselung, sondern die Einbeziehung des mit dem Benutzerpasswort erzeugten KEK (Key Encryption Key) in die Kette. Die Verwaltung all dieser Schlüssel wird von der Secure Enclave durchgeführt. Diese Schlüssel werden auf T2-Chip-Intel-Macs in keiner Weise dem Zugriff des Intel-Prozessors offengehalten.
Wenn ein Computer mit aktiviertem FileVault, der sich im ausgeschalteten Zustand befindet, eingeschaltet wird, verhält er sich anders als Computer, bei denen FileVault ausgeschaltet ist. Auf Computern mit dem APFS-Festplattenformat gibt es auf der Festplatte einige Partitionen, die für den Benutzer in der grafischen Oberfläche nicht sichtbar sind. Wie Macintosh HD, Macintosh HD Data, Recovery, PreBoot, VM… Sie können das Terminal öffnen und diskutil list eingeben, um diese versteckten Partitionen und den von ihnen belegten Platz zu sehen. Ein Computer, auf dem FileVault aktiviert wurde, bootet nicht vom Systemvolume namens Macintosh HD, sondern zuerst über das Volume namens PreBoot. Aus diesem Grund erscheint der Login Screen auf Computern, auf denen FileVault aktiviert wurde, schneller. Denn macOS erfährt zuerst, ob Sie den Schlüssel haben, der die Box entsperrt, und fährt erst danach mit dem Laden der Betriebssystemkomponenten fort.
Secure Token und Bootstrap Token
Ein weiteres Thema, das Benutzerkonten und FileVault in macOS betrifft, ist die Verwendung von Secure Token und Bootstrap Token. Der Benutzer, der das erste Konto auf dem Computer mit dem Setup Assistant erstellt, erhält einen speziellen Schlüssel namens Secure Token. Dank dieses Schlüssels kann er FileVault ein- und ausschalten, sich durch Entsperren von FileVault am Computer anmelden und Systemupdates durchführen. Die von diesem Benutzer über Users & Groups System Settings zu erstellenden 2. und 3. Benutzer werden ebenfalls automatisch Secure Token-Besitzer.
Aber wenn ein Admin-Benutzer nicht mit dieser Methode erstellt wurde — zum Beispiel, wenn er mit einem über ein MDM verteilten Skript oder einer Richtlinie erstellt wurde — ist er möglicherweise kein Secure Token-Besitzer. In einem solchen Fall bringt das Vorhandensein von Admin-Berechtigung des Benutzers ihn nicht an einen Punkt, an dem er alle administrativen Vorgänge durchführen kann.
Ein Secure Token-Besitzer-Benutzer kann anderen Benutzern die Secure Token-Berechtigung über das Terminal erteilen. Aber dieser Vorgang wird manuell durchgeführt und ist für Unternehmensarbeitsumgebungen, in denen Geräte remote verwaltet werden, nicht sehr geeignet. Aus diesem Grund wurde ein weiterer Schlüssel namens Bootstrap Token entwickelt. Bootstrap Token erteilt die Secure Token-Berechtigung unabhängig davon, wie der Benutzer erstellt wurde. Dazu gehören lokal erstellte Benutzer, mit MDM erstellte Verwaltungskonten und mobile Konten. Der Bootstrap Token wird vom ersten Benutzer erstellt, der einen Secure Token besitzt, und dem MDM anvertraut. Der MDM-Server sorgt wiederum dafür, dass er mit anderen Benutzern geteilt wird.
„Mir ist ehrlich gesagt sterbenslangweilig, sollen wir es weiter vereinfachen?“
Sie haben recht. Wenn Sie möchten, lassen Sie uns ansehen, wie FileVault auf persönlichen Computern verwendet wird. Wenn wir die grundlegende Funktionslogik als ein paar Punkte erklären:
- Der Benutzer aktiviert FileVault auf seinem Computer.
- Nachdem FileVault die Verschlüsselung abgeschlossen hat, erzeugt es für den Benutzer einen Wiederherstellungsschlüssel (Recovery Key). Der Benutzer kann diesen Wiederherstellungsschlüssel im iCloud-Bereich speichern oder auch auf einem Blatt Papier notieren.
- Beim Anmelden an einem Computer mit eingeschaltetem FileVault entsperrt das Login-Passwort, das der Benutzer eingeben wird, auch FileVault.
- Wenn der Benutzer das Login-Passwort vergessen hat, kann er anstelle des Login-Passworts den Wiederherstellungsschlüssel verwenden und sein vergessenes Passwort zurücksetzen.
Auch wenn sich die Verschlüsselungsmethode, der Algorithmus und die verwaltbaren Bereiche von FileVault im Laufe der Zeit geändert haben, ist diese grundlegende Logik vom ersten Tag bis heute gleich geblieben. In den Zeiten, in denen FileVault 1 verwendet wurde, mussten Sie, wenn Sie FileVault aktivierten, um eine Home Folder-Verschlüsselung durchzuführen, ein Master Password und keinen Recovery Key definieren.
Ebenfalls in denselben Zeiten konnten Sie, wenn Sie Ihr Passwort vergessen hatten, die Passwortänderung direkt über den Login Screen anstatt über macOS Recovery wie jetzt vornehmen.
Wenn Sie Ihr Login-Passwort vergessen haben und den Recovery Key (oder Ihr iCloud-Passwort) zur Hand haben, können Sie Ihr Passwort zurücksetzen, indem Sie den Computer von macOS Recovery starten.
Wenn Sie Ihr Login-Passwort vergessen haben und den Recovery Key (oder Ihr iCloud-Passwort) nicht zur Hand haben, würde ich Ihnen vorschlagen, Ihren Geist ein wenig mehr anzustrengen, um sich an Ihr Passwort zu erinnern. Versuchen Sie das Geburtsdatum Ihres Kindes oder das Impfdatum Ihrer Katze oder dergleichen. Denn wenn Sie sich nicht an dieses Passwort erinnern, können Sie nie auf Ihre Daten zugreifen. Es gibt Benutzer, die ihren Computer in dieser Situation zu Apple-Stores oder Apple Authorized-Servicepartnern bringen. Selbst wenn Sie in ein Flugzeug steigen und ihn zu Apples Zentrale in Cupertino, Kalifornien bringen, ändert sich die Situation nicht. Kein anderes Element als Ihr Passwort (oder der Wiederherstellungsschlüssel) kann die Verschlüsselung dieser Festplatte lösen.
Wie laufen diese Dinge in der Unternehmenswelt?
FileVault mit einer MDM-Lösung zu aktivieren, dem Endbenutzer keine Berechtigung zu geben, eine Änderung an FileVault vorzunehmen, und die Wiederherstellungsschlüssel auch auf dem MDM-Server zu sammeln, kann als die häufigste Nutzung angesehen werden.
Wenn Sie nach dem Lesen dieses Artikels auch die Dokumentation der von Ihnen verwendeten MDM-Lösung bezüglich der Aktivierung von FileVault lesen, können Sie sehen, dass es zwei verschiedene Wiederherstellungsschlüssel gibt.
• Institutional Recovery Key – IRK (Institutioneller Wiederherstellungsschlüssel)
• Personal Recovery Key – PRK (Persönlicher Wiederherstellungsschlüssel)
Die Ärmel hochzukrempeln mit den Worten „Wir sind eine Institution, also sollten wir die Methode des institutionellen Wiederherstellungsschlüssels bevorzugen“ wird Sie auf einen sehr falschen Weg führen. Denn das, was wir Institutional Recovery Key nennen, ist eigentlich ein Zertifikat, das aus einem Paar aus privatem und öffentlichem Schlüssel besteht. Es erfordert, dass Sie sich mit der Target Disk-Methode mit der Festplatte des Macs verbinden, dessen Passwort vergessen wurde, und das von Ihnen erstellte Zertifikat dort ablegen.
Ja, Sie haben richtig geraten, diese Methode endete zusammen mit den Intel-Geräten. Daher möchte ich den oben geschriebenen Satz noch einmal schreiben. FileVault mit einer MDM-Lösung zu aktivieren, dem Endbenutzer keine Berechtigung zu geben, eine Änderung an FileVault vorzunehmen, und die Wiederherstellungsschlüssel auch auf dem MDM-Server zu sammeln, ist die häufigste Nutzung. Die hier gesammelten Wiederherstellungsschlüssel sind der Personal Recovery Key. Das, was diesen ‚persönlichen‘ Wiederherstellungsschlüssel ‚institutionell‘ machen wird, ist die Tatsache, dass er auf einem MDM-Server gehalten wird.
Wie wird es in MDM-Lösungen eingerichtet?
Jede MDM-Lösung, die Macs verwalten kann, verfügt über verschiedene Werkzeuge zur Verwaltung von FileVault. Wenn Sie möchten, lassen Sie uns ansehen, wo sich die FileVault-Einstellungen in ein paar beliebten MDM-Lösungen befinden und welche Art von Einstellungen sie enthalten:
Iru (Kandji)
Kurz vor dem Schreiben dieses Artikels änderte Kandji seinen Namen in Iru und kündigte an, dass es auch beginnen würde, Windows und Android zu verwalten. Obwohl es in der Testumgebung, die ich beim Schreiben dieser Artikel verwende, einige Änderungen gibt, kann ich immer noch den ursprünglichen Namen Kandji sehen. Nachdem die vollständige Umwandlung stattgefunden hat, kann das, was ich unten schreibe, auch abweichen.
Sie können mit der Konfiguration von FileVault beginnen, indem Sie die Option Library > Add Library Item > FileVault auswählen.
Es gibt Standardeinstellungen wie das sofortige Aktivieren von FileVault oder das Einräumen der Möglichkeit für den Benutzer, es aufzuschieben. Es gibt auch verschiedene Optionen für das Senden des Wiederherstellungsschlüssels an Iru und das Festlegen des Zeitraums, in dem er anschließend automatisch geändert wird.
Microsoft Intune
Sie können die FileVault-Konfiguration durchführen, indem Sie die Kategorie Full Disk Encryption von der Adresse Devices > Configuration > +Create > Settings Catalog verwenden. Aus der Unterkategorie FileVault unter der Kategorie Full Disk Encryption können Sie die allgemeinen Einstellungen vornehmen, aus der Unterkategorie FileVault Options die Einstellungen, ob der Benutzer FileVault ausschalten kann, und aus der Unterkategorie FileVault Recovery Key Escrow die Standortinformationseinstellung, wo der Recovery Key hinterlegt wird.
Microsoft Intune ermöglicht Ihnen außerdem, eine Disk Encryption-Konfiguration im Abschnitt Endpoint Security durchzuführen. Wenn Sie es vorziehen, alle allgemeinen Endpunktsicherheitseinstellungen auf den von Ihnen verwalteten Systemen aus diesem Bereich vorzunehmen, ist es möglich, FileVault nicht mit einem Konfigurationsprofil, sondern mit einer Policy zu verwalten, die Sie im Abschnitt Endpoint Security erstellen werden.
Jamf Pro
Sie können Ihre FileVault-Konfiguration vorbereiten, indem Sie im Abschnitt Computers > Configuration Profiles > +New > Security & Privacy den Abschnitt FileVault aufrufen.
Die grundlegenden FileVault-Konfigurationseinstellungen, die in vielen anderen MDMs vorhanden sind, sind auch in Jamf Pro vorhanden. Wie ob der Recovery Key dem MDM-Server hinterlegt wird, ob der Benutzer Optionen zum Aufschieben oder Ausschalten von FileVault hat…
In Jamf Pro können Sie außerdem eine FileVault-Einstellung im Abschnitt Policies anstelle von Configuration Profiles vorbereiten und an Benutzer senden.
Sie können eine zuvor aus dem Abschnitt Settings > Disk Encryption Configuration vorbereitete FileVault-Konfiguration aus dem Abschnitt Computers > Policies > Disk Encryption an Benutzer übermitteln. Ein wichtiger Punkt, auf den Sie hier achten müssen, ist, dass die als Policy gesendete FileVault-Konfiguration FileVault auf dem Computer des Benutzers einschaltet. Jedoch wirkt sich jede Änderung, die Sie erneut an derselben Konfiguration vornehmen, nicht auf bestehende Benutzer aus. Policies haben, sofern keine besondere Situation vorliegt, eine einmalige Funktionslogik. Daher würde ich Ihnen, sofern Sie keinen besonderen Grund haben, vorschlagen, FileVault nicht über Policies, sondern über Configuration Profiles einzuschalten und zu verwalten.
Verwendung anstelle von Recovery Lock
In Apples MDM-Protokoll gibt es einen Schlüssel namens SetRecoveryLockCommand. Mit Ihrer MDM-Lösung, die dies verwendet, können Sie verhindern, dass ein Benutzer den Computer unbefugt von macOS Recovery startet. Dass ein Benutzer die macOS Recovery-Umgebung erreicht, ist eine Situation, die Apple-Systemadministratoren vermeiden, da es bedeuten kann, die Festplatte des Computers zurücksetzen, die Passwörter lokaler Benutzer zurücksetzen oder die Secure Boot-Einstellungen des Computers ändern zu können.
Verschiedene MDMs können diesen Schlüssel auf unterschiedliche Weise verwenden. Manche lassen ihn als Teil des Enrollment-Profils verwenden, manche können ihn anschließend als Konfigurationsprofil an alle Geräte senden. Tatsächlich kann diese Funktion in manchen MDMs überhaupt nicht vorhanden sein. Wenn die von Ihnen verwendete MDM-Lösung keinen Mechanismus hat, der verhindert, dass der Endbenutzer sich in die macOS Recovery-Umgebung anmeldet, können Sie dafür FileVault verwenden.
Aktivieren Sie dafür einfach FileVault mit der von Ihnen verwendeten MDM-Lösung und ziehen Sie es vor, dem Benutzer den Wiederherstellungsschlüssel nicht zu zeigen. Wenn der Endbenutzer seinen Computer von macOS Recovery starten möchte, wird nicht sofort ein Schlosssymbol vor ihm erscheinen, aber anschließend wird er aufgefordert, den FileVault-Wiederherstellungsschlüssel einzugeben, um fortfahren zu können. Wenn sich der Wiederherstellungsschlüssel nicht in seinem Besitz befindet, kann der Benutzer in keiner Weise die macOS Recovery-Umgebung erreichen.
Nehmen wir an, dass Sie aus irgendeinem Grund dem Endbenutzer den Wiederherstellungsschlüssel geben mussten, der ein 24-stelliger alphanumerischer Code ist. In diesem Fall kann der Benutzer diesen Wiederherstellungsschlüssel auf einem Blatt Papier notieren und denken, dass er ihn später wieder verwenden kann. Die Lösung hierfür ist ebenfalls, die Wiederherstellungsschlüssel automatisch zu rotieren. Einige MDM-Lösungen können dies als Funktion innerhalb ihrer selbst anbieten. In denen, die das nicht tun, kann es mit Hilfe eines Skripts angewendet werden.
Falls Sie der Meinung sind, dass die deutsche Übersetzung Fehler enthält, schreiben Sie bitte eine E-Mail an melih.sancar@settings.blog
Photo by Jason Dent on Unsplash
Kommentar verfassen