Perilaku pengguna apa yang diperlukan untuk membuat Filevault 2 aman secara maksimal?

15

Situasi: Kata sandi Filevault 2 dapat dicuri

Passware telah merilis Passware Kit Forensic 11.3 yang dapat mencuri kata sandi FileVault 2 dari RAM dengan melakukan Serangan DMA melalui port FireWire.

Mereka menyatakan bahwa perangkat lunak mereka:

  • memulihkan kata sandi Login Pengguna Mac dan kunci FileVault dari memori komputer dan
  • mendekripsi volume TrueCrypt dan FileVault dalam hitungan menit.

Berbagai saran telah dibuat untuk mencoba menggambarkan bagaimana melindungi Mac dengan Filevault 2 dari serangan seperti itu:

sudo pmset -a destroyfvkeyonstandby 1 hibernatemode 25

Ini akan menghapus kunci enkripsi volume penuh dari RAM ketika sistem dimasukkan ke mode tidur dan memaksa sistem untuk segera menulis RAM ke disk dan menghapus daya dari memori saat tidur.

Pertanyaan:

Perilaku pengguna apa yang diperlukan dan langkah-langkah apa yang harus diambil untuk perlindungan maksimum dengan FileVault 2 di Mac?

macos security encryption filevault gentmatt
sumber
NB Inception ( github link ) dapat melakukan serangan DMA pada berbagai target (OS X, Windows dan Linux), jadi Anda tidak memerlukan perangkat lunak Passware untuk itu.
Tim

Jawaban:

10

Pertanyaan Anda berisi hal terpenting yang diperlukan untuk mengamankan komputer dari serangan yang termotivasi untuk kompromi volume Mac yang dilindungi FileVault 2.

  1. Jangan sambungkan FireWire ke perangkat yang tidak atau tidak bisa Anda percayai saat Anda masuk ke akun yang memiliki kunci kubah file aktif.
  2. Pilih kata sandi sekali pakai yang baik untuk mengurangi kemungkinan kompromi lain menurunkan keamanan kata sandi FileVault Anda.
  3. Perbarui ke 10.7.3 dan verifikasi sudo pmset -a destroyfvkeyonstandby 1 hibernatemode 25pengaturan manajemen daya yang memaksa mode hibernasi untuk mengamankan kunci Anda dari kompromi ketika perangkat biasanya "tidur"

Saya mengikuti Rich Trouton untuk tetap mendapatkan informasi terbaru di blognya untuk mendapatkan komentar yang bagus tentang cara mengamankan mac. Perpaduan topik terkini dengan pengalaman sebagai administrator sistem dunia nyata membuat tulisannya sangat berharga bagi saya.

Inti masalahnya adalah penguraian Anda Perilaku pengguna apa yang diperlukan untuk memiliki keamanan. Saya selalu suka menganggap keamanan sebagai pola pikir dan upaya berkelanjutan untuk merencanakan, mengimplementasikan, mengukur, dan beradaptasi. Keamanan bukanlah sesuatu yang Anda beli atau sesuatu yang Anda "atur" dan latih pengguna untuk benar-benar tidak membocorkan kode sandi yang telah mereka gunakan untuk menyimpan frasa pembuka kunci mereka adalah bagian terlemah dari lapisan keamanan FileVault. Tidak menggunakan kembali kode sandi itu - memiliki sistem di mana Anda membuat pengguna Anda memahami mengapa kata sandi gantungan kunci mereka harus unik dan aman jauh, jauh lebih sulit dan membutuhkan waktu lebih lama daripada hanya menyiapkan rencana untuk menerapkan kubah file pada awalnya. Semoga sukses dalam pencarian Anda untuk keamanan!

bmike
sumber
2
Selain itu, jangan hanya membalas langkah-langkah teknologi untuk melindungi Anda. Apa pun yang dapat Anda lakukan untuk meningkatkan keamanan melalui konfigurasi dan sejenisnya dapat diserang. Vektor serangan ini bukan hal baru, tidak unik untuk Filevault, dan juga sebenarnya tidak terlalu praktis mengingat diperlukan, pertama dan terutama di atas semua hal lain, akses fisik ke mesin Anda saat dihidupkan . Jika Anda khawatir tentang hal itu, maka jangan gunakan tidur, jangan gunakan hibernasi. Pilih kata sandi yang panjang (monkeyrhubarbcatsunglasses lebih baik daripada hjsa $ 1KJh4 $) dan matikan bila tidak digunakan.
stuffe
Terima kasih atas jawaban Anda bmike! Keamanan sebagai pola pikir - itu sangat benar. Saya akan mengatakan bahwa Anda menutupi sebagian besar kekhawatiran saya. Saya berharap mungkin sesuatu yang lain akan muncul dalam jawaban yang saya tidak tahu sampai sekarang. Rupanya, tidak ada lagi yang bisa dikatakan :) Terima kasih!
gentmatt
@stuffe Kekuatan kata sandi hanya panjangnya diperdebatkan, itulah sebabnya saya memiliki kata sandi yang kompleks dan panjang. Anda mungkin tertarik dengan pertanyaan ini di security.stackexchange: Kata sandi kompleks pendek, atau frasa sandi kamus yang panjang?
gentmatt
Apakah kerentanan ini berlaku jika mesin telah mengunci layar sebelum tidur? The grafik di sini menunjukkan bahwa mesin layar-terkunci aman, apakah itu tidak berlaku untuk mesin tidur? Juga, ini menunjukkan bahwa hanya dengan mengaktifkan pengaturan kata sandi firmware memecahkan masalah.
orome
2

Bisakah seseorang mencuri mesin Anda? Selain mencegah akses elektronik, Anda harus menyimpannya di bawah kunci & kunci.

Serius, di setiap langkah, Anda mendapatkan peningkatan paling banyak dengan menutupi titik terlemah saat itu; sekali pertahanan perangkat lunak Anda lebih baik daripada yang fisik, pertahanan perangkat lunak yang lebih baik tidak menambah (atau nyaris tidak ada) peningkatan.

JRobert
sumber