zurück zum Artikel

Mac OS X speichert Klartext-Passwort neben verschlüsselten Daten Update

Wer von älteren Mac-OS-Versionen auf das aktuelle Lion (10.7.3) umgestiegen ist und weiterhin die alte FileVault-Verschlüsselung der Vorgängersysteme nutzt, hat unter Umständen ein Problem: Offenbar haben die Apple-Entwickler mit dem Update auf 10.7.3 im Februar dieses Jahres eine Debug-Option aktiviert, die dafür sorgt, dass die Klartext-Passwörter von FileVault-Nutzern beim Mounten der verschlüsselten Ordner in einer Log-Datei landen. Dies berichtet [1] der Sicherheitsexperte David I. Emery auf einer Security-Mailingliste.

Der Antivirenspezialist Sophos weist darauf hin [2], dass es nur Anwender betrifft, die ein Upgrade von Snow Leopard auf Lion durchgeführt haben; das mit Lion eingeführte und standardmäßig aktive FileVault 2 ist nach bisherigem Kenntnisstand nicht betroffen.

Auf die Log-Datei, die mehrere Wochen erhalten bleibt, haben zwar eigentlich nur Admins Zugriff. Wer das System jedoch im Firewire-Disk-Mode als Festplatte an einem anderen Rechner ausliest oder die Superuser-Shell der Recovery-Partition nutzt, kann die Log-Datei problemlos auslesen. Laut Emery enthalten unverschlüsselte TimeMachine-Backups neben dem FileVault-Container auch die ungeschützten Passwörter.

Einem Nutzer des Apple-Supportforum ist dieses Problem bereits im Februar dieses Jahres aufgefallen [3], allerdings wurde er nicht erhört: Seine Supportanfrage wurde bis vor kurzem weder von Apple noch von anderen Nutzern des Forums kommentiert.

Schützen kann man sich, indem man auf FileVault 2 migriert [4]. Das Setzen eines Firmware-Passwort schützt hingegen nicht vollständig: Zwar wird dadurch ein weiteres Passwort abgefragt, bevor man das System booten oder im Firewire-Disk-Mode betreiben kann, allerdings kennt laut Emery zumindest Apple einen Weg, dies zu umgehen.

Hinter dem roten Balken befindet sich das Nutzerpasswort im Klartext.

Update: Offenbar sind auch Nutzer betroffen, die ihr Benutzerverzeichnis von einer Netzwerkfreigabe mounten. Dies geht sowohl aus einem Beitrag im Novell-Forum [5] als auch aus der ursprünglichen Fehlerbeschreibung im Apple-Supportforum hervor. Demnach befindet sich der Fehler im HomeDirMounter, der sowohl das Einhängen der FileVault-Verzeichnisse als auch der Nuterverzeichnisse auf AFP-Freigaben übernimmt. In der Beta von 10.7.4 tritt dieses Problem laut einem Anwenderbericht [6] nicht mehr auf, sodass man davon ausgehen kann, dass Apple den Fehler bereits behoben hat.

Die entsprechende Log-Datei findet man in beiden Fällen unter /var/log/secure.log. Unklar ist derzeit noch, wo sich die Passwörter in den unverschlüsselten TimeMachine-Backups befinden sollen; die entsprechende Log-Datei wird von TimeMachine anscheinend nicht mitgesichert.

Update 2: heise Security konnte das Problem inzwischen nachvollziehen. Bei der Anmeldung an einem AFP-Server wird das Klartext-Passwort lokal im System Log gespeichert. (rei [7])


URL dieses Artikels:
http://www.heise.de/-1569025

Links in diesem Artikel:
[1] http://cryptome.org/2012/05/apple-filevault-hole.htm
[2] http://nakedsecurity.sophos.com/2012/05/06/apple-update-to-os-x-lion-exposes-encryption-passwords/
[3] https://discussions.apple.com/thread/3715366
[4] http://support.apple.com/kb/HT4790
[5] http://forums.novell.com/novell/novell-product-discussion-forums/open-enterprise-server/oes-platform-independent/oes-kanaka-mac/455156-authorizationhost-debuglog-stores-clear-text-passwords.html
[6] http://forums.novell.com/novell/novell-product-discussion-forums/open-enterprise-server/oes-platform-independent/oes-kanaka-mac/455156-authorizationhost-debuglog-stores-clear-text-passwords.html
[7] mailto:rei@heise.de