[janwer]

Eksperci z supportu Apple wymiękli i dostali parę dni czasu do namysłu. :-) Oto pytania dotyczace Liona: Gdzie jest przechowywany klucz do szyfrowania dysku systemowego programem File Vault 2? Gdzie jest przechowywany klucz do szyfrowania backupu Time Machine? Czy obraz pamięci podczas hibernacji jest zapisywany w szyfrowanej części dysku? Podobno tak. Czym jest recovery key? Czy to jest klucz użyty do bezpośredniego szyfrowania danych, czy nie?

[konradk2]

Eksperci z supportu Apple wymiękli i dostali parę dni czasu do namysłu.

Nie jestem expertem z jakiegokolwiek supportu więc być może będę mógł pomóc
(z resztą z przyczyn bezpieczeństwa wątpię aby kiedykolwiek dostali szczegółowe informacje na ten temat)

Gdzie jest przechowywany klucz do szyfrowania dysku systemowego programem File Vault 2?

Na początku albo na końcu partycji, a być może trochę wolnego miejsca zarezerwowanego dla EFI które z wiadomych powodów nie może być zaszyfrowane

Gdzie jest przechowywany klucz do szyfrowania backupu Time Machine?

Jest trzymany na samym Time Machine
jeśli chodzi o hasło które podajesz a system zapamiętuje to być może w jednej z tych lokacji
/Library/Keychains/
albo w twoim własnym albo w systemowym pęku kluczy (nigdy nie chciało mi się sprawdzać) ale z tego co pamiętam synchronizowało się za pomocą me.com więc pewnie w twoim pęku kluczy(/Users//Library/Keychains/) - tak czy siak na partycji zaszyfrowanej

Czy obraz pamięci podczas hibernacji jest zapisywany w szyfrowanej części dysku? Podobno tak.

Z moich obserwacji wynika że szyfrowana jest cała partycja - czyli nie ma miejsca na zrzut ramu podczas hibernacji w obszar niezaszyfrowany (jest trochę miejsca dookoła EFI i partycji odzyskiwania systemu ale za mało na jakikolwiek zrzut pamięci np. 16GB)
Poza tym, raczej aż takiej głupoty to by nie zrobili - biorąc pod uwagę że w pamięci znajduje się niezaszyfrowany klucz do odszyfrowania dysku oraz wiele innych danych (dla pewności możesz włączyć szyfrowanie pamięci operacyjnej)

Czym jest recovery key? Czy to jest klucz użyty do bezpośredniego szyfrowania danych, czy nie?

Jestem przekonany że to nie jest klucz użyty do bezpośredniego szyfrowania danych - jest po prostu za krótki w przypadku szyfrowania tak dużych ilości danych jak cały dysk wygląda to (w dużym uproszczeniu) następująco:
1) jest generowany plik losowych danych (większy niż kilkadziesiąt znaków)
2) dane na dysku szyfrowane są tym plikiem
3) plik losowych danych jest szyfrowany hasłem użytkownika i w takiej formie jest trzymany - ewentualnie jest tworzone kilka kopii tego pliku po jednej na każde hasło użytkownika i każdy użytkownik zna zawartość tego samego pliku zaszyfrowaną swoim hasłem
4) aby odszyfrować dane najpierw użytkownik musi za pomocą swojego hasła odszyfrować swoją kopię pliku którym odszyfrowywany jest dysk
5) oryginalny plik zaraz po użyciu jest niszczony

Dzięki temu każdy użytkownik ma unikatowe hasło a nie trzeba robić oddzielnej partycji dla każdego użytkownika jak w 10.6 i wcześniejszych (choć i w tych wersjach proces wyglądał podobnie ale po prostu był przeprowadzany dla każdego użytkownika oddzielnie)

recovery key to klucz do jednej z wielu kopii pliku do szyfrowania dysku
(takich kluczy recovery jest wiele na pewno jeden ma Apple i tak jak w przypadku Windows jeden ma NSA, być może Apple się zlitowało i Interpol też dostał ale nic nie wiem o dowodach na ten temat)

[janwer]

Dzięki za odpowiedź. Jakim algorytmem jest szyfrowane Time Machine? Klucz odzyskiwania ma 24 znaki x8 bitów = 192 bity. Wystarczy na klucz i coś jeszcze. Ciekawe że nie można zrobić kopii klucza. Co się stanie jeżeli klucz zostanie uszkodzony? Chyba rzeczywiście jest tak, że jest on na dysku skopiowany w kilku miejscach.

[konradk2]

nie sprawdzałem i nie sprawdzę bo od dawna nie kożystam ale jestem przekonany że AES w jednej z odmian przemawiają za tym następujące fakty: - macbook pro od jakiegoś czasu ma sprzętowe wsparcie dla AES a nie ma do innych szyfrów - inne szyfry o porównywalnej mocy są dużo mniej wydajne dla architektury x86 i x64 np Twofish albo serpent - inne szyfry o porównywalnej wydajności są bardzo słabe np DES - wszystko inne na macach bylo szyfrowane AES co do hasła to ilość znaków/bitów nie ma znaczenia a ilość kombinacji czyli: 24 znaki to tak na prawdę 20 znaków bo myślniki są zawsze w tym samym miejscu a najprawdopodobniej w ogóle nie są częścią hasła czyli 20 * 8 = 160 bitów Idąc dalej tym śladem hasło które generuje filevault składa się tylko z dużych liter alfabetu łacińskiego oraz cyfr od 0 do 9 razem 36 znaków czyli 36^20 kombinacji dające się zapisać na 104 bitach (kombinacji jest trochę mniej) W obecnej chwili dopiero 20 znakowe hasła składające się z kombinacji wszystkich znaków które można wprowadzić z amerykańskiej klawiatury czyli 104^20 kombinacji dające się zapisać na 135 bitach daje względne bezpieczeństwo w sektorze prywatnym Podsumowując hasło generowane przez filevault musiałoby być 2^31 bardziej skomplikowane czyli mieć 26 zamiast 20 znaków aby mogło być uznane za w ogóle bezpieczne czyli w obecnej formie na hasło główne się absolutnie nie nadaje (te dane są bardzo uogólnione i mocno przybliżane ale w miarę dobrze ukazują obraz sytuacji, niemniej jednak na bezpieczeństwo danych nie tylko przekłada się długość hasła i Apple na pewno zastosowało kilka pomysłowych tricków które zwiększają jego bezpieczeństwo, jak chociażby wielokrotne przejście przez algorytm hashujący z dodatkiem soli, itp) co do uszkodzenia klucza jest jego wiele kopii tyle że dla każdego hasła jest prawdopodobnie tylko jedno ale jak dysk zaczyna padać to zaszyfrowane partycje stają się bardzo problematyczne i zarazem kosztowne w odzyskiwaniu a duża część danych i tak przepadnie

[Bross]

Może dołączę się tutaj do pytania. Zaszyfrowałem cały dysk i wydaje mi się, że jest dobrze. Tylko moje pytanie na jakiej zasadzie to działa. Bo podczas logowania do systemu podaje tylko hasło które sobie sam ustaliłem a nie takie jakie wygenerował filevault2 czy tak ma być ?

[ftpd]

Tak.

[Bross]

A jak jest ze złamaniem hasła głównego ? Czy trudno do niego się dostać ?

[jackowy]

Co właściwie gwarantuje szyfrowanie dysku? Bo rozumiem, że chodzi o to, żeby nikt niepożądany nie mógł odczytać danych z dysku. Ale skoro to takie mega bezpieczne to czemu nie jest ustawione domyślnie?

[imrik]

A jak jest ze złamaniem hasła głównego ? Czy trudno do niego się dostać ?

Mniej więcej tak:

AES permits the use of 256-bit keys. Breaking a symmetric 256-bit key by brute force requires 2128 times more computational power than a 128-bit key. A device that could check a billion billion (1018) AES keys per second (if such a device could ever be made - as of 2012, supercomputers have computing capacities of 20 Peta-FLOPS, see Titan. So 50 supercomputers would be required to process (1018) operations per second) would in theory require about 3×1051 years to exhaust the 256-bit key space.

---------- Wpis dodano o 23:34 ---------- Poprzedni wpis dodano o 23:33 ----------

Co właściwie gwarantuje szyfrowanie dysku? Bo rozumiem, że chodzi o to, żeby nikt niepożądany nie mógł odczytać danych z dysku. Ale skoro to takie mega bezpieczne to czemu nie jest ustawione domyślnie?

To nie kwestia bezpieczeństwa, a poufności danych raczej. Nie jest ustawione domyślnie bo gdy stracisz hasło to danych nie da się odzyskać lub odczytać.

[AdamDz]

Co właściwie gwarantuje szyfrowanie dysku? Bo rozumiem, że chodzi o to, żeby nikt niepożądany nie mógł odczytać danych z dysku. Ale skoro to takie mega bezpieczne to czemu nie jest ustawione domyślnie?

Dobrze rozumujesz, czyli nikt nie może ich odczytać ani się do nich dostać, ale nie wiem dokładnie dlaczego nie stosuje się domyślnie, ale domyślam się ze nie każdy tego potrzebuje i zaszyfrowany dysk spowalnia wszystkie operacje jakie na nim wykonujemy, może nie znacznie ale jednak, żeby Ci obrazowo wyjaśnić na czym polega szyfrowanie, to wyobraź sobie że całą swoją bibliotekę przepuszczasz przez niszczarkę do dokumentów, wrzucasz do worka i wszystko dokładnie mieszasz, z szyfrowanym dyskiem dzieje się podobnie, tylko że program ma algorytm na pocięcie i poskładanie do kupy algorytm uruchamia się kluczem do którego ty znasz hasło, tak więc jeśli jakiś trybik się wykruszy to żegnajcie dane na zawsze. Czyli odblokowanie to nie dostęp do dysku, ale uruchomienia operacji szyfrowania w obie strony w locie.

---------- Wpis dodano o 23:47 ---------- Poprzedni wpis dodano o 23:37 ----------

Jeśli masz jakieś wrażliwe dane to polecam zrobić mały dysk i zaszyfrować tylko na dane, lub kontener coś w rodzaju zaszyfrowanego katalogu z zarezerwowaną ilością miejsca, najlepiej się do tego nadaje TrueCrypt jest 100% pewny bo to otwarty program i nie ma tylnej furtki (backdoor) jak wprowadzisz kilkadziesiąt znaków do hasła, to tylko komputery kwantowe to rozszyfrują znane tylko z fantastyki:) mam na myśli takie z tysiącami i setkami tysięcy kubitów, a nie prototypy na kilku kubitach.

[jackowy]

Dzięki za wyczerpującą odpowiedź AdamDz ;-) Miałem już kiedyś włączone FileVault 2 ale Lion (lub jeszcze Snow Leopard - nie pamiętam dokładnie) miał na moim MacBooku kilka problemów przy logowaniu. Nic poważnego, bardziej "kosmetyczne" sprawy ale mimo wszystko mi to przeszkadzało. Później postanowiłem zrobić tak jak mówisz i zaszyfrowałem tylko kartę pamięci, na której trzymam "najtajniejsze" B| dane. Jednak teraz znowu naszła mnie chęć na zaszyfrowanie całego dysku - właściwie nie wiem dlaczego. "Przezorny zawsze ubezpieczony" jak to mówią. Niestety znowu pojawiły się problemy. Nie wiem na ile wynikają one z włączonego szyfrowania (możliwe, że to sprawka 10.8.1), ale zanim je ustawiłem wszystko działało. Tak na zakończenie chciałem jeszcze dodać, że Mountain Lion oferuje bardzo łatwe szyfrowanie dysków zewnętrznych. Wystarczy podpiąć pendrive'a, kliknąć prawy przycisk myszy i wybrać opcję "Szyfruj…" (nie wiem czy to jest FileValut 2 czy inna metoda szyfrowania).

[AdamDz]

Podobnie możesz zrobić na dysku komputera, otwierasz Narzędzie dyskowe, klikasz w puste pole po lewej stronie nic nie zaznaczając, u góry klikasz na ikonkę Nowy obraz, następnie wybierasz miejsce gdzie ma być, wybierasz odpowiednią wielkość, sposób szyfrowania, nadajesz mu nazwę, i ustalasz hasło dostępu, proste prawda jeśli nie pracujesz w wywiadzie, to nie polecam szyfrowania całego dysku , mam wrażenie że pozostał na Tobie nalot po Windowsie

[jackowy]

…pozostał na Tobie nalot po Windowsie

Mocno powiedziane, ale w to nie wątpię. Długo mi zajęło przestawienie się na "myślenie makowe".

No i dzięki za radę przede wszystkim