{"id":101665,"date":"2016-12-16T15:56:18","date_gmt":"2016-12-16T14:56:18","guid":{"rendered":"https:\/\/www.ifun.de\/?p=101665"},"modified":"2016-12-16T15:56:28","modified_gmt":"2016-12-16T14:56:28","slug":"macos-filevault-2-passwort-laesst-sich-ueber-thunderbolt-auslesen","status":"publish","type":"post","link":"https:\/\/www.ifun.de\/macos-filevault-2-passwort-laesst-sich-ueber-thunderbolt-auslesen-101665\/","title":{"rendered":"macOS: FileVault 2-Passwort l\u00e4sst sich \u00fcber Thunderbolt auslesen"},"content":{"rendered":"<p>Solltet ihr noch auf der Suche nach guten Gr\u00fcnden f\u00fcr die schnellstm\u00f6gliche Installation der macOS-Aktualisierung auf Version 10.12.2 sein, dann scheut euch <a href=\"http:\/\/blog.frizk.net\/2016\/12\/filevault-password-retrieval.html\">diesen<\/a> Blogeintrag des schwedischen Security-Experten <a href=\"https:\/\/twitter.com\/UlfFrisk\">Ulf Frisk<\/a> an.<\/p>\n<p><a href=\"https:\/\/images.ifun.de\/wp-content\/uploads\/2016\/12\/filevault.jpg\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter size-full wp-image-101668\" src=\"https:\/\/images.ifun.de\/wp-content\/uploads\/2016\/12\/filevault.jpg\" alt=\"Filevault\" width=\"500\" height=\"214\" srcset=\"https:\/\/images.ifun.de\/wp-content\/uploads\/2016\/12\/filevault.jpg 500w, https:\/\/images.ifun.de\/wp-content\/uploads\/2016\/12\/filevault-300x128.jpg 300w\" sizes=\"auto, (max-width: 500px) 100vw, 500px\" \/><\/a><\/p>\n<p>Der Hacker, der bereits zur letzten DefCon-Konferenz <a href=\"https:\/\/www.youtube.com\/watch?v=fXthwl6ShOg\">einen Vortrag<\/a> \u00fcber direkte Arbeitsspeicher-Angriffe gehalten hat, demonstriert jetzt im Video, wie leicht sich die Passw\u00f6rter der Apple-eigenen Festplattenverschl\u00fcsselung FileVault 2 auslesen lassen.<\/p>\n<p>Die einzigen Voraussetzungen: Ein etwa $300 teurer Thunderbolt-Adapter und ein schlafendes bzw. gesperrtes MacBook mit aktiver FileVault-Verschl\u00fcsselung. Frisk unterstreicht: So lange der Rechner nicht komplett heruntergefahren wurde, l\u00e4sst sich nun das aktive Passwort aus dem Ger\u00e4te-Speicher auslesen, anzeigen und zum Login in den eigentlich gesch\u00fctzten Mac benutzen.<\/p>\n<blockquote><p>Just stroll up to a locked mac, plug in the Thunderbolt device, force a reboot (ctrl+cmd+power) and wait for the password to be displayed in less than 30 seconds! [&#8230;] The first issue is that the mac does not protect itself against Direct Memory Access (DMA) attacks before macOS is started. EFI which is running at this early stage enables Thunderbolt allowing malicious devices to read and write memory. At this stage macOS is not yet started. macOS resides on the encrypted disk &#8211; which must be unlocked before it can be started. Once macOS is started it will enable DMA protections by default.<\/p><\/blockquote>\n<p>Frisk, der seinen Angriff <a href=\"http:\/\/blog.frizk.net\/2016\/12\/filevault-password-retrieval.html\">in diesem<\/a> Youtube-Video demonstriert, hat das Kommandozeilen-Programm PCILeech geschrieben, mit dem sich der Angriff unter Zuhilfenahme des entsprechenden Thunderbolt-Adapters reproduzieren l\u00e4sst, und bietet den Code <a href=\"https:\/\/github.com\/ufrisk\/pcileech\">hier zum Download<\/a> an.<\/p>\n<p>Nat\u00fcrlich wurde auch Apple \u00fcber die Schwachstelle der hauseigenen Festplattenverschl\u00fcsselung informiert. Frisk erl\u00e4utert:<\/p>\n<ul>\n<li>Ende Juli: Schachstelle gefunden<\/li>\n<li>5. August: Pr\u00e4sentation von PCILeech auf der DefCon 24<\/li>\n<li>15. August: Apple in Kenntnis gesetzt.<\/li>\n<li>16. August: Apple best\u00e4tigt das Problem, erbittet zus\u00e4tzliche Zeit zum Reagieren<\/li>\n<li>13. Dezember: Apple ver\u00f6ffentlicht macOS 10.12.2 um die L\u00fccke zu schlie\u00dfen<\/li>\n<\/ul>\n<blockquote><p>The solution Apple decided upon and rolled out is a complete one. At least to the extent that I have been able to confirm. It is no longer possible to access memory prior to macOS boot. The mac is now one of the most secure platforms with regards to this specific attack vector.<\/p><\/blockquote>\n","protected":false},"excerpt":{"rendered":"<a href=\"https:\/\/www.ifun.de\/macos-filevault-2-passwort-laesst-sich-ueber-thunderbolt-auslesen-101665\/\"><img width=\"150\" height=\"150\" src=\"https:\/\/images.ifun.de\/wp-content\/uploads\/2016\/12\/filevault-150x150.jpg\" class=\"alignright tfe wp-post-image\" alt=\"Filevault\" decoding=\"async\" loading=\"lazy\" \/><\/a><p>Solltet ihr noch auf der Suche nach guten Gr\u00fcnden f\u00fcr die schnellstm\u00f6gliche Installation der macOS-Aktualisierung auf Version 10.12.2 sein, dann scheut euch diesen Blogeintrag des schwedischen Security-Experten Ulf Frisk an. Der Hacker, der bereits zur letzten DefCon-Konferenz einen Vortrag \u00fcber direkte Arbeitsspeicher-Angriffe gehalten hat, demonstriert jetzt im Video, wie leicht sich die Passw\u00f6rter der Apple-eigenen [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":101668,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[6],"tags":[929,3095,88,92],"class_list":["post-101665","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-entwickler","tag-filevault","tag-macos","tag-security","tag-sicherheit"],"acf":[],"aioseo_notices":[],"subheadline":["Verschl\u00fcsselte Festplatten"],"featured_image":["https:\/\/images.ifun.de\/wp-content\/uploads\/2016\/12\/thunderbolt.jpg"],"rest_api_enabler":{"subheadline":"Verschl\u00fcsselte Festplatten","featured_image":"https:\/\/images.ifun.de\/wp-content\/uploads\/2016\/12\/thunderbolt.jpg"},"_links":{"self":[{"href":"https:\/\/www.ifun.de\/apiv2\/wp\/v2\/posts\/101665","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ifun.de\/apiv2\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ifun.de\/apiv2\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ifun.de\/apiv2\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ifun.de\/apiv2\/wp\/v2\/comments?post=101665"}],"version-history":[{"count":2,"href":"https:\/\/www.ifun.de\/apiv2\/wp\/v2\/posts\/101665\/revisions"}],"predecessor-version":[{"id":101669,"href":"https:\/\/www.ifun.de\/apiv2\/wp\/v2\/posts\/101665\/revisions\/101669"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ifun.de\/apiv2\/wp\/v2\/media\/101668"}],"wp:attachment":[{"href":"https:\/\/www.ifun.de\/apiv2\/wp\/v2\/media?parent=101665"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ifun.de\/apiv2\/wp\/v2\/categories?post=101665"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ifun.de\/apiv2\/wp\/v2\/tags?post=101665"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}