cnet.com - Mac OS X Lion reveals passwords in sleep mode?
macwelt.de - Passware liest Mac-Passworte über Firewire aus
pcmag.com - Your New Lion Mac Can Be Cracked Over Firewire
silicon.de - Apples Mac OS X Lion verrät Passwörter

WANN? WIE? Dabei ist nur wichtig, dass der jeweilige User eingeloggt ist. Der Mac kann sich zu diesem Zeitpunkt im Standby, Ruhezustand oder auf dem Sperrbildschirm befinden. Um diese Sicherheitslücke auszunutzen wird der Mac über Firewire oder theoretisch auch über Thunderbolt mit einem anderen PC (oder einer manipulierten Festplatte) verbunden und ein Speicherabbild vom Arbeitsspeicher erstellt. Dieses Speicherabbild wird dann analysiert und in wenigen Minuten, wenn nicht sogar nur Sekunden, wird das Klartext Passwort angezeigt!

Foto: IMG_3383 (Joe Buckingham/Flickr, CC BY 2.0)

ABER? Keines der IT-Portale hat nach dem Erscheinen von Mac OS X Lion 10.7.2 Entwarnung gegeben, fast jedes Portal hat zwar über das Update berichtet, aber keiner hat auch nur Ansatzweise erwähnt, dass mit diesem Update die Sicherheitslücke behoben wurde - die noch vor 6 Monaten so stark diskutiert wurde!

Auswirkung: Eine Person mit physischem Zugang kann auf das Kennwort des Benutzers zugreifen.

Beschreibung: Ein Logikfehler im DMA-Schutz des Kernel erlaubte einen Firewire-DMA am Anmeldefenster, beim Starten und Herunterfahren, jedoch nicht an der Bildschirmsperre. Diese Aktualisierung behebt das Problem, indem ein Firewire-DMA in allen Zuständen verhindert wird, in denen der Benutzer nicht angemeldet ist.

CVE-2011-3215: Passware, Inc.

Quelle: apple.com – Informationen zum Sicherheitsinhalt von Mac OS X Lion 10.7.2 und Sicherheitsupdate 2011-006

ACHTUNG! Unter 10.6.8 (Snow Leopard) wurde die Sicherheitslücke nicht behoben!

Auf ilostmynotes.blogspot.com wurde das Sicherheitsleck unter 10.6.8 erfolgreich ausgenutzt und unter 10.7.2 funktioniert das Auslesen des Passwortes nur noch wenn der User ungesperrt angemeldet ist!

Quellen & Hintergründe:
macmark.de – 2011-08-17 Klartext-Paßworte im RAM
ilostmynotes.blogspot.com – Firewire and DMA attacks on OS X
macuser.de – Paßwort und Keychain aus RAM lesbar per Firewire
frameloss.org – Firewire Attacks Against Mac OS Lion FileVault 2 Encryption
apple.com – Informationen zum Sicherheitsinhalt von Mac OS X Lion 10.7.2 und Sicherheitsupdate 2011-006

Crucial m4 - Xbench ohne FileVault - SDD

Crucial m4 - Xbench mit aktiviertem FileVault - SSD

Trim ist im Übrigen nicht aktiviert, da die m4 eine ziemlich gute automatische Speicherbereinigung (Garbage Collection) hat. Auch Pascal von webdesign-podcast.de konnte keine spürbare Performancesteigerung nach Aktivieren von Trim feststellen. [via Twitter]

WICHTIG: Die automatische Speicherbereinigung von Crucial arbeitet immer, wenn die SSD im Leerlauf ist, deshalb sollte man unter “Systemeinstellungen” > “Energie sparen” die Funktion “Wenn möglich Ruhezustand der Festplatte(n) aktivieren” deaktivieren!

Der Vollständigkeit halber hier noch einen Benchmark meiner alten Festplatte - WD Scorpio Blue.

WD Scorpio Blue - Xbench mit aktiviertem FileVault

Quellen:
Garbage collection on M4 256GB on Snow Leopard / Lion
Crucial m4 SSD (Solid State Disk) Festplatte in Apple MacBook Pro Early 2011 15″ einbauen

Zum Aktivieren muss man iTunes schließen, den Terminal öffnen und folgende zwei Befehle ausführen:

defaults write com.apple.dock itunes-notifications -bool TRUE;killall Dock
defaults write com.apple.dock notification-always-show-image -bool TRUE;killall Dock

Um diese Funktion wieder zu deaktivieren, muss iTunes geschlossen werden und im Terminal …

defaults delete com.apple.dock itunes-notifications
defaults delete com.apple.dock notification-always-show-image;killall Dock

… ausgeführt werden.

[via macworld.com]

Gleich nach dem Neustart wollte der Mac mein User-Passwort haben, um mit der Verschlüsselung zu beginnen. Allerdings habe ich mein Passwort mindestens 10 mal falsch eingegeben – ich war mir 100%ig sicher, dass ich mein Passwort eigentlich, nach deutschem Tastaturlayout, richtig eingegeben habe.

Genau da war der Knackpunkt - nach deutschem Tastaturlayout. Scheinbar hat die Wiederherstellung irgendwelche Tastaturlayouts nicht richtig gesetzt. Das Komische ist, dass ohne aktiviertem FileVault das Tastaturlayout auf dem Loginscreen von der Partition OSX richtig ist, aber mit aktivierem FileVault das Tastaturlayout auf dem Anmeldebildschirm von der Recovery HD nicht richtig ist. (Bekanntlich, wird bei aktiviertem FileVault der Loginscreen von der Recovery HD angezeigt, damit dann die Systempartition entschlüsselt werden kann.)

Das Problem ist Apple bekannt, wurde aber mit Version 10.7.2 immer noch nicht behoben.

Workaround

Systemeinstellungen > Benutzer & Gruppen > Anmeldeoptionen > Eingabequellen im Anmeldefenster anzeigen aktivieren

Nun erhält man oben rechts, auf dem FileVault Loginbildschirm, eine Auswahl für jedes Keyboardlayout.

[via weblog-42]

Also habe ich von meinem Lion USB-Stick gebootet und mein aktuelles Time Machine Backup auf die SSD gezimmert – soweit so gut, alles läuft rasend schnell! Nachdem die Spotlight-Indizierung durch war, wollte ich meine neue “OSX” Partition mit FileVault (2) verschlüsseln. Dann kam aber die Ernüchterung:

FileVault kann für die Festplatte “OSX” nicht aktiviert werden.

Einige Festplattenformate unterstützen nicht die Wiederherstellungspartition, die für die Verschlüsselung benötigt wird. Um die Verschlüsselung verwenden zu können, installieren Sie diese Version von Mac OS X auf einer neuformatierten Festplatte.

Als ich dann die Jungs von Goggle zur Problemsuche losgeschickt habe, bin ich ziemlich schnell auf den Beitrag OS X Lion Recovery-Partition neu erstellen von tempero.it gestoßen.

… nun hatte ich zwar ein superschnelles MB Pro aber keine Recovery-Partition mehr. Das führte dazu, dass ich meine Festplatte nicht wie erwartet mit FileVault2 verschlüsseln konnte. (Bei der Whole Disk Encryption mit FileFault2 wird die Recovery-Partition zur Authentifizierung vor dem Bootvorgang genutzt.) Also habe ich eine Weile gegoogelt und Kollegen befragt (Danke Tim & Carsten!) und mich dann entschlossen den naheliegendsten Versuch durchzuführen:

Einfach Lion noch einmal drüber installieren und hoffen, dass meine Daten erhalten bleiben.

Natürlich habe ich trotz großem Vertrauen in meine Vorgehensweise noch ein Backup gemacht. Welches am Ende aber nicht notwendig war, da tatsächlich alle Daten bei einer Neuinstallation von Lion erhalten bleiben …

Es scheint exakt das gleiche Problem wie meins zu sein, allerdings habe ich mein Backup mit Time Machine eingespielt und nicht mit SuperDuper oder Carbon Copy Cloner.

Es hat tatsächlich genügt, Mac OS X Lion einfach drüber zu installieren, damit ich FileVault aktivieren konnte! Danke an tempero.it consulting.

[via tempero.it]

Meiner Meinung nach die Beste, mir bisher bekannte, Zwischenablagen-Verwaltung für Mac OS X – Aber was hebt Scrapbook von anderen ab?

Killer-Features (meine subjektive Meinung)

Programme ignorieren

Mit dieser Funktion kann man, wie sie schon sagt, Programme ignorieren. Das heißt, in meinem Fall werden Kopiervorgänge von der Schlüsselbundverwaltung, KeePassX und 1Password nicht berücksichtigt und tauchen nicht in dem Zwischenablage-Speicher von Scrapbook auf.

Idle-Timer

Ähnlich Caffein – hier kann man den Ruhezustand für den Computer und/oder Bildschirm verhindern – für immer oder für eine bestimme Zeit. Ist diese Funktion aktiv, erscheint beim Scrapbook-Icon in der Menüleiste ein roter Kreis.

Snippets

Ähnlich DashExpander – hier kann man Textbausteine für wiederkehrende Tätigkeiten konfigurieren. Gerade im Administrations- und Support-Bereich nützlich, aber auch beim Schreiben von E-Mails.

Beispiele: mfg = Mit freundlichen Grüßen | vg = Viele Grüße | woi = Anwender nicht erreicht, warte auf Rückruf.

Support

Bei den ersten Versionen vom Scrapbook hatte ich aktiven Kontakt zu den Entwicklern und habe über Bugs berichtet und neue Funktionen angefragt. Alle anfänglichen Fehler wurden bisher sofort analysiert und berichtigt (so schnell wie es der Mac App Store zulässt) – auch meine zusätzlich gewünschten Funktionen wurden schnell umgesetzt – DANKE!

Fazit

Ich bin absolut begeistert von der kleinen App – ich will diese nicht mehr missen! Ich konnte durch Scrapbook drei andere Anwendungen (Caffein, ClipMenu und DashExpander) löschen. Danke für dieses kleine, hilfreiche Tool!

Scrapbook
Hersteller: ARIES Solutions GmbH

Freigabe: 4+

Preis: 1.59 € Download

#
exiftool -AllDates+=10:31:53 Bild123.JPG
Error: [minor] MakerNotes offsets may be incorrect (fix or ignore?) - Bild123.JPG
#
exiftool -AllDates+=2136:0:0 Bild456.JPG
Warning: [minor] Possibly incorrect maker notes offsets (fix by -274?) - Bild456.JPG
Error: [minor] Bad MakerNotes directory - Bild456.JPG

Um diese Fehlermeldungen zu unterdrücken bzw. zu ignorieren, muss man den Befehlen zusätzlich die Option -m mitgeben.

Using -m will downgrade the minor error to a warning, allowing the file to be written, but some Makernote information may be lost when ignoring certain types of errors like this.

#
exiftool -m -AllDates+=10:31:53 Bild123.JPG
Warning: MakerNotes offsets may be incorrect (ignored) - Bild123.JPG
#
exiftool -m -AllDates+=2136:0:0 Bild456.JPG
Warning: Deleted bad MakerNotes directory - Bild456.JPG

Links:
ubuntuusers.de - ExifTool
ExifTool – Aufnahmedatum mehrerer Bilder von unterschiedlichen Digicams korrigieren

Auf der Suche nach einer Möglichkeit das Aufnahmedatum im Nachhinein anzupassen bin ich über das Kommandozeilenprogramm ExifTool gestolpert. Dieses Programm kann alle möglichen Exif-Daten eines Bildes ändern oder löschen. Man kann sogar das Aufnahmedatum um eine bestimmte Zeitspanne korrigieren – also genau das was ich gesucht habe. Aber nun habe ich genug um den heißen Brei herum geschrieben.

Dieser Befehl …

exiftool -AllDates-=00:22:25 Baerbel/*.JPG

… zieht bei allen Exif-Zeitangaben 22 Minuten und 25 Sekunden ab, darum das - hinter AllDates.

Oder auch …

exiftool -AllDates+=09:31:58 Wolfgang/*.JPG

… dieser Befehl rechnet halt 9 Stunden, 31 Minuten und 58 Sekunden auf alle Exif-Zeitangaben drauf.

Zu guter Letzt habe ich dann das Aufnahmedatum als Dateiname verwendet, sodass man die Bilder über die Dateinamensortierung sortieren kann.

exiftool -P -'Filename<DateTimeOriginal' -d %Y%m%d_%Hh%Mm%Ss_Baerbel.%%e Baerbel/*

exiftool -P -'Filename<DateTimeOriginal' -d %Y%m%d_%Hh%Mm%Ss_Wolfgang.%%e Wolfgang/*

Die Dateinamen sehen dann so aus …

20110604_21h28m05s_Baerbel.jpg
20110604_21h29m07s_Wolfgang.jpg

Sooooo, das war schon der ganze Voodoo-Zauber.

#Ubuntu Linux
sudo apt-get install libimage-exiftool-perl
#Arch Linux
sudo pacman -S perl-exiftool
#OSX
sudo port install p5-image-exiftool

Eine komfortable Windows-Alternative wäre das Programm Namexif.

Ohne langes Hin und Her habe ich mein Time Machine Backup aktualisiert und mich zu einer Neuinstallation entschlossen. Jedoch entschied ich mich Snow Leopard sauber zu installieren. Erst nach der Installation wollte ich das FileVault Sparsebundle, aus dem Time Machine Backup, öffnen und meine Daten per Hand sauber rüberkopieren. Damit ich eine saubere Installation, ohne ~/Library und unschönen Einstellungen, als Grundlage habe.

Also SnowLeo CD ins Laufwerk, Harddisk formatiert, OSX neu installiert, 64-Bit Modus eingeschaltet, Updates installiert und FileVault Sparsebundle, aus dem Time Machine Backup (2011-02-01-100502), mit der Eingabe des Passwortes geöffnet. Dokumente, Filme, Musik, Webseiten und Downloads einfach aus dem Sparsebundle in mein neues Home kopiert. Nachdem ich meine ganzen Applikationen installiert habe, ging es ans Konfigurieren dieser – Benutzer, Seriennummern & Zugangsdaten. Beim Öffnen meiner Passwort-/Seriennummern-Datenbank erhielt ich folgende Fehlermeldung:

“Hmm, komisch!” dachte ich mir – dann habe ich versucht Word-Dokumente, Bilder, PDF’s und MP3′s zuöffnen, dabei musste ich leider feststellen das ca. 80-90% der Dateien nicht mehr funktionierten. Die Dateien waren alle mit richtigem Namen und richtiger Größe versehen, aber dennoch erhielt ich beispielsweise bei PDF’s diese Fehlermeldung:

*haarerauf* – ohhhh man meine Daten…

Ein Versuch wäre aber noch, mein komplettes System aus dem Time Machine Backup wiederherzustellen. Was ich eigentlich nicht machen wollte, aber es geht hier um meine Daten aus den letzten 8 Jahren! Etliches hätte ich zwar von meinem Media-PC- und Online-Backup wiederherstellen können, aber meine iPhoto- & iTunes-Datenbank, welche wirklich viel Arbeit gemacht haben, wären einfach weg.

Also SL CD ins Laufwerk, Wiederherstellung aus Time-Machine Backup ausgewählt, Backup-HDD angeschlossen – FEUER! – geschlagene 3 1/2 Stunden später  - Neustart!

Simsalabim, alle meine Dokumente können geöffnet, Bilder angeschaut und Musik wiedergegeben werden – GUT! – alle Daten per rsync auf eine andere externe Platte geschoben und endlich sauber neu installiert.

Meine Theorie zu “FileVault Sparsebundle aus Time Machine Backup öffnen“

Ich vermute, dass Time Machine bei der ersten Abmeldung das komplette Sparsebundle sichert (logisch) und danach immer nur die Blöcke (8 MB), die sich geändert haben. Aber einige Blöcke sind dann halt doppelt und “passen” nicht mehr richtig zusammen, da sich die Dateien in den Blöcken überschneiden bzw. verschoben haben. Erst eine Wiederherstellung durch Time Machine baut die gesicherten Blöcke dann so wieder zusammen, dass diese “passen” und dabei vollfunktionsfähige Dateien rausspringen…

Diese Theorie beruht nicht auf Wissen, sondern ist nur eine Vermutung meinerseits! Eventuell können aber die Leser meines Blogs dieses Verhalten bestätigen oder mir sagen, was mein Fehler war – also Jungs & Mädels haut in die Tasten.  ;-)

Installationsanleitung:

• mindestens SIMBL 0.9.x installieren
• Visor downloaden
• die Datei Visor.bundle in ~/Library/Application Support/SIMBL/Plugins kopieren
• Terminal.app neu starten
• in den Einstellungen vom Terminal.app befinden sich nun zusätzlich die Visor Einstellungen

EDIT: Unter Ubuntu (GNOME) gibt es einen ähnlichen Terminalemulator, dieser trägt den Namen Tilda.

sudo apt-get install tilda