Is mijn Mac mini veilig genoeg ingesteld?

[Valderrama]

Mijn eerste Mac is een Mac mini 2011, voor het eerst echt hands-on het Mac OS ingedoken. Al wel veel ervaring met iphones en iPads maar qua OS was ik Windows nog altijd meester.

Nu vraag ik me af of ik de Mac Mini veilig genoeg heb ingesteld. Filevault 2 heeft de HDD geencrypt. Account heeft een wachtwoord. Time Machine maakt de backup naar een HDD die aangesloten is op de Airport Extreme. Gastaccount staat open, Prey draait op de achtergrond om de Mac mogelijk nog eens te vinden vinden indien deze wordt gestolen. Gebruik 1Password voor alle credentials. De ingebouwde firewall staat overigens sinds dag 1 standaard uit, heb het vermoeden dat deze door herkenning van het Airport het systeem gekozen heeft om de Airport firewall te gebruiken.

Zie ik nog iets over het hoofd? Ik heb begrepen dat je de Mac met een toetsencombinatie zou kunnen starten om zo vanaf cd te booten en dan de beveiliging kunt omzeilen? Of zelfs de batterij van het moedermoord trucje toepassen?

Ik vraag me ook af of mijn time machine backup wel veilig is, ik het het vermoeden dat deze niet gecodeerd is?

[w4v3g0d]

sorry domme post van mij.

heb alleen naar de topic naam gekeken en de vraag domweg beantwoord

succes er nog mee verder. ik kan je hier jammergenoeg niet mee helpen!

[ Voor 79% gewijzigd door w4v3g0d op 14-01-2012 01:25 ]

[Haazzz]

Valderrama schreef op zaterdag 14 januari 2012 @ 00:49:


Zie ik nog iets over het hoofd? Ik heb begrepen dat je de Mac met een toetsencombinatie zou kunnen starten om zo vanaf cd te booten en dan de beveiliging kunt omzeilen? Of zelfs de batterij van het moedermoord trucje toepassen?

Firmwarewachtwoordbeveiliging (wat een woord ) instellen? Handleiding

[LauPro]

Valderrama schreef op zaterdag 14 januari 2012 @ 00:49:
Ik heb begrepen dat je de Mac met een toetsencombinatie zou kunnen starten om zo vanaf cd te booten en dan de beveiliging kunt omzeilen?

Zelfs zonder CD kan je een mac binnen 1 minuut van zijn wachtwoord ontdoen.

Als je je data wil beschermen moet je deze versleutelen! Maar pas op, wachtwoord kwijt is data kwijt.

[Trommelrem]

Valderrama schreef op zaterdag 14 januari 2012 @ 00:49:
Time Machine maakt de backup naar een HDD die aangesloten is op de Airport Extreme.

Welke encryptie gebruik je voor je backup?

[Valderrama]

LauPro schreef op zaterdag 14 januari 2012 @ 01:03:
[...]
Zelfs zonder CD kan je een mac binnen 1 minuut van zijn wachtwoord ontdoen.

Als je je data wil beschermen moet je deze versleutelen! Maar pas op, wachtwoord kwijt is data kwijt.

Versleuteling van data op de Hdd in de Mac gebeurt door Filevault 2, dus daar ben ik klaar mee toch?

[LauPro]

Ligt eraan hoe die encryptiesleutels zijn ingesteld, als die plain text in je homedir staan is het natuurlijk vrij eenvoudig te achterhalen.

[Valderrama]

Haazzz schreef op zaterdag 14 januari 2012 @ 01:02:
[...]


Firmwarewachtwoordbeveiliging (wat een woord ) instellen? Handleiding

Dus na het aanzetten van de Mac vraagt ie nu al meteen om een wachtwoord vanwege Filevault. Maar middels een toetsencombinatie zou je op een andere manier kunnen opstarten waardoor je mijn installatie te niet zou kunnen doen en is daarna alles weg. Dit voorkom je dan door het firmwarewachtwoord in te stellen? Het systeem vraagt dan enkel om dit extra wachtwoord als je op een andere manier probeert te booten?

[Valderrama]

LauPro schreef op zaterdag 14 januari 2012 @ 01:08:
Ligt eraan hoe die encryptiesleutels zijn ingesteld, als die plain text in je homedir staan is het natuurlijk vrij eenvoudig te achterhalen.

Hmm... Filevault 2 is een kwestie van aanzetten en gaan. Kan er weinig aan instellen?

[Valderrama]

Trommelrem schreef op zaterdag 14 januari 2012 @ 01:04:
[...]

Welke encryptie gebruik je voor je backup?

Nou, misschien wel geen.... Bij het aanzetten van Time Machine heb ik verwezen naar de externe schijf die aan de airport extreme hangt, ik kon hierbij niet 'schijf coderen' aanvinken. Ik hoop eigenlijk dat omdat de Mac zelf Filevault 2 draait, dat de backup ook met dezelfde encryptie wordt gemaakt.

[sfranken]

Probeer anders je eigen systeem is te "hacken":

Druk op command + s om in single user mode te booten. Lukt dit (je merkt het echt wel als het lukt) is je systeem *potentieel* onveilig want dan kan iedereen met een beetje Unix skills zo inloggen.

Verder denk ik dat je systeem wel veilig is. Voor de jan-met-de-pet scriptkiddie/hacker is 't wel genoeg beveiligd IMO.

[Trommelrem]

Valderrama schreef op zaterdag 14 januari 2012 @ 01:13:
[...]


Nou, misschien wel geen.... Bij het aanzetten van Time Machine heb ik verwezen naar de externe schijf die aan de airport extreme hangt, ik kon hierbij niet 'schijf coderen' aanvinken. Ik hoop eigenlijk dat omdat de Mac zelf Filevault 2 draait, dat de backup ook met dezelfde encryptie wordt gemaakt.

En daar gaat het dus mis. Filevault doet full disk encryption en is transparant voor het OS. Het OS backupt dus de gegevens unencrypted. Je kunt de Time Machine in een kluis plaatsen en aan een muur verankeren, maar let er dan op dat de koeling goed blijft.

[Digistorm]

Trommelrem schreef op zaterdag 14 januari 2012 @ 10:20:
[...]

En daar gaat het dus mis. Filevault doet full disk encryption en is transparant voor het OS. Het OS backupt dus de gegevens unencrypted. Je kunt de Time Machine in een kluis plaatsen en aan een muur verankeren, maar let er dan op dat de koeling goed blijft.

Dit is niet helemaal waar. Ik heb een externe schijf, en die maakt gedoceerde Time Machine back-ups. Hier kun je de instructies daarvoor vinden. Ik weet niet of dat ook werkt met een netwerkschijf, maar het is een feature die sinds Lion (het nieuwste besturingssysteem) ingebouwd zit.

[sebastius]

Je hebt het in ieder geval veel veiliger dan ikzelf ingesteld. Ik heb enkel een gastaccount vrij open en een iCloud-FindMyMac gebeuren. Oh en de TimeCapsule staat ergens anders in huis.

[Verwijderd]

Is er eigenlijk een reden waarom je dit doet? Mijn mac: firewall aan en aangesloten op router met kabel of WPA-paswoord, that's it.

Hij staat niet op een publieke plaats dus ik zie geen reden om vanalles te gaan encrypten?

Het enige waar ik wel een probleem mee heb is dat je in Chrome je opgeslagen paswoorden gewoon kan zien als je naar voorkeuren gaat. Dat gebruik ik dan ook niet. Voor de rest -> geen idee wat er mis is met de standaardinstellingen?

[ Voor 36% gewijzigd door Verwijderd op 14-01-2012 13:13 ]

[The Great HooD]

Ik vraag me ook af of dit niet een beetje overdreven is. Je hebt een Mac Mini, dus altijd op dezelfde plaats, de kans dat hij dus gestolen wordt wordt sowieso al kleiner door dat feit

[Trommelrem]

Verwijderd schreef op zaterdag 14 januari 2012 @ 13:12:
Is er eigenlijk een reden waarom je dit doet? Mijn mac: firewall aan en aangesloten op router met kabel of WPA-paswoord, that's it.

Hij staat niet op een publieke plaats dus ik zie geen reden om vanalles te gaan encrypten?

Als er ergens in het netwerk achter de firewall een wireless access point staat, dan is er sprake van een publiek netwerk. Om in te breken is het immers voldoende om de shared keys te kraken. Als je je wireless access point weghaalt, dan moet je of de firewall uitschakelen of je moet inbreken op de fysieke kabels.

TS wil gewoon dat z'n gegevens veilig zijn. Het belangrijkste is dan om wireless access points weg te halen.

[ppl]

Als je 'm helemaal dicht wil spijkeren wat accounts betreft dan zul je filevault2 moeten gebruiken, gebruikersaccounts met wachtwoorden instellen, guest access uitschakelen (guest account wordt door gebruik van filevault2 al uitgeschakeld, kun je alleen nog via iets als smb en afp als guest met de machine verbinden), time machine backups encrypten, firmware password instellen en tot slot ook de homedirs afgrendelen zodat een ander account niet de inhoud van jouw homedir kan zien.

Als je geen firmware password set en je homedir niet afgrendeld kan iemand in single user mode opstarten, inloggen met een ander account en alsnog bij jouw data komen ongeacht of jij filevault aan hebt staan. Bij het inschakelen van filevault zal hij vragen welke accounts de schijf mogen unlocken, echter als het eenmaal aan staat krijgen ALLE accounts die je daarna toevoegt standaard de rechten om de schijf te unlocken!

Qua firewall zou ik eerder gebruik gaan maken van pf dan van ipfw (al dan niet icm app firewall welke je in de systeemvoorkeuren vindt) omdat je met pf bepaalde dingen kunt doen die met ipfw niet kunnen en er voor pf hele goede documentatie is. Ipfw is dan weer wat makkelijker op te zetten, pf kan soms als moeilijk over komen (hetgeen wat het zo makkelijk maakt, maakt het soms ook lastig om zo'n pf script te lezen). Iets als Little Snitch is ook een mooie optie.