macOS hebelt HDD-Verschlüsselung aus

Wie die Sicherheitsexperten Wojciech Regula und Patrick Wardle herausgefunden haben, erlaubt die in macOS integrierte Vorschaufunktion QuickLook zum Teil die Umgehung der Verschlüsselung von Dateien.

QuickLook legt dabei Vorschaubilder von aufgerufen Bildern und anderen Dateien an, differenziert allerdings nicht zwischen verschlüsselten und unverschlüsselten Quelldaten. Konkret wird ein Vorschaubild angelegt, welches die Datei abbildet. Diese Thumbnails sind nur 128 x 128 Pixeln groß, abhängig vom Bild oder Text lassen sich aber durchaus sehr konkrete Rückschlüsse auf den Inhalt ziehen.

Diese Thumbnails sind dabei problemlos aus einem Cache-Verzeichnis extrahierbar - und zwar unverschlüsselt. Problematisch ist zudem, dass die Thumbnails nicht automatisch entfernt werden, wenn etwa die Quelldatei entfernt wird, dazu werden auch Metadaten abgespeichert. Überdies soll es nicht reichen, bloß auf QuickLook zu verzichten, da Thumbnails selbst dann erstellt werden, wenn der Nutzer nur mit dem Finder in das entsprechende Verzeichnis navigiert. Die Sicherheitslücke soll bereits aktiv von Forensikern ausgenutzt werden.

Quelle(n)