Filevault : vraiment utile ?

[Le docteur]

Je m'interroge sur l'utilité de Filevault (j'ai un MPB 2012 à disque dur classique).
Peut-on accéder facilement aux données d'un disque dur non crypté?



Note de la modération: pas trop de rapport avec les portables Mac, je déplace dans le forum adéquat.

 

[Bigdidou]

Ben oui, si on a un accès physique au Mac, en réinitialisant le mot de passe du compte. Ça reste possible sous El Capitan (mode recovery par cmd-R au démarrage -> terminal dans le menu Utilitaires -> resetpassword et hop...).
Tuto complet sans aller chercher très loin : http://forums.macg.co/threads/mot-de-pass-admin-perdus.1279747/
C'est bizarre que ce soi toi qui pose cette question, ou alors je l'ai mal comprise ?

 

[Le docteur]

En fait, c'est parce qu'on vient de me dire en boutique qu'on ne pouvait pas accéder à nos fichiers en branchant le disque dur en externe (je me demande d'ailleurs : j'accède à mon clone parce que je suis reconnu comme utilisateur ou parce que le disque a les fesses à l'air)?
On peut toujours réinitialiser aussi facilement le mot de passe ? (et encore, dans le temps il fallait le CD gris).

 

[Le docteur]

Personnellement je n'aurais pas donné la combine, la fouine, là, je ne le sens pas du tout avec son histoire de mot de passe perdu.

 

[Le docteur]

Bonjour la sécurité pourrie du Mac sans FileVault, accessoirement.

 

[Bigdidou]

Oui, oui, on peut toujours réinitialiser facilement le mot de passe sous El Capitan. C'est macomaniac qui explique comment dans le lien que j'ai placé plus haut, j'ai plutôt confiance

 

[Le docteur]

Oui, MacoManiac, j'ai confiance, c'est en la personne à qui il répond que je n'ai pas franchement confiance.
Tu as raison, j'aurais dû le savoir, mais je commence à me débrancher sévèrement des Mac et cette histoire n'arrangera pas les choses.
— J'ai du swap avec 8GO de RAM et un usage pas trop agressif
— spotlight est devenu un veau depuis que je suis sous El Capitan (peut-être aussi sous Yosemite)
— je viens d'apprendre que la garantie saute si on ouvre le capot de mon mid-2012 (de 2015) et qu'il faudrait que je passe par l'APR pour mettre un SSD.

Elle me fait chier, cette entreprise, je peux plus la voir en peinture. En plus elle n'a plus d'âme depuis que Jobs a passé l'arme à gauche (bien la seule chose qui sera jamais passé à gauche chez lui). Je crois qu'Apple m'est encore plus antipathique que MS quand je me suis tiré en 2006.
C'est très clairement mon dernier Mac et mon dernier iPhone.

 

[Bigdidou]

Personnellement je n'aurais pas donné la combine, la fouine, là, je ne le sens pas du tout avec son histoire de mot de passe perdu.

Je me suis fait la même réflexion...
Mais, bon, de toute façon, la combine se trouve ailleurs sur le net (par exemple : http://www.macplanete.com/astuces/17255/mot-de-passe-mac-reinitialiser), alors, bon, quitte à sombrer dans la délinquance la plus abjecte, autant que ce soit en sécurité avec l'expertise de macomaniac

 

[Le docteur]

 

[Bigdidou]

Oui, MacoManiac, j'ai confiance, c'est en la personne à qui il répond que je n'ai pas franchement confiance.
Tu as raison, j'aurais dû le savoir, mais je commence à me débrancher sévèrement des Mac et cette histoire n'arrangera pas les choses.

J'ai plus le feu sacré non plus, et la simple perspective de devoir tripatouiller mon Mac pour des raisons de maintenance me fout la gerbe.
Mais, bon, je me demande si c'est à cause d'Apple ou tout simplement qu'avec l'âge, ça m'intéresse plus, ces trucs. Pourtant, j'ai été sacrément dépendant...
C'est un peu étonnant de se regarder se transformer en vieux con qu'on pensait jamais devenir, mais du coup, on claque moins de fric.

 

[Moonwalker]

En fait, c'est parce qu'on vient de me dire en boutique qu'on ne pouvait pas accéder à nos fichiers en branchant le disque dur en externe (je me demande d'ailleurs : j'accède à mon clone parce que je suis reconnu comme utilisateur ou parce que le disque a les fesses à l'air)?
On peut toujours réinitialiser aussi facilement le mot de passe ? (et encore, dans le temps il fallait le CD gris).

Tu découvres le monde ?

Cette possibilité existe depuis toujours. Un simple volume bootable permet l'accès au disque interne si celui-ci n'est pas chiffré.

Démarrer en mode Single User confère des droits absolus sur la machine. On peut tout faire : copier les fichiers, les effacer, réinitialiser les mots de passe, etc.

Le DVD gris est remplacé par la partitions de récupération.

Pour empêcher cela :
– activer le mot de passe firmware ;
– activer le chiffrement Filevault.

Et encore, la notion de sécurité n'a plus aucun sens lors d'un accès physique à l'appareil. Demande au F.B.I.

Bonjour la sécurité pourrie du Mac sans FileVault, accessoirement.

Ça mériterait un troll d'or. Malheureusement, c'est sorti avec la bonne foi de l'ignorant. Ce qui vaut disqualification.

Un conseil : apprends la vie sous Unix avec OS X avant de passer sur GNU-Linux.

 

[Membre supprimé 1060554]

Je trouve toujours croustillants les épisodes où le doc maugrée (contre Apple) tout en piquant un accès de parano sécuritaire

doc

Si tu tiens à sécuriser des données, tu as 2 méthodes :

- globale => «FileVault» qui va encoquiller le système de fichiers entier de l'OS dans le coffre-fort d'un CoreStorage Chiffré.

- locale => tu crées par l'«Utilitaire de Disque» un disque virtuel dans un format d'image .sparseimage (= image-disque de faible densité). Tu peux lui donner une taille potentielle très importante, genre 20 GB, le disque vide n'aura au départ qu'un poids actuel de 50 Mo, et augmentera de taille effective seulement au fur et à mesure du remplissement de son volume par des données. Ce disque virtuel .sparsimage, tu optes pour son chiffrement à la création (2 options : AES-128 bits vs AES-256 bits) avec un mot de passe de déverrouillage du disque permettant seul de monter le volume. Voici une image du panneau dans l'«Utilitaire de Disque» d'«El Capitan» comme exemple :

​

[Attention ! Il y a un bogue de présentation dans ce panneau de l'«Utilitaire de Disque 10.11» : l'exemple donné est 100 Mo, mais il ne faut absolument pas saisir les valeurs par rapport à l'octet, mais au byte => MB, GB (sinon, le commande plante et toute image-disque serait créée avec une taille par défaut de 100 Mo].

Le protocole utilisé dans les 2 cas («FileVault» et le .sparsimage chiffré) est strictement le même. Personne n'a réussi à ce jour à casser ce chiffrement, surtout si tu optes pour du 256 bits - la seule fragilité tient au mot-de-passe de déverrouillage. S'il est indevinable, autant dire que ton disque-image chiffré est inviolable. Donc, tu peux très bien avoir un OS non encapsulé dans un CoreStorage Chiffré («FileVault» désactivé), mais avoir dans ton dossier de compte, où tu veux (ou sur un disque externe, si tu préfères), ton .sparseimage chiffré : pour accéder à ses données, tu montes le volume en le déverrouillant par ton-mot-de-passe (que tu peux même refuser de laisser enregistrer dans ton «Trousseau de session») et toi seul peut manipuler les données, en rajouter etc.

Si tu préfères par commodité que le «Trousseau» enregistre ton mot-de-passe de déverrouillage pour t'éviter d'avoir à le saisir chaque fois, ça reste assez sûr, car un petit malin qui ouvrirait ta session en ayant ré-initialisé ton mot-de-passe aurait par là désynchronisé le «Trousseau de session» qu'il lui serait impossible de déverrouiller => donc il ne pourrait pas demander au «Trousseau» de monter le volume du disque virtuel chiffré.​

 

[Le docteur]

J'ai parfois songé à faire des dossiers chiffrés, malheureusement, j'ai toujours laissé tomber avec deux-trois trucs dedans. Trop chiant. J'ai des scans de papiers etc. un peu partout. Même ça, je n'ai pas réussi à faire un dossier spécial pour les trouver facilement.
@Moonwalker
J'avais un peu oublié le coup du démarrage depuis un CD, parce que ... je n'avais plus de CD sur ma machine. Je pensais connement qu'il fallait taper le mot de passe iCloud ou un truc comme ça pour réinitialiser le mot de passe.
Je maintiens que c'est très con.
Maintenant c'est vrai que s'il suffit de monter le DD sur un autre Mac pour tout avoir, ce n'est pas très sécurisé de toute manière.
Je t'accorde, je ne sais pas comment fonctionne les permissions des dossiers.

 

[Le docteur]

Effectivement, je vais sans doute finir avec du Linux, mais ça sera en même temps une mise de côté de l'informatique chez moi, parce que ça ne me branche pas plus que ça.
Au niveau OS, rien ne me branche plus faut dire. Ou alors je retournerai sous Windows. Au final je redeviendrai original dans la salle des profs.

 

[Moonwalker]

Effectivement, je vais sans doute finir avec du Linux, mais ça sera en même temps une mise de côté de l'informatique chez moi, parce que ça ne me branche pas plus que ça.
Au niveau OS, rien ne me branche plus faut dire. Ou alors je retournerai sous Windows. Au final je redeviendrai original dans la salle des profs.

Ben alors laisse tomber GNU-Linux. Il faut quand même aimer mettre les mains dans le cambouis pour faire le pingouin.

 

[Santa Claus]

Si filevault & co pouvaient tout de même rester un peu moins facile d'activation (incitation au premier démarrage machine neuve), ça éviterait quand-même à Madame Michu et consort de se retrouver vautrée quand elle perd son mdp admin, par exemple. Pas sûr que les photos de son chat et ses mails ultra confidentiels concernant la prochaine soirée Tupperware de Saint-Denis en trifouillis méritent de tels emmerdements. Sans compter les bugs qui vont avec (défauts de boot sous capitan etc). C'est pas un outil tout public, mais c'est presque présenté comme tel.

 

[Le docteur]

Ben alors laisse tomber GNU-Linux. Il faut quand même aimer mettre les mains dans le cambouis pour faire le pingouin.

Pas nécessairement. Mais je compterais moins dessus ( adieu OCR, dictionnaires de référence, traitements de texte agréables à utiliser, etc.). C'est pas la mort de faire marcher du Linux. Mais là encore je vais avoir un problème d'esthétique. Ce qui me convenais le mieux, c'était plutôt à chercher du côté de Gnomes du début du siècle. J'aimais bien l'environnement de ma RedHat 7, et le Gnome qu'on avait dans la première Mandrake que j'avais utilisé (7 aussi, je crois) était très sympa, mais c'était une usine à bug comparée à la RedHat.

Sinon, aujourd'hui Elementary OS me semble sympathique (ça louche sur Mac, mais je la trouve à tout prendre moins moche que les derniers systèmes).

 

[Santa Claus]

Ce qui me convenais le mieux, c'était plutôt à chercher du côté de Gnomes du début du siècle. J'aimais bien l'environnement de ma RedHat 7, et le Gnome qu'on avait dans la première Mandrake que j'avais utilisé (7 aussi, je crois) était très sympa, mais c'était une usine à bug comparée à la RedHat.

La vache les souvenirs !!!
D'un côté je te comprends, de l'autre... plis jamais ça !!!
Enfin ça vaut toujours mieux que Win...

 

[Le docteur]

C'est pas faux pour madame Michu. Mais c'est parfois la même qui enregistre aussi ses mots de passe Amazon (ils ont aussi du Tupperware), voire sa carte bancaire sur l'ordi.

 

[Le docteur]

La vache les souvenirs !!!
D'un côté je te comprends, de l'autre... plis jamais ça !!!
Enfin ça vaut toujours mieux que Win...

Quand tu dis "d'un côté... de l'autre", tu penses aux deux systèmes ou c'est en pesant le pour et le contre.
Franchement, la RedHat avec un skin NextStep, c'était beau.