Öffentlich zugänglicher Hackintosh / FileVault / BIOS PW

Da ich selbst nach Lösungen suche, schriebe ich hier mal mit. Da die Daten ohne Verschlüsselung frei zugänglich sind, bleibt m.E. nur FileVault.

Wie weit bist du mit dem Projekt gekommen?

Da ich exakt dasselbe Problem vor einiger Zeit zu lösen hatte, hier mein Ansatz, um die Daten vor fremdem Zugriff zu schützen und gleichzeitig zu backuppen:

- FileVault (zwingend, alles andere ist nur Kosmetik)
- Carbon Copy Cloner, um die Daten für mich wöchentlich auf eine zweite SSD im Gerät spiegeln zu lassen
- Github (Education mit edu Adresse liefert gratis Account!), um Source Code räumlich getrennt zu sichern
- Windows 10 Lizenz von Dreamspark (legal von Uni) auf einen USB Stick mit extra Clover, diesen Stick beim Verlassen des Arbeitsplatzes immer angesteckt haben, die Bootreihenfolge im UEFI ändern auf "USB" zuerst, sodass ein böser Bub erstmal naiv in Windows hineinbootet und damit an meinem Hackintosh System vorbei. (Dieser Punkt ist zugegeben aber eher Kosmetik und zur eigenen Beruhigung und hält keiner echten technischen Penetration stand).
- TimeMachine Backups für inkrementelle Änderungen, um schnell und bequem Dateien zurückzuholen von einer weiteren Backup SSD.

Kann Clover inzwischen FileVault booten?

Bei der HS-INstalltion gibt es im Clover Boot-Menü den Eintrag Boot "FileVault Prebooter from Preboot" . Wäre dieser der Zugang zum verschlüsseltem Hackintosh?

Zitat von chmeseb

Kann Clover inzwischen FileVault booten?

Bei der HS-INstalltion gibt es im Clover Boot-Menü den Eintrag Boot "FileVault Prebooter from Preboot" . Wäre dieser der Zugang zum verschlüsseltem Hackintosh?

Ja.

ich habe es inzwischen realisiert und HS auf einer verschlüsselten Partition mit APFS installiert. Hat vollkommen unspektakulär funktioniert. Allerdings hat das Festplattendienstprogramm us-tastaturlayout und die Passphrase wird später im deutschen abgefragt. Das sollte man Bedenken. Es wird nur noch "FileVault Prebooter from Preboot" angezeigt, ohne den Zusatz mit dem Namen der Partition. Clover findet die Partition auch nicht zum automatischen Booten. Schade.

PS: Startvolumes auswählen hat das Problem gelöst. Also doch alles perfect

setz einfach Bios boot Passwort und gut ist

ich möchte kein Threadhacking betreiben, schreibe hier aber mal solange mir das nicht vorgeworfen wird

Startvolume auswählen hält nur einen Reboot, dass finden Clover das verschlüsselte MacOS nicht mehr.

@ Ka209, Bios boot Passwort als Sicherhneitsmaßnahme anstelle FileVault?

Genau so. BIOS mit Passwort schützen und die Festplatte oder SSD mit dem BIOS HDD Passwort. Damit entfällt die aufwendige Verschlüsselung der Festplatte außer natürlich du brauchst einen Hochsicherheitslaptop.

Die Festplatte eines Mac steht ohne Verschlüsselung offen wie ein Scheunentor, daran ändert ein Bios-Passwort nichts.

Ich meinte auch das HDD-Bios Passwort.

Ist schon etwas älter der Artikel, aber passt immer noch.
https://www.computerwissen.de/…te-per-bios-passwort.html

Und wenn ich diese Kriminelle Energie voraussetze das ein Bios Boot Passwort nicht ausreichen tut so das jeder alles an jedem computer aus und einbauen kann wie und wann er möchte in der UNI würde ich eh kein Rechner da hinstellen.

Gesunden Mass an Paranoia ist gut aber nicht übertreiben ....
Wichtig ist es eben das man den direkten zugan verwehrt und dis tust du mit Boot Passwort und USER Password in Kombi.

Wenn ich nicht möchte und soviel angst habe, würde ich ein Portables gerät nutzen was ich immer mitnehmen kann. Falls ein großes Display dringend von Nöten ist kann man auch mit Docking Stationen arbeiten und hat das Große Display / Monitor Stationär

Zusätzlich das HD-Password im BIOS gesetzt ist sehr sicher.
Hatte mal eine SSD bei mir welche über das Passwort gesperrt war. Ich habe keine Möglichkeit gefunden ohne das Passwort an die Daten zu kommen. Das einzige was ging war komplettes zurücksetzen der SSD über ein Tool das nicht jeder hat. Das hatte dann zur Folge das alle Daten auf der SSD gelöscht waren.

Knacken des BIOS Passwort hilft da auch nicht weiter um an die Daten ranzukommen.

also ein HD-Passwort über das BIOS hat m.E. seine Wirkung, solange die HD in dem Rechner eingebaut ist. Wenn ich die Platte ausbaue und extern darauf zugreife, dürfen die Daten wohl offen liegen. Festplatten mit eigenem Passwortschutz kenne ich z.B. WD My Passport.
Meine Paranoia resultiert aus einem Diebstahl-Einbruch in unserem Eigenheim. Der Rechner wurde damals stehen gelassen, vermutlich weil er komplett offensten und aussah wie Schrott. Danach habe ich alle persönlichen Daten mit luks verschlüsselt, sowohl auf dem Desktop als auch das Backup.

Wie ich das jetzt sehe, kann ich das mit FileVault formatierte System nicht automatisch mit Clover booten. Die Systempartition ist bis zur Entschlüsselung versteckt und ich muss über Preboot FileVault boot preboot das System hochfahren. Ausnahme ist, wenn ich zuvor über Systemeinstellungen/Startvolume die verschlüsselte Systempartition auswähle. Dann zeigt sie sich Clover - nur einmal booten und sie ist wieder versteckt. Gibt es dazu einen Workarround?

Alternativ sehe ich einfach das System unverschlüsselt zu lassen, und Datenpartitionen- bzw. -Container zu verschlüsseln.

PS: Wenn ich Startvolume auswähle, dann wird nicht die Systempartition sichtbar, sonder die Clover Vorauswahl steht richtig auf "Boot FileVault Prebooter from Preboot"
Nach dem nächsten Reboot steht die Vorauswahl ganz links, in diesem Fall eine Installation von EC.

Wie kann ich erreichen, dass die Vorauswahl auf dem "Boot FileVault Prebooter from Preboot" zum verschlüsselten System stehen bleibt"

"LastBootedVolume" und beschreibbarer NVRAM, mehr brauchst du eigentlich nicht, um automatisch in den FileVault Prebooter zu starten.

So sieht es bei mir an der HS aus.
Installiert ist ein Basis-System Benutzeranmeldung über LDAP
Der Home Ordner wird per Netzwerk eingebunden.

Ich würde keinen privaten Rechner an die Hochschule stellen wenn er in einem öffentlich zugänglichen Raum steht. Früher oder später kommt der weg.
Vor allem auch Haftungstechnisch ist es bedenklich.
Ich würde mir den Schuh nicht anziehen.

btw: via USB kann man bei Hardware-Zugriff leicht einen KeyLogger anschließen. Sollte man auch beachten...

Aber letztendlich hat Moorviper Recht, private Geräte gehören da nicht hin. Gibts eine BYOD Regelung?

@chmeseb,
da liegst du falsch. Der Schutz ist nich im BIOS gespeichert sonder auf der HDD oder SSD und hat auch nach Ausbau bestand.
Die Elektronik der Platte verweigert den Zugang. Genau das war ja mein Problem mit der SSD, die war nicht von meinem Laptop.

http://thinkwiki.de/HDD_Passwort_zur%C3%BCcksetzen

@Moorviper
Ein sehr hübsches Bild, by the way...

Oder einfach das ganze System oder auch nur den persönlichen teil auf einen usb Datenträger.
mobile m2 ssd usw sind auch nicht mehr teuer bzw. hat jeder schon zuhause