So sichern Sie Ihr TiBook (oder einen beliebigen Mac OS X-Rechner)

Häufig hört man, ein Computer sei lediglich sicher, solange er ausgeschaltet und nicht an ein Netzwerk angeschlossen ist. Genau dies trifft aber auch auf das TiBook in Ihrem Rucksack zu, den Sie nur mal kurz irgendwo abgestellt haben. Sobald jemand die Gelegenheit erhält, lange Finger zu machen oder das gute Stück auch nur für wenige Minuten in die Hände zu bekommen, sind ihm Ihre Daten schutzlos ausgeliefert. Dieser Artikel zeigt, wie Sie für ein höheres Maß an Datensicherheit sorgen können.

Wollen Sie das Internet nutzen, sind Sie natürlich moralisch (und in vielen Rechtsprechungen) auch gesetzlich verpflichtet, mit allen gebotenen Mitteln dafür zu sorgen, dass niemand mit Ihrem Computer andere Rechner im Netz attackiert. Aber wie sicher kann ein Computer sein, der absichtlich darauf ausgelegt ist, möglichst offen (d.h. anwenderfreundlich) zu sein? Zunächst werde ich zeigen, wie Sie in Ihrem TiBook oder iBook ein "BIOS-Kennwort" setzen. Anschließend erfahren Sie, wie sich einige der augenfälligsten Sicherheitslücken von Mac OS X schließen lassen. Wenn Sie noch mit Mac OS 9 arbeiten, sollten Sie sich sämtliche Sicherheitserwägungen aber besser gleich schenken und darauf verzichten, Ihren Computer an ein Netzwerk anzuschließen :->

BIOS-Kennwort?

Ich selbst bin gegen Ende 2002 von einem Intel-Notebook auf ein TiBook umgestiegen. Da ich für einige meiner Kunden sicherheitsrelevante Aufgaben erledige, muss ich eine ziemlich strenge Kontrolle gewährleisten. Intel-Notebooks sind fast ausnahmslos mit einem BIOS-Kennwort versehen, wodurch verhindert werden soll, dass ein Unbefugter, der Ihr Notebook in die Finger bekommen hat, es ohne weiteres booten kann. "Ohne weiteres" bedeutet dabei aber auch nur so viel, dass das Gerät den Start lediglich so lange verweigert, bis man die CMOS-Batterie ausgebaut hat. Ein Gelegenheitsdieb greift typischerweise wohl innerhalb der wenigen Minuten zu, in denen niemand hinschaut; ist Ihr Notebook für kurze Zeit unbeobachtet, mag es sein, dass es gestohlen wird - eher unwahrscheinlich ist jedoch, dass jemand es zerlegt.

An dieser Stelle sei erwähnt, dass PC-Notebooks generell ein geringeres Maß an Sicherheit bieten als Macs - allein schon deshalb, weil sie gewöhnlich mit Floppy-Laufwerken ausgestattet sind, von denen das Gerät ohne weiteres gebootet werden kann, wenn sich beim Start eine Diskette im Laufwerk befindet. Legt man also eine Unix-Diskette ein und bootet den Rechner, sind sämtliche Daten auf der Festplatte zugängig. Das BIOS-Kennwort schiebt dem einen Riegel vor. Mein TiBook verfügt zwar über kein Diskettenlaufwerk, wie die meisten Macs von der Stange lässt es sich jedoch anstandslos von einer bootfähigen Unix-CD (Mac OS, OpenBSD, NetBSD oder Linux) starten, hält man während des Boot-Vorgangs die Taste C gedrückt.

Wo also verbirgt sich auf einem TiBook oder einem beliebigen anderen Rechner mit "Open Firmware" (OFW) das Kennwort? OFW ist Bestandteil des Boot-Codes bei aktuellen Macs (d.h. allen Modellen ab dem ersten iMac). OFW, die Befehlszeilen-BIOS-Firmware solcher Rechner, folgt dem Vorbild des "Open Boot PROM", wie es bereits seit langem auf den SPARC-Workstations von Sun Microsystems gebräuchlich ist. Sun gab die Syntax als IEEE-Standard frei (IEEE-1275, veröffentlicht 1994) und lizenzierte den Code später an FirmWorks. Wenig überraschend, dass Mitch Bradley, der OBP entworfen und für die Sun SPARC Station 1 implementiert hatte, Sun verließ und FirmWorks gründete, um Firmen zu supporten, die OFW nutzten.

Es war für mich also nicht weiter verwunderlich, dass viele der Befehle, die mir schon von der Arbeit auf der Sun SPARC vertraut waren, nahezu in gleicher Weise auch auf meinem TiBook funktionierten. Immerhin haben beide eine gemeinsame Abstammungslinie, auch wenn es sich bei der Apple-Variante um eine der wenigen Implementierungen handelt, die nicht aus dem Sun- bzw. FirmWorks-Code entstand. OWF basiert auf Forth, einer älteren, stapelbasierten Programmiersprache, auf die ich hier aber nicht näher eingehen werde. Man braucht keinerlei Forth-Kenntnisse, um OFW nutzen zu können, obwohl dadurch verständlich würde, warum man die seltsame Meldung "catch" erhält, sobald man am OK-Prompt von OFW beispielsweise ein einzelnes Fragezeichen eingibt.

Stattdessen werde ich mich ganz darauf konzentrieren, wie man den Mac mit Hilfe von OFW ein wenig sicherer machen kann. Zunächst müssen wir dazu einen Weg in den Boot-PROM-Monitor finden - es handelt sich hierbei um einen Befehlszeilenmodus, in dem bestimmte Geräteeinstellungen geändert werden können. Halten Sie während des Boot-Vorgangs die Tastenkombination Option-Befehlstaste-O-F (für Open Firmware) gedrückt. Auf dem Bildschirm erscheint daraufhin ein mehrere Zeilen langes Geplapper, dem ein OK-Prompt folgt.

Apple Powerbook3,2 4.x.x BootRom build on mm/dd/yy at hh:mm:ss
Copyright 1994-2002 Apple Computer, Inc.
All Rights Reserved

Welcome to Open Firmware, the system time and date is: 02:36:52 01/15/2003
Full security mode.

To continue booting, type "mac-boot" and press return.
To shut down, type "shut-down" and press return.

ok
0>

Wenn Sie sich hier einen Überblick verschaffen wollen, geben Sie den Befehl "printenv" ein und bestätigen diesen per Enter-Taste; Sie erhalten nun eine Liste von Einstellungen wie "boot-device" oder "auto-boot?". Es handelt sich hier tatsächlich um "auto-boot-[Fragezeichen]": Das angefügte Fragezeichen deutet nämlich darauf hin, dass es sich um einen Booleschen Ausdruck oder ein Prädikat handelt - ganz in der Art der Endung -p, mit der altehrwürdige LISP-Programmierer Funktionsnamen versehen. (Siehe dazu die Einleitung des Hacker's Dictionary, das im Internet an vielen Orten, u.a. unter http://www.mcs.kent.edu zu finden ist. Geben Sie als Suchbegriff "Gopherism" ein.)

0> printenv
------------ Partition: common ------- Signature:0x70 ----------
little-endian?        false               false
real-mode?            false               false
auto-boot?            true                true
..
boot-device           hd:,\\:tbxi         hd:,\\:tbxi
boot-file
boot-screen
..
More [<space>,<cr>,q] ?
..
security-mode         full
..

Sehen Sie sich die beiden Wertespalten an; die mittlere, in der sich für mein System die Aussage "full" findet, zeigt die gegenwärtige Einstellung der Variablen. (Auf Ihrem Computer ist dort möglicherweise nichts angegeben, was aber völlig normal ist.) Die rechte Spalte für die Variablen mit einem vorgegebenen Wert gibt die werkmäßige Standardeinstellung an, die mit Hilfe des Befehls "set-default boot-device" wiederhergestellt werden kann.

Ein weiterer aufschlussreicher Befehl ist "devalias". Hiermit erhalten Sie eine Reihe von Kurzbefehlen und die tatsächlichen OFW-Gerätenamen.

Wird "auto-boot?" abgeschaltet, landet man nach dem Boot-Vorgang direkt im OFW-Prompt. Aber wie bringt man OFW nun dazu, ein Kennwort zu verlangen?

Seien Sie vorab gewarnt. Leisten Sie sich an dieser Stelle einen Fehler oder vergessen Sie das einmal gesetzte Kennwort, verwandelt sich Ihr TiBook in einen Türstopper. Lesen Sie den Artikel also unbedingt zu Ende, bevor Sie sich daran begeben. Setzen Sie nur dann ein Kennwort, wenn Ihnen tatsächlich an mehr Sicherheit gelegen ist. Versuchen Sie es nicht, wenn Sie übernächtigt oder in irgendeiner Weise unaufmerksam sind. Die Benutzung ist auf eigene Gefahr! Niemand kann sagen, was mit Ihrem System passieren wird. Weder der Autor noch O'Reilly haften für die Folgen.

Sie lesen weiter? Dann geben Sie jetzt am OK-Prompt den nahe liegenden Befehl password ein. (Nein, liebe Unix-Geeks, nicht "passwd", sondern "password". Das ist auch für Normalsterbliche "todsicher".) Wie bei jedem anständigen Kennwort-Prompt wird das Kennwort maskiert angezeigt (was neugierigen Blicken keine Chance lässt); zudem ist eine nochmalige Eingabe erforderlich, um sicherzustellen, dass sich kein Tippfehler eingeschlichen hat und das Passwort einen besseren Eingang in Ihr Langzeitgedächtnis findet.

Muss ich an dieser Stelle darauf eingehen, wodurch sich ein gutes Kennwort auszeichnet? Benutzen Sie nicht Ihren Namen, den Ihrer besseren Hälfte oder denjenigen Ihres Computers. Notieren Sie es nicht auf der obersten Schreibtischschublade oder auf der Unterseite Ihres TiBooks. Sie wissen schon, was ich meine. Und noch ein Tipp: Bauen Sie keine Leerzeichen oder Kombinationen mit der Optionstaste in Ihr Kennwort ein. Dies mag zwar prinzipiell ein gute Idee sein, um zu verhindern, dass es erraten wird; einige der Apple-Upgrade-Dokumente weisen jedoch auf folgenden Punkt hin: "An Admin user password that does not contain spaces or Option-keyed characters is required to install. The password may not be blank." Um ein effektives Kennwort zu erhalten, sollten Sie statt der Kombination aus Buchstaben und Optionstaste die Zeichen der obersten Tastaturreihe (Ziffern, !, % etc.) verwenden.

Übrigens: Mit dem Befehl set-defaults können Sie alle Konfigurationsvariablen auf deren ursprüngliche Werte zurücksetzen. Ein eventuell gesetztes Kennwort oder der Wert von secure-mode bleiben davon unbeeinträchtigt.

Aktivieren Sie security erst, nachdem Sie Ihr Kennwort gesetzt und es sich gemerkt haben.

setenv security-mode full

Die möglichen Einstellungen für security-mode sind "none", "command" und "full". Bei "none" handelt es sich um den vorgegebenen und gleichzeitig offensten Modus. Jeder kann an Ihrem Rechner in diesem Fall machen, was er will. Mit "command" startet der Computer vom (in boot-device) eingestellten Laufwerk, ohne ein Kennwort abzufragen; Einstellungen lassen sich in diesem Fall allerdings nicht ändern. Ist "full" gewählt, wird erst die Eingabe eines Kennworts verlangt, bevor überhaupt etwas mit dem Rechner (einschließlich des Boot-Vorgangs) angestellt werden kann. Die Einstellung "command" ist ein wenig komfortabler und für OS X-Anwender damit wohl die bessere Wahl. Ich kenne nicht die komplette Liste der Möglichkeiten, die sich im Modus "command" ohne Kennwort einstellen lassen. Aus diesem Grund bevorzuge ich selbst - aus reiner Paranoia - den Modus "full". Auch im Modus "command" können Sie in der Regel monatelang booten, ohne jemals ein Kennwort angeben zu müssen. Die Gefahr dabei: Sie vergessen es und sind dann ratlos, wenn Sie es brauchen. Daher entscheiden Sie sich wohl besser für den Modus "full".

Das Buch zum Thema: Mac OS X - Missing Manual Von David Pogue Inhaltsverzeichnis Index Probekapitel

Der nächste Schritt - er ist optional - könnte darin bestehen, den automatischen Startvorgang abzuschalten, indem Sie auto-boot? auf den Wert "false" setzen.

setenv auto-boot? false

Fortan wird Ihr Mac beim Boot-Vorgang den leuchtenden Apple-Startbildschirm umgehen und Sie direkt auf ein OFW-Banner und den OK-Prompt führen. Geben Sie hier einfach "boot" sowie das korrekte Kennwort (das nur Sie kennen) ein, und schon sind Sie mitten im Geschehen. Oder wo immer Ihr Mac Sie hinführen mag.

Bevor Sie jedoch versuchen, ihn zu booten, geben Sie

reset-all

ein, um die neuen Einstellungen zu speichern, und booten damit anschließend (bedenken Sie, dass "reset-all" verwendet werden muss, um alle Einstellungen, die interaktiv eingegeben wurden, zu sichern. Andernfalls gehen diese beim Neustart verloren).

Sie haben ab sofort einen Rechner, der ohne vorherige Eingabe eines Kennworts den Dienst verweigert, auch wenn er - abhängig von den in der Tabelle unten aufgeführten Einstellungen - noch in OFW oder Mac OS booten mag.

Beachten Sie, dass Sie diese Variablen unter Darwin, d.h. in einem Terminal-Fenster, auch über den Befehl "nvram" setzen können, zum Beispiel:

sudo nvram 'auto-boot?=false'

(Dies setzt natürlich voraus, dass Sie den Befehl sudo korrekt gesetzt haben - näheres dazu ist in Michael Lucas' O'ReillyNet-Artikel zum Thema sudo zu finden. Darin findet sich zwar noch die Aussage, dass sudo lediglich in OpenBSD enthalten sei, inzwischen ist es jedoch auch fester Bestandteil von Mac OS X. Siehe dazu auch den Befehl "man" für sudo und nvram.)