Apple APFS Verschlüsselung und Datensicherheit

Apple-Geräte verfügen über Verschlüsselungsfunktionen, die dem Schutz der Daten und Informationen der Benutzer:innen dienen und die Möglichkeit bieten, im Falle des Diebstahls oder Verlusts ein Gerät per Fernbefehl komplett zu löschen. Sie erfahren hier mehr über die APFS-Verschlüsselungsarchitektur.

Die APFS (Apple File System) Verschlüsselungsarchitektur ist ein hochentwickeltes System, das darauf ausgelegt ist, Daten auf Apple-Geräten, insbesondere Macs mit SSDs und Apple Silicon oder T2-Sicherheitschips, effektiv zu schützen. Es unterscheidet sich von früheren Dateisystemen wie HFS+ durch seine native und tief integrierte Verschlüsselungsfunktionalität.

Hier sind die Schlüsselkomponenten und Prinzipien der APFS-Verschlüsselungsarchitektur:

1. Hierarchische Schlüsselstruktur:

APFS verwendet eine mehrstufige Schlüsselhierarchie, um Flexibilität und Sicherheit zu gewährleisten:

• Volume Encryption Key (VEK): Dies ist der primäre Schlüssel, der die eigentlichen Benutzerdaten und Metadaten auf einem APFS-Volume verschlüsselt und entschlüsselt. Der VEK wird niemals direkt vom Benutzer gesehen oder eingegeben.
• Key Encryption Key (KEK): Der KEK ist, wie bereits erläutert, ein Schlüssel, der den VEK verschlüsselt und ihn in einem “Keybag” auf dem Datenträger speichert. Dadurch wird der VEK selbst sicher aufbewahrt.
• Wiederherstellungsschlüssel und Benutzerpasswort: Dies sind die “Geheimnisse”, die verwendet werden, um den KEK zu entschlüsseln. Dazu gehören:
  • Benutzerpasswort: Das am häufigsten verwendete “Geheimnis”. Beim Anmelden am Mac wird ein Schlüssel aus dem Passwort abgeleitet, der den KEK entschlüsselt.
  • Persönlicher Wiederherstellungsschlüssel (PRK): Ein 24-stelliger alphanumerischer Schlüssel, der bei der Aktivierung der Verschlüsselung generiert werden kann und als Backup dient, falls das Passwort vergessen wird.
  • Institutioneller Wiederherstellungsschlüssel (IRK): In Unternehmensumgebungen kann dieser Schlüssel von Administratoren verwendet werden, um den Zugriff auf Geräte zu ermöglichen.
  • iCloud-Wiederherstellungsschlüssel: Eine Option zur Wiederherstellung über ein verknüpftes iCloud-Konto.

2. Keybags (Schlüsseltaschen):

APFS speichert mehrere verschlüsselte Kopien des KEK in sogenannten “Keybags” auf dem Datenträger. Jede dieser Kopien ist mit einem anderen “Geheimnis” (Passwort, PRK, IRK usw.) verschlüsselt. Wenn du dich anmeldest oder einen Wiederherstellungsschlüssel verwendest, wird die entsprechende Keybag-Kopie entschlüsselt, um den KEK freizugeben.

3. Verschlüsselungsmodi:

APFS verwendet standardmäßig den XTS-AES (XTS-Advanced Encryption Standard) Verschlüsselungsmodus mit einer Schlüssellänge von 128 Bit. Dies ist ein robuster Verschlüsselungsmodus, der auch in anderen modernen Verschlüsselungssystemen (wie z.B. BitLocker von Windows) eingesetzt wird. Abhängig von der Hardware kann auch AES-CBC (Cipher Block Chaining) verwendet werden.

4. Software- und Hardware-Verschlüsselung:

• Software-gesteuerte Verschlüsselung: Auf älteren Macs oder wenn ein externes Laufwerk verschlüsselt wird, übernimmt die Software (FileVault) die Verschlüsselungsaufgaben. Die Verschlüsselung basiert hierbei primär auf der CPU.
• Hardware-unterstützte Verschlüsselung (mit T2-Chip oder Apple Silicon): Moderne Macs mit T2-Sicherheitschips oder Apple Silicon verfügen über spezielle Hardware (Secure Enclave und dedizierte AES-Engines), die die Verschlüsselung und Entschlüsselung von Daten erheblich beschleunigen und sicherer machen. In diesen Fällen sind die Verschlüsselungsschlüssel an die spezifische Hardware gebunden und bleiben selbst bei physischer Entfernung des Speichermediums unzugänglich. Dies verhindert, dass ein verschlüsseltes internes Laufwerk einfach in einen anderen Computer eingesetzt und dort entschlüsselt werden kann.

5. FileVault 2 Integration:

FileVault 2 ist Apples Softwarelösung für die vollständige Festplattenverschlüsselung unter macOS. Mit APFS arbeitet FileVault 2 Hand in Hand. Wenn FileVault auf einem APFS-Volume aktiviert wird, bindet es die bereits vorhandene APFS-Verschlüsselung an das Benutzerpasswort. Dies bedeutet, dass das System beim Starten das Passwort benötigt, um den VEK über den KEK zu entschlüsseln und auf die Daten zuzugreifen.

6. Verschlüsselung von Metadaten und Dateien:

APFS ermöglicht nicht nur die Verschlüsselung des gesamten Volumes, sondern auch eine feinere Kontrolle über die Verschlüsselung:

• Multi-Key Encryption: Bei dieser Option kann jede einzelne Datei mit einem separaten Schlüssel verschlüsselt werden, und die Metadaten werden mit einem anderen Schlüssel verschlüsselt. Dies erhöht die Sicherheit, da ein Kompromittieren eines einzelnen Dateischlüssels nicht zum Zugriff auf alle Daten führt.
• Container und Volumes: APFS verwendet Container, die mehrere Volumes enthalten können. Jedes Volume innerhalb eines Containers kann sein eigenes Verschlüsselungsformat haben (z.B. unverschlüsselt, verschlüsselt, Groß-/Kleinschreibung beachtend, etc.).

7. “Always-On” Verschlüsselung bei Apple Silicon/T2:

Auf Macs mit Apple Silicon oder dem T2-Chip sind die internen SSDs standardmäßig hardwareseitig verschlüsselt, selbst wenn FileVault nicht explizit aktiviert ist. FileVault koppelt diese bereits existierende Hardware-Verschlüsselung lediglich an das Benutzerpasswort, sodass die Daten ohne Anmeldung nicht zugänglich sind. Wenn FileVault deaktiviert wird, bleiben die Daten weiterhin hardwareseitig verschlüsselt, sind aber nicht mehr an das Benutzerpasswort gebunden.

Vorteile der APFS-Verschlüsselungsarchitektur:

• Hohe Sicherheit: Durch die mehrstufige Schlüsselhierarchie und die Integration mit Secure Enclave/T2-Chip wird ein robustes Sicherheitsniveau erreicht.
• Leistung: Dank der Hardware-Beschleunigung (auf unterstützten Geräten) hat die Verschlüsselung nur minimale Auswirkungen auf die Systemleistung.
• Flexibilität: Verschiedene Methoden zur Entsperrung (Passwort, Wiederherstellungsschlüssel) bieten Optionen für den Benutzer und für die Verwaltung in Unternehmen.
• Effiziente Passwortänderung: Die Änderung des Benutzerpassworts erfordert keine vollständige Neuverschlüsselung des Volumes, da nur der KEK neu verpackt werden muss.
• Datenschutz: Die Verschlüsselung schützt Daten selbst bei physischem Diebstahl des Geräts oder des Speichermediums.

Zusammenfassend lässt sich sagen, dass die APFS-Verschlüsselungsarchitektur eine fortschrittliche und integrale Lösung ist, die moderne Kryptografie mit Hardware-Sicherheitsfunktionen kombiniert, um einen umfassenden Schutz für Benutzerdaten auf Apple-Geräten zu bieten.