FileVault per Kommandozeile verwalten: Status, Wiederherstellungsschlüssel, Secure Token und Bootstrap Token

Ziel

Prüfen, ob das Startvolume eines Macs verschlüsselt ist, wer es entsperren kann und ob ein Verwaltungssystem es wiederherstellen kann, falls ein Passwort verloren geht.

Voraussetzungen

Terminal; Administratorrechte, um den FileVault-Status zu ändern. fdesetup status und sysadminctl -secureTokenStatus funktionieren ohne erhöhte Rechte; fdesetup list und profiles status -type bootstraptoken erfordern sudo.

Schritte

1. Aktuellen Status prüfen: fdesetup status meldet FileVault is On oder Off und zeigt, ob eine Ver- oder Entschlüsselung noch läuft.
2. Auflisten, welche Benutzer die Festplatte beim Start entsperren können: sudo fdesetup list.
3. FileVault interaktiv einschalten; dabei wird standardmässig einmalig ein persönlicher Wiederherstellungsschlüssel auf dem Bildschirm angezeigt: sudo fdesetup enable. Für eine unbeaufsichtigte Aktivierung, die an einen institutionellen Schlüssel oder an einen über die Geräteverwaltung ausgestellten Schlüssel gebunden ist, den Ablauf über ein MDM-Profil steuern, damit der Schlüssel automatisch hinterlegt (Escrow) und nicht auf dem Bildschirm angezeigt wird.
4. Unabhängig davon, wie der Schlüssel erzeugt wurde: an einem anderen Ort als auf der Festplatte speichern, die er schützt – in einem Passwortmanager oder per Escrow beim Geräteverwaltungsdienst der Organisation. Er ist der einzige Zugang, falls das Passwort des Volume-Eigentümers verloren geht.
5. Prüfen, ob ein bestimmtes lokales Konto einen Secure Token besitzt; davon hängt ab, ob es FileVault überhaupt entsperren oder aktivieren kann: sysadminctl -secureTokenStatus <username>.
6. Prüfen, ob ein Bootstrap Token hinterlegt wurde. Dieser Mechanismus erlaubt es der Geräteverwaltung, neuen Konten Secure Tokens zu erteilen, ohne dass sich jedes Mal ein Administrator erneut authentifizieren muss: sudo profiles status -type bootstraptoken.

Erwartetes Ergebnis

fdesetup status meldet On; fdesetup list enthält alle Konten, die die Festplatte entsperren können sollen; profiles status -type bootstraptoken meldet auf einem verwalteten Mac, der auf geräteverwaltungsgesteuerte Kontobereitstellung angewiesen ist, einen hinterlegten Token.

Grenzen und Prüfbasis

Der Zweck von FileVault sowie die Rollen von Secure Token und Bootstrap Token in einer verwalteten Umgebung sind in Apples Platform-Security- und Deployment-Leitfäden dokumentiert. Die Syntax der Optionen von fdesetup und sysadminctl folgt der weithin dokumentierten Praxis und einer Befehlsreferenz, da Apple die Optionen dieser Werkzeuge nicht als Webseite veröffentlicht. Auf einem Gerät mit Organisationsdaten FileVault nie als Fehlersuchschritt deaktivieren, ohne vorher bestätigt zu haben, dass ein aktueller Wiederherstellungsweg existiert.