Apples Dateisystem: APFS-Probleme bleiben bestehen

Nach dem letzten Problem rund um die Klartextspeicherung von Passwörtern zu verschlüsselten APFS-Datenträgern stellt sich nach weiteren Untersuchungen heraus, dass die Passwörter mit 10.13.4 weiter lesbar sind. Die Passwörter verbleiben auch nach dem Patch in den Logs.

Artikel veröffentlicht am 5. April 2018, 14:08 Uhr, Andreas Sebayang

APFS bleibt in Grenzsituationen schwierig (Symboldbild). (Bild: TOSHIFUMI KITAMURA/AFP)

Apple speichert Klartextpasswörter nicht nur im neuen Unified Log ab, sondern auch in der Datei install.log. Gefunden hatte den Fehler vor einigen Wochen Forensik-Expertin Sarah Edwards, zunächst allerdings nur im Unified Log. Doch Edwards schaute sich noch einmal genauer an, was passiert und entdeckte die Klartextpasswörter von APFS-Volumes auch im install.log. Das Problem hierbei: Während das Unified Log nur ein paar Wochen Passwörter im Klartext speichert, bleiben diese im install.log in der Regel bis zur nächsten größeren Installation. Das hieße also in der Theorie, dass die Passwörter im Klartext gespeichert bleiben bis das nächste, noch nicht angekündigte MacOS 10.14 installiert wurde.

Für viele Anwender bedeutet das: Wer mit verschlüsselten Datenträgern arbeitet, der findet das Passwort mitunter länger als ein Jahr in den Logs der Macs. Weiteren Erkenntnissen zufolge betrifft das auch ältere High-Sierra-Installationen in einem größeren Umfang. Unter dem ersten MacOS 10.13 betraf es alle erstellten APFS-Volumes sowohl auf Disk- als auch auf Volume-Ebene. Seit mindestens 10.13.2, vielleicht auch 10.13.1 betraf es ohnehin nur Volume-basierte Konvertierungen von APFS auf APFS. Wer APFS gleich zu Beginn mit Passwörtern nutzte, hat damit alle seine APFS-Datenträgerpasswörter weiter im Log. Andere Dateisysteme sind nicht betroffen. Das gilt auch für Datenträger, die mit dem Festplattendienstprogramm erstellt wurden.

Daran ändert auch MacOS 10.13.4 nichts. Das behebt jetzt zwar grundsätzlich das Einfügen von Passwörtern in die Logs, bereinigt alte Logs jedoch nicht. Das bestätigt Howard Oakley, der sich nebenbei sehr intensiv mit MacOS beschäftigt. Install.log ist gefüllt mit Einträgen, die nichts mit Installationen zu tun haben. Oakley rät allen Anwendern, install.log zumindest zu verschlüsseln, wenn nicht gar zu löschen. Von Apple verlangt er, dass das Unternehmen die Anwender aktiv warnt und per Update die Logs bereinigt. Apple soll zudem die Anwender darauf hinweisen, dass die Passwörter gegebenenfalls noch in automatisierten Backups liegen könnten.

Bisher ist das nicht gegeben. Apple hat zwar diverse APFS-Probleme gelöst und in einem support-Artikel beschrieben, darunter auch das Log-Problem, geht auf die beschriebenen Probleme in den Log-Dateien aber gar nicht ein. Vielmehr wird nur allgemein erwähnt, dass lokale Nutzer auf Passwörter zugreifen könnten.

APFS ist allgemein nicht ohne Probleme. Die Macher des Carbon Copy Cloner mussten die APFS-Unterstützung wegen Datenverlustgefahr in bestimmten, seltenen Fällen sogar einschränken. Apple hat diesen Fehler auch mit 10.13.4 nicht behoben. APFS hat natürlich gerade dank seiner Snapshots auch Vorteile. Der Carbon Copy Cloner wird demnächst einen Snapshot-Viewer bieten, der den einfachen Blick in die Vergangenheit ermöglicht. Die Snapshots sind allerdings auch eine Quelle für andere Probleme. Unserer Erfahrung nach gelingt bei mangelndem Speicherplatz die Erstellung von Snapshots nicht, was wiederum die Time-Machine-Backups aussetzt. Das Problem wurde in Apple-Foren ab und an diskutiert. Die Fehlermeldung dazu gibt es aber erst beim Versuch eines Backups. Dann wird mangelnder Speicher angemerkt. Wieviel Speicher benötigt wird, ist allerdings vom Anwender selbst auszuprobieren. Der Anzeige zum freien Speicherplatz kann man dabei nicht trauen, da der tatsächlich freie Speicher mitunter erst mit großer Verzögerung angezeigt wird. Es kann durchaus sein, dass nach einem Reboot mehrere Gigabyte freier Speicher angezeigt werden, die für einen neuen Snapshot nicht reichen. Die Auswirkungen von Snapshots werden zudem nicht im Finder angezeigt

Allgemein abraten lässt sich von APFS also nicht, zumal Apple die Nutzung auf Boot-SSDs trotz unfertigem Status weiter erzwingt. Der Umgang in Grenzsituationen ist schwierig, vor allem für Anwender ohne Basiskenntnisse in Dateisystemen.