Pour une sécurité FileVault2 maximale, pourquoi l'hibernation est-elle recommandée?

De nombreuses discussions sur la sécurité de FileVault 2 suggèrent d'utiliser:

sudo pmset -a destroyfvkeyonstandby 1 hibernatemode 25

Certaines de ces discussions indiquent que les clés FileVault sont stockées dans la RAM pendant une utilisation normale de veille tandis que d'autres disent qu'elles sont stockées dans le firmware EFI.

1. Où sont stockées les clés pendant que la machine est réveillée et fonctionne - dans la RAM ou dans le firmware?

2. Que fait précisément destroyfvkeyonstandby? Par exemple, si je supprime un fichier, je peux le récupérer car il n'est pas effacé. destroyfvkeyonstandbyEffectue- t-il une libération de mémoire (suppression) ou un effacement (écrasement de la mémoire qui était utilisée pour maintenir la clé)?

3. Si j'utilise destroyfvkeyonstandby, quel avantage y a-t-il à passer immédiatement en mode hibernation (autre que l'économie d'énergie)? Si la clé a été effacée, quel danger y a-t-il à laisser la RAM sous tension?

1. Lors d'une utilisation normale, les clés sont stockées dans la RAM, ce qui les rend vulnérables à une attaque DMA sur Firewire ou Thunderbolt (en utilisant quelque chose comme Inception ). Il s'agit d'un ancien ensemble d'attaques, et Apple désactive en fait certaines des fonctionnalités de ces appareils pendant certains modes de veille (par exemple, hibernatemode 25qui supprime l'alimentation de la RAM après avoir vidé son contenu sur le disque; pour plus de sécurité, vous devez également désactiver Fast User Commutation , car c'est un autre vecteur d'attaque.)

2. C'est la seule chose qui a du sens pour Apple, car c'est assez trivial. Plus de détails pourraient être extraits de cette analyse de FileVault 2 , gracieuseté de quelques chercheurs en sécurité de Cambridge.

3. La RAM peut également être écrite (voir Inception ) afin de contourner le mot de passe réel; le dumping sur le disque et le rechargement au réveil garantira que le contenu est inviolable.