System Apple OS X jest wyposażony w mechanizm szyfrowania twardego dysku FileVault 2, który minimalizuje ryzyko utraty danych w przypadku kradzieży komputera. Jest to dość skuteczne zabezpieczenie, które utrudnia odtworzenie plików, nawet po przełożeniu dysku do innego komputera. W najnowszym wydaniu systemu operacyjnego została wprowadzona opcja resetu hasła w powiązaniu z identyfikatorem AppleID, przeznaczonym do logowania do usług cloud computing świadczonych przez Apple. Opcja ta powinna być domyślnie wyłączona (o czym mówi dokument wsparcia tutaj), ale niekiedy tak się nie dzieje.

Jak pisze Jonathan Grynspan w notkach opublikowanych przez Michaela Tsai, błąd polega na tym, że po włączeniu szyfrowania dysku za pomocą FileVault 2, nie można zmienić ustawień opcji zdalnego resetu hasła przy wykorzystaniu AppleID, gdyż opcja nie jest wyświetlana we właściwościach konta użytkownika.

Jeśli zdalny reset jest włączony razem z szyfrowaniem FileVault 2, nie można go wyłączyć bez czasochłonnego deszyfrowania dysku. Możliwość resetu hasła za pomocą AppleID jest możliwa tylko przy zablokowanym komputerze, zatem można tymczasowo obejść problem przez każdorazowe zamykanie systemu, unikając blokowania dostępu z wygaszacza ekranu. Docelowo warto jednak deszyfrować dysk, wyłączyć reset via AppleID i włączyć FileVault 2 ponownie, nawet jeśli proces ten zajmie wiele godzin.

Dlaczego reset z chmury jest problemem?

Problem z AppleID polega na tym, że za pomocą podstawowych umiejętności socjotechnicznych można przejąć kontrolę nad AppleID danego użytkownika. W przypadku europejskich instytucji rządowych ryzyko jest jeszcze większe, gdyż kontrolę nad resetem haseł sprawuje przedsiębiorstwo, które jest prawnie powiązane z rządem USA przepisami Patriot Act (US 115 Stat. 272 -2001, można przeczytać tu.). Oznacza to, że integracja z chmurą skutkuje możliwością przejęcia kontroli nad systemem przez obcy podmiot bez konieczności łamania zabezpieczeń kryptograficznych.

Dla porównania inne systemy, takie jak Microsoft Windows czy Linux, nie korzystają z centralizowanej usługi cloud computing kontrolowanej przez obcy podmiot. Lokalne narzędzia zarządzania tożsamością są kontrolowane przez dział IT w organizacji, a zatem próby nieautoryzowanego resetu hasła przez kogoś z zewnątrz można łatwiej wykryć, niż przy usłudze związanej z AppleID.