¿Cómo es el Sistema de Llavero asegurado en OS X?

Sistema De Llavero

El Sistema de Llavero tiene algunas capacidades únicas. Estos son documentados por la systemkeychain manual de la página. Las menciones de la contraseña maestra son propensos a ser su foco. El sistema de llavero de código fuente específico es pequeño y está disponible.

El Sistema de Llavero, /System/Library/Keychains/System.keychain, es un Llavero de Apple y de los demonios a utilizar. En general usted debe evitar el uso de usuario a nivel de secuencias de comandos.

Revisión De Código: Llavero

Apple publicó el código fuente para el Llavero y el marco de seguridad para Mac OS X 10.5; usted puede revisar este código para descubrir cómo funciona.

Enfoque Alternativo: Separados Llavero

Usted puede crear un Llavero para guardar el script de credenciales. Recomendamos esta práctica a nuestros clientes. Puede utilizar la herramienta de línea de comandos de seguridad para acceder, extraer y gestionar su Llaveros, sin recurrir a una interfaz gráfica.

Considere la posibilidad de almacenar las contraseñas de tu secuencias de comandos automatizadas por separado, en un Llavero – y excluir este Llavero de su sitio fuera de back-up.

Agradezco la eliminación de las llaves de su back-up no es ideal, pero sería responder a sus inquietudes. En la restauración de la Mac, usted necesita para obtener las llaves de la espalda de una fuente diferente; puede ser más una fuente de confianza o de canal lateral.

Siempre se puede almacenar separado de Llavero de la contraseña en el Sistema de Llavero. Entonces, usted puede desbloquear el independiente Llavero de una secuencia de comandos. Si la copia es atacado, sólo exponer la contraseña con el Llavero y no el Llavero de la misma ya que este archivo no es con el apagado-sitio de respaldo.

Apple ha publicado recientemente un documento que describa sus prácticas de seguridad, usted puede encontrar algunas respuestas allí. El documento es específico para iOS, pero muchas de las características de seguridad que tienen mucho en común con OS X.

No tengo conocimiento específico de Llavero* pero esta es una muy estandarizada de práctica.

1. Desea proteger archivo de texto sin formato "foo". Foo puede ser de tamaño arbitrario.
2. Crear una clave simétrica para cifrar los foo.
3. Cifrar la clave simétrica con una llave de cabeza de serie a partir de una contraseña.

Una vez hecho esto usted puede cambiar la "contraseña" por entrar en la corriente de la frase de paso, descifrar la clave simétrica y, a continuación, cifrado con la nueva frase de contraseña. Esto evita largas descifrado/procesos de cifrado en el caso de que "foo" es muy grande.

Entonces, ¿cómo hace este trabajo para varios usuarios que necesitan acceso al texto de foo? Bastante que realmente sencillo, basta con crear una copia cifrada de la clave simétrica de una vez por cada usuario. En otras palabras, el paso tres para cada usuario.

En la práctica todo esto se obtiene fuera de la vista y el usuario final sólo necesita tratar con su propia contraseña.

Con respecto a la parte 3 de sus preguntas, los usuarios de las claves no se almacenan en su casa. Que sería lo más probable es almacenado en /private/var en algún lugar. Así que incluso sin /Users alguien que anteriormente tenían acceso será capaz de desbloquear el sistema.

*Es posible que el Llavero de obras diferentes.