Untuk keamanan FileVault2 maksimum, mengapa hibernasi disarankan?

Banyak diskusi tentang keamanan FileVault 2 menyarankan menggunakan:

sudo pmset -a destroyfvkeyonstandby 1 hibernatemode 25

Beberapa dari diskusi tersebut menyatakan bahwa kunci FileVault disimpan dalam RAM selama penggunaan normal sementara yang lain mengatakan bahwa mereka disimpan dalam firmware EFI.

1. Di mana kunci disimpan ketika mesin terjaga dan berjalan di RAM atau di firmware?

2. Apa, tepatnya, yang destroyfvkeyonstandbydilakukannya? Misalnya, jika saya menghapus file, saya dapat memulihkannya karena tidak dihapus. Apakah destroyfvkeyonstandbymelakukan pelepasan memori (hapus) atau penghapusan (menimpa memori yang digunakan untuk menahan kunci)?

3. Jika saya gunakan destroyfvkeyonstandby, apa untungnya beralih ke mode hibernasi (selain menghemat energi)? Jika kunci telah dihapus, bahaya apa yang ada dalam membiarkan RAM dinyalakan?

1. Selama penggunaan normal, tombol disimpan dalam RAM, yang membuatnya rentan terhadap serangan DMA atas Firewire atau Thunderbolt (menggunakan sesuatu seperti Inception ). Ini adalah serangkaian serangan lama, dan Apple benar-benar menonaktifkan beberapa fungsi perangkat-perangkat tersebut selama beberapa mode tidur (misalnya, hibernatemode 25yang menghilangkan daya dari RAM setelah membuang kontennya ke disk, untuk keamanan tambahan, Anda juga harus menonaktifkan Fast User. Switching , karena itu vektor serangan lain.)

2. Itulah satu-satunya hal yang masuk akal bagi Apple untuk melakukannya, karena ini cukup sepele. Rincian lebih lanjut mungkin diambil dari analisis FileVault 2 ini , milik beberapa peneliti keamanan dari Cambridge.

3. RAM juga dapat ditulis ke (lihat Inception ) untuk memotong kata sandi yang sebenarnya; membuang ke disk dan memuat ulang saat bangun akan memastikan isinya tamper-proof.