Bug of feature? macOS lekt inhoud versleutelde bestanden
Door: Jan de Raab - 8 reacties
Een van de handigste functie van macOS is snelle weergave, ook wel bekend als Quick Look. Je bekijkt er in Finder een bestand mee zonder het feitelijk te openen. Het werkt heel eenvoudig: je selecteert het gewenste bestand en klikt op de spatiebalk. That’s all.
Onderzoekers hebben echter ontdekt dat dit de veiligheid van de bestanden niet ten goede komt. Dit is met name het geval bij versleutelde bestanden. De inhoud van die bestanden wordt door de snelle weergave van macOS gelekt.
Inhoud versleutelde bestanden in cache
Dat komt omdat Quick Look-functie een database aanmaakt om een voorvertoning van de bestanden te cachen. Zo openen ze nog sneller, maar komt een klein deel van de inhoud wel onversleuteld op straat te liggen. macOS maakt van ieder versleuteld bestand een thumbnail aan van 336×182 pixels die eenvoudig terug te vinden is. Voor complete tekstdocumenten niet zo’n probleem, maar een foto van je ex kan zelfs op dat kleine formaat al onthullend zijn. Ook tekstbestanden kunnen dan bekeken worden op voorwaarde dat het lettertype groot genoeg is. Overigens is dat niet het enige, ook de bestandslocatie is zichtbaar.

De vraag is of dit een bug of een functie is. Aan de ene kant is het logisch dat de inhoud van Quick Look in een cache geplaatst wordt, maar aan de andere kant moet Apple dit bij versleutelde bestanden niet doen. Het zou ons niet verbazen als opsporingsinstanties deze bug/feature al gretig gebruiken.
De oplossing
Het frappante is dat dit ook mogelijk is met het nieuwe APFS-bestandssysteem. Dit is juist ontwikkeld om een grote mate van veiligheid en versleuteling te bieden. Mocht je echt gevoelig materiaal op een versleutelde schijf hebben staan, dan kun je de map ‘com.apple.QuickLook.thumbnailcache’ opzoeken en verwijderen. Waar de map precies opgeslagen is, kun je met de terminal achterhalen. Geef hier het volgende commando:
sudo find /var/folders/ -name com.apple.QuickLook.thumbnailcache
Vervolgens krijg je een lijst met mappen die de cache bevatten. Die kun je verwijderen met door het commando rm -rf te geven en daarachter het pad naar de map te plaatsen, een voorbeeld:
rm -rf /var/folders//6x/k5l2pzws6j1dgg5smslfytsm0000gn/C/com.apple.QuickLook.thumbnailcache
Reacties