IT-Trends 2019

Das vergangene Jahr 2018 hat aus der Sicht von Mac-Admins einige Umwälzungen mit sich gebracht. 2019 verspricht spannend zu werden.

Was mich und viele Kollegen 2018 besonders bewegt hat, war so etwas wie der Schlusspunkt in einem langsamen Abschied Apples aus der Server-Welt. Die Vermarktung der letzten Server-Hardware war schon 2011 beendet worden, 2018 folgte nun faktisch das Ende der Server-Software.

Mac-Server sind tot – oder doch nicht?

Apple hat also ob der Übermacht der Konkurrenz – Windows- und Linux-Server, NAS-Lösungen für KMU, sowie zahlreicher Cloud-Alternativen – die Segel gestrichen und überlässt den anderen Marktteilnehmern das Feld. Müssen Mac-Server deshalb aus den Serverschränken von Betrieben verschwinden? Nein, müssen sie nicht!

Zum einen wurde die Apple Server-Software nicht gänzlich abgeschafft, sondern sie lebt in Version 5.7 weiter und stellt weiterhin einige wenige, wenn auch wichtige Funktionen bereit:

  • Wer den Mac in der Vergangenheit als Open Directory bzw. OpenLDAP-Verzeichnisserver genutzt hat, kann dies auch weiterhin tun.
  • Auch Unternehmen, die auf leistungsfähige SAN mit Stornext und XSAN angewiesen sind, können auch unter macOS 10.14 Mojave einen Mac als XSAN-Controller einsetzen.
  • Zu guter letzt ist auch Apples umfangreiches Mobile Device-Management Profilmanager zur zentralen Verwaltung von iOS- und macOS-Geräten weiterhin Bestandteil von macOS Server.

Zusätzlich sind in der Vergangenheit bereits eine der “Brot- und Butter”-Funktionen aus dem Server in macOS verlagert worden, hier sind besonders drei Dienste zu nennen:

  • Filesharing ist wohl die wichtigste Server-Anwendung für Unternehmen. Dank der Thunderbolt-Schnittstelle, mit der jeder Mac ausgestattet ist, kann man jeden Mac mit angeschlossenem Thunderbolt-RAID in einen leistungsfähigen Fileserver verwandeln, der kleineren oder größeren Arbeitsgruppen Dateien über AFP, SMB und WebDAV bereitstellen kann. Besonders die Mac mini-Modelle aus dem Modelljahr 2018 mit ihrem optionalen 10 Gbit-Ethernet sind hierfür prädestiniert.
  • Time Machine-Server ist ebenfalls eine Funktion, die vom Server in macOS übernommen wurde. Es gibt drei Möglichkeiten, Datensicherungen mittels Time Machine an einem Mac durchzuführen: 1. mit einer lokal angeschlossenen externen Festplatte, 2. mit einer Netzwerk-Festplatte wie Apples TimeCapsule, deren Verkauf aber 2018 eingestellt wurde, 3. übers Netzwerk an einen zentralen Time Machine-Server. Diese Funktion wird nicht nur von vielen NAS unterstützt, sondern kann auch von jedem Mac mit einem ausreichend großen Speicher übernommen werden.
  • Inhaltscaching bietet die Möglichkeit, den Netzwerkverkehr bei vielen macOS und iOS-Geräten zu entlasten, indem Apple Software-Updates und App Store-Downloads zwischengespeichert und durch den Caching-Server im Netzwerk bereitgestellt werden. Auch diese Funktion beherrscht mittlerweile jeder Mac.

Daten lokal oder in der Cloud speichern?

Das ist die Frage, auf die es am Ende hinausläuft. Dienste wie E-Mail (und damit zusammenhängend meist Kalender und Kontakte) sind immer schon Cloud-Dienste gewesen und können auch den großen, erfahrenen Cloud-Dienstleister anvertraut werden. Hier kommt es in erster Linie neben der Sicherheit auf Zuverlässigkeit und Störungsfreiheit an.

Cloud-Dienste können meist aber nicht mithalten, wenn es auf besonders große Speichermengen und hohe Übertragungsraten ankommt. Hier ist eine lokale Vorhaltung von Daten auf einem Fileserver im Vorteil, und wer hier bisher auf Mac-Server gesetzt hat und deren Bedienung gewohnt, kann dies oft auch weiterhin tun und muss nicht zwangsläufig auf eine NAS-Lösung ausweichen.

IT-Sicherheit

Was jedoch plattformübergreifend immer wichtiger wird, ist die Beachtung einiger grundlegender Regeln zur IT-Sicherheit – auch auf dem Mac! Die Bedrohungslage durch automatisierte Angriffe auf IT-Systeme hat zugenommen und der Einsatz von Antivirensoftware ist dabei selten eine wirksame oder gar ausreichende Schutzmaßnahme (sie kann sogar schädlich sein).

Daher ist es unerlässlich, dass Systeme auf dem aktuellsten Stand gehalten werden, besonders wenn man auf in-house IT-Systeme setzt. Es wird zunehmend riskanter, Server-Systeme von anno dazumal einzusetzen und der Spruch “never change a running system” ist in diesem Zusammenhang gefährlich und kontraproduktiv. Apple selbst stellt Sicherheits-Updates nur noch für macOS 10.12 Sierra oder neuer aus. Alle älteren Systeme sollten nicht mehr mit Zugriff auf das Internet betrieben werden, wenn man auf Nummer sicher gehen will.

  • Software-Updates installieren – nicht nur, aber auch auf dem Server, NAS, Routern, Switches, Druckern, Telefonanlage, IoT-Devices …
  • Sichere Passwörter verwenden
  • Passwörter nicht mehrfach einsetzen
  • Wachsam sein und bei verdächtigen Webseiten, E-Mails und Telefonanrufen erst nachdenken und im Zweifelsfall lieber einmal zu viel die Seite schließen, die Mail löschen bzw. den Hörer auflegen.
Jetzt Kontakt aufnehmen!

Mac-Server und macOS 10.14 Mojave – (nicht) updaten!

Am 24.09.2018 erschien das nächste große Betriebssystem-Update von Apple namens macOS 10.14 Mojave. Einige Tage später stand auch das lange angekündigte Update auf Server 5.7 zur Verfügung. Was man Anfang des Jahres schon angekündigt hatte, wird damit Realität: Apple entfernt mit dieser Version einige Server-Funktionen, die uns über die Jahre sprichwörtlich treue Dienste geleistet haben. Folgende Dienste stehen ab sofort auf der roten Liste und sind nicht weiter Bestandteil von macOS:

  • DHCP
  • DNS
  • Netboot und NetInstall
  • Software-Aktualisierung
  • Kalender
  • Kontakte
  • Nachrichten
  • VPN
  • Webseiten (Apache, PHP)
  • Wiki

Apple hatte diesen Diensten im Laufe des vergangenen Jahres noch eine Gnadenfrist eingeräumt und diese nur noch auf laufenden Systemen unterstützt (bei Server-Neuinstallationen waren sie schon nicht mehr verfügbar), aber ab der neuen Server-Version 5.7 ist damit Schluss!

Somit bleibt für Mac-Admins, die auf einige dieser Dienste setzen, aktuell nur die Wahl, mit ihrem Server bei macOS 10.13 High Sierra zu bleiben. Durch die Versorgung des Betriebssystems mit Sicherheits-Updates bleibt ab jetzt noch eine letzte Umstiegs-Gnadenfrist bis zum Sommer 2020. Allerdings sollte man bedenken, dass Apple in dieser Zeit wahrscheinlich keines der Server-Pakete (Apache, Bind, PHP etc.) mehr aktualisieren wird. Dadurch könnte ein Mac-Server, der im Internet erreichbar ist, schon früher einer Sicherheitsbedrohung ausgesetzt sein.

Was nun?

Unter folgenden Umständen kann man als Mac-Admin seinen Apple-Server dennoch getrost auf macOS Mojave aktualisieren (d.h. sobald Server 5.7 von Apple freigegeben wurde):

  1. Man nutzt auf dem Server keinen der oben genannten Dienste.
  2. Man kann auf den ein oder anderen Dienst in Zukunft verzichten.

Apple hat den Server übrigens nicht ganz abgeschafft.
Folgende Dienste sind ab sofort in jedem Mac enthalten:

  • Fileserver (AFP, SMB, WebDAV)
  • Caching (Alternative zu Softwrae-Aktualisierung)

Folgende Dienste sind weiterhin Bestandteil von macOS Server 5.7:

  • Open Directory inkl. Benutzer- und Gruppenverwaltung
  • Verwaltung von Zertifikaten
  • Profilmanager
  • Xsan

Was ist mit den anderen Diensten?

Dienste wie DHCP, DNS oder VPN können von den meisten gängigen Internet-Routern übernommen werden. Apple hat übrigens einen Migrations-Leitfaden mit Vorschlägen veröffentlicht, den man sich als Admin mal in Ruhe zu Gemüte führen sollte. Wahrscheinlich werde ich hier in Zukunft auch noch die eine oder andere technische Lösung präsentieren. Stay tuned!

Sicherheitslücke in S-MIME und PGP-Verschlüsselung – Apple Mail absichern

Mail.app Entfernte Inhalte in Nachrichten laden deaktivieren

Wie am 14.05.2018 bekannt wurde, ist es Forschern gelungen, die Verschlüsselung von E-Mails so auszuhebeln, dass Angreifer unter Umständen Zugriff auf die unverschlüsselte Nachrichten erhalten können. Nähere Informationen dazu gibt es u.a. hier (FAZ) und hier (mactechnews.de). Das Problem scheint nur HTML-formatierte E-Mails zu betreffen, die verschlüsselt wurden.

Die Lösung ist ganz einfach. Man öffnet in Apple Mail die Einstellungen und stellt sicher, dass im Reiter Darstellung bei Entfernte Inhalte in Nachrichten laden kein Haken gesetzt ist. Damit ist zumindest die unmittelbare Gefahr gebannt. Generell empfiehlt es sich, Mails nicht mit HTML zu formatieren (außer, man verschickt Newsletter, aber die würde man nicht verschlüsseln).Mail.app Entfernte Inhalte in Nachrichten laden deaktivieren
Diese Einstellung empfiehlt sich übrigens auch für den Web-Browser Safari, wo standardmäßig das Öffnen von Downloads aktiviert ist. Hier entfernt man das Häkchen in den Safari-Einstellungen unter Allgemein.

Safari Einstellungen Sichere Dateien nach dem Laden öffnen deaktivieren

Filevault vs. macOS-Update

Technik ist heute in vielen Bereichen einfacher zu bedienen als vor einigen Jahren, aber die Komplexität unter der Oberfläche steigt dafür stetig an. Manchmal blitzt diese Komplexität dann im Alltag auf und man sieht sich mit merkwürdigen Problemen konfrontiert, die man trotz jahrelanger Erfahrung nie zuvor gesehen hat.

So geschehen vor einigen Tagen. Im Zuge der Umsetzung einer IT-Sicherheitsrichtlinie haben wir alle Computer des Unternehmens auf FileVault-Verschlüsselung umgestellt. Morgens kam ein Kollege zu mir, der sich nicht in seinen iMac einloggen konnte. Der Mac hing offenbar in einem Installationsfenster mit folgender Meldung fest: macOS could not be installed on your computer. Ein Neustart führte immer wieder zurück zu dieser Meldung.

Was war geschehen? Wir hatten FileVault an dem Mac mit macOS 10.13.3 am Vortag aktiviert. Da der Rechner mit einem 3 TB fassenden FusionDrive ausgestattet ist, muss man mit einem mehrtägigen Verschlüsselungsprozess rechnen. Ich hatte den Kollegen also gebeten, den Rechner nach Feierabend nicht herunterzufahren. Das hatte er auch befolgt, allerdings war der Mac so eingestellt, dass Software-Updates automatisch heruntergeladen und im Hintergrund installiert werden – die empfohlene Standard-Einstellung von macOS.

Der iMac nutzte also die nächtliche Stunde, nach Updates Ausschau zu halten, wurde mit dem Zusatz-Update zu macOS 10.13.3 fündig, und führte die Installation des Updates selbständig durch. Beim anschließenden Neustart kam es dann zum oben abgebildeten Fehler – und der Kollege konnte am nächsten Tag nicht arbeiten.

Offenbar hat macOS High Sierra einen Bug, der die Installation eines System-Updates mit Neustart verhindert, wenn die FileVault-Verschlüsselung noch nicht abgeschlossen ist.

Die Lösung

Den Mac aus diesem Teufelskreis zu befreien erforderte etwas Trial-and-Error. Am Ende half folgende Methode:

  • Den Mac mit gedrückter Umschalt-Taste in den sicheren Modus booten lassen. Das funktioniert.
  • Sich mit einem Benutzer einloggen.
  • Die Systemeinstellungen-Startvolume öffnen
  • Die System-Festplatte auswählen und neu starten
  • Dann sollte man wieder normal booten und bis zum Anmeldebildschirm vordringen können

Ein Start mit gedrückter Alt-Taste zum Auswählen des Startvolumes funktionierte übrigens nicht, weil statt der Festplatte nur ein Installations-Volume angezeigt wurde.

Sobald man das System erfolgreich gebootet hat, sollte man übrigens umgehend in die Systemeinstellungen – App Store gehen und dort das automatische Installieren von System-Updates ausschalten – und erst wieder einschalten, wenn die initiale Verschlüsselung des Startvolumes abgeschlossen ist!

Schwere Sicherheitslücke in macOS High Sierra – und Fix

Am 28. und 29.11.2017 geisterte es durch alle Medien: Apple hat sich einen riesigen Schnitzer in seinem aktuellsten Betriebssystem macOS High Sierra erlaubt, der bis dato auch noch in den aktuellsten Beta-Versionen von macOS 10.13.2 vorhanden ist: Personen mit physischem Zugriff auf einen Mac können sich offenbar vollen Administrator-Zugriff auf das System verschaffen.

Alles, was man tun muss, ist in einem Authentifizierungs-Dialog “root” als Benutzer einzutragen und das Passwort-Feld leerzulassen. Teilweise muss man zwei oder drei Mal auf OK klicken, bevor sich das Schloss plötzlich öffnet und man vollen Zugriff auf das System hat.

Die Lösung

Ohne jetzt darüber zu spekulieren, wie so etwas möglich sein konnte, will ich hier die Lösung skizzieren. Zwei Dinge sind zu tun:

  1. root-Passwort ändern
  2. root-Benutzer aktiviert lassen und keinesfalls deaktivieren!

root ist ein Administrator-Account, der auf allen Unix-Systemen, zu denen macOS ja nun auch gehört, vorhanden ist. root hat die weitreichendsten Systemrechte und darf (fast) alles. Standardmäßig ist dieser Benutzer auf macOS deaktiviert. Der hier entdeckte Bug zeichnet sich also dadurch aus, dass root von Apples Entwicklern aktiviert wurde und obendrein kein Passwort hinterlegt ist. Damit sind von der Lücke diejenigen User nicht betroffen, die ihren root-User schon mit Passwort aktiviert hatten.

root-Passwort ändern

Es gibt verschiedene Möglichkeiten, dies zu tun. Da wir Mac-User lieber mit “Klickibunti” arbeiten, also ungern kryptische Befehle ins Terminal hacken, präsentiere ich hier eine relativ anwenderfreundliche Methode.

Programm “Verzeichnisdienste” öffnen

Dieses Programm ist in den Tiefen von macOS versteckt. Entweder man kann es öffnen, indem man danach per Spotlight sucht,

oder man öffnet ein Finder-Fenster und navigiert in den Ordner System/Library/CoreServices/Applications.


Um hier Änderungen vornehmen zu können, muss man unten links auf das Schloss klicken, um sich als Administrator zu authentifizieren. Wir können uns ja mal den Spaß machen und als Benutzer root eintragen und das Passwortfeld leer lassen. Sollten Sie von der Lücke betroffen sein, müsste Ihnen diese Kombination jetzt Einlass gewähren.
Als Nächstes rufen Sie das Bearbeiten-Menü aus und wählen root-Passwort ändern.

Es öffnet sich ein Dialogfenster. Geben Sie ein sicheres Passwort ein (es muss zwei Mal eingetragen werden). Fertig, die Sicherheitslücke ist damit gestopft. Schließen Sie die Verzeichnisdienste wieder.

Wichtiger Hinweis

Kommen Sie nicht auf die Idee, den root-Benutzer zu deaktivieren (diese Option ist Ihnen vielleicht im Bearbeiten-Menü der Verzeichnisdienste aufgefallen)! Wenn Sie das tun, wird die Lücke wieder geöffnet, denn das root-Passwort wird damit zurückgesetzt und man kann sich wieder ohne Passwort Zugriff verschaffen!

Shame on you Apple!

Update

Mittlerweile hat Apple das dringend erforderliche Software-Update nachgeschoben. Es sollte dringend über die App-Store-App – Updates installiert werden. Für das Update ist kein Neustart erforderlich.