Via het Apple ID is het mogelijk om toegang tot met FileVault 2 versleutelde bestanden te krijgen, zo waarschuwt een beveiligingsonderzoeker. Volgens Jonathan Grynspan is het probleem dat als de Mac in slaapstand staat of is opgestart en uitgelogd, aanvallers met het Apple ID van het slachtoffer toegang tot de versleutelde bestanden kunnen krijgen. Dit is ook het geval als gebruikers hun FileVault recovery-sleutel niet met Apple hebben gedeeld.

"Het blijkt dat vanaf Mountain Lion FileVault een 50/50 kans heeft om volledig stuk op je systeem te zijn. Er is een backdoor die per ongeluk door Apple is ingebouwd, en door een aanvaller is te gebruiken om root-toegang op je systeem te krijgen", aldus Grynspan.

Vergeten
Gebruikers die hun inlogwachtwoord zijn vergeten, maar nog wel hun Apple ID wachtwoord weten, kunnen hiermee hun wachtwoord resetten. Op de MacBook Air van Grynspan stond na zijn upgrade van Lion dit standaard ingeschakeld. In het geval gebruikers hun harde schijf met FileVault 2 hebben versleuteld, zou het resetten van het wachtwoord via het Apple ID moeten zijn uitgeschakeld. Dit blijkt niet zo te zijn. De optie is alleen verborgen en staat bij het versleutelen van de schijf gewoon ingeschakeld.

De enige optie om de op Apple ID–gebaseerde wachtwoord recovery uit te schakelen is het ontsleutelen van de schijf, de instelling te wijzigen en opnieuw de schijf te versleutelen. Iets wat uren kan duren. "Mijn iMac, volledig beschermd door FileVault 2, kan volledig worden benaderd door een aanvaller die mijn Apple ID wachtwoord kent." Een aanvaller moet wel fysieke toegang hebben, maar FileVault zou juist in dit soort situaties bescherming moeten bieden.

Reactie
Grynspan denkt dat Apple het euvel over het hoofd heeft gezien en stelt dat het via een update is te verhelpen. Toch was hij niet te spreken over de reactie van 'Cupertino' toen hij het probleem rapporteerde, aangezien die een standaard antwoord terugkreeg.

Het probleem speelt niet bij systemen die via een 'cold boot' worden opgestart. Maar als het systeem is ingeschakeld, gebruikers uitloggen, de screensaver instellen of de laptop dicht doen, is de aanvalsvector aanwezig. Gebruikers krijgen dan ook het advies om hun Mac uit te schakelen als ze weg gaan en het apparaat niet uit het zicht te verliezen.