Як запобігти збереженню пароля WiFi на розділі відновлення?

Мені завжди було цікаво, як мій Mac може підключитися до Інтернету, коли завантажується розділ відновлення, а мій основний системний розділ заблокований (filevault2).

Деякі googling виявили сьогодні (наприклад, тут , тут , а також на askdifferent ), що пароль WiFi, очевидно, зберігається в NVRAM і що для його видалення потрібно скинути. Як людина, яка усвідомлює безпеку, це для мене неприйнятно. Під час використання повного шифрування диска (тобто Filevault2), я очікую, що система буде безпечною, а також проти моєї мережі.

То чи існує спосіб запобігти OS X зробити доступним пароль у розділі відновлення? Я не впевнений, як і коли він потрапляє в NVRAM в першу чергу.

UPDATE1 : NVRAM містить такі клавіші: ( nvram -p):

BootCampHD
SystemAudioVolume
SystemAudioVolumeDB
aht-results
backlight-level
bluetoothActiveControllerInfo
bluetoothInternalControllerInfo
boot-gamma
efi-apple-recovery
efi-boot-device
efi-boot-device-data
fmm-computer-name
good-samaritan-message
gpu-policy
prev-lang:kbd

Ключі efi-apple-recoveryі efi-boot-deviceвиглядають так, ніби вони могли містити зашифровані дані.

Мене завжди цікавило одне і те ж: як уберегти OS X від зберігання парольної фрази WPA (або PSK) у NVRAM.

Використовуючи 'nvram', я ніколи не зміг знайти змінну, яку, на мою думку, містив ці дані. Сьогодні я спробував завантажитися на живий образ USB з Linux та запустити Chipsec . Його команда для переліку змінних EFI має набагато більше результатів, ніж я отримував, запустивши nvram в ОС X. Серед змінних у моєму MacBook Pro (середина 2010 року) були:

• поточна мережа
• переважні мережі
• безпека-пароль

Дані змінної поточної мережі включають SSID мого домашнього маршрутизатора в простому тексті. Потім вона забита 0 байтами до кінця, що становить 32 байти, і являє собою 64 шістнадцяткових цифр попередньо спільного ключа (PSK) .

У Preferred-мережі змінні скидаються таке ж зміст , як ток-мережу .

Безпеки пароль змінна містить точно таку ж кількість байтів , як EFI пароль I набору, тому я припускаю , що це пароль блокування прошивки. Я підозрюю, що він використовує якесь маскування / кодування. Однією з теорій у мене було те, що ці паролі зберігаються як коди сканування клавіатури чи щось таке, але у мене поки що недостатньо інформації.

Можливо, використовуючи Chipsec або інший інструмент EFI, ви можете зняти з нуля ці змінні EFI і встановити на них прапор контролю / дозволу, щоб вони не могли бути переписані. Можливо, навіть просто обнулення їх буде для вас вирішенням проблеми (якщо вам просто потрібно перепродати ноутбук чи щось таке). Мені невідомо, чи перезаписує їх OS X регулярно або просто під час зміни своїх облікових даних WPA.

EDIT : Я щойно дізнався про команду для отримання паролів Wi-Fi з NVRAM: /usr/libexec/airportd readNVRAM

Також, приєднавши GUID, nvram може насправді прочитати ці значення:

• nvram 36C28AB5-6566-4C50-9EBD-CBB920F83843:current-network
• nvram 36C28AB5-6566-4C50-9EBD-CBB920F83843:preferred-networks
• nvram 36C28AB5-6566-4C50-9EBD-CBB920F83843:preferred-count

Тож, можливо, ви можете зняти ці змінні і подивитися, як це відбувається.

EDIT 2 : як згадувалося в попередньому коментарі, метод видалення змінної EFI полягає в наступному (для видалення потрібен sudo):sudo nvram -d 36C28AB5-6566-4C50-9EBD-CBB920F83843:current-network

Поки незрозуміло, чи повернеться змінна.