Die meisten Systemcaches erfordern kein regelmäßiges Löschen, aber einige Caches können Nachteile haben, wie z. B. der Quick Look-Cache unter macOS. Der Cache kann Vorschauen von Dateien von verschlüsselten Datenträgern verlieren.
Warum Sie den Quick Look Cache unter macOS löschen sollten
Der Quick Look-Cache kann dazu führen, dass Vorschauen verschlüsselter Dateien in einem unverschlüsselten Cache gespeichert werden. Infolgedessen könnte ein ausreichend informierter Schnüffler Vorschauen Ihrer verschlüsselten Dateien anzeigen, ohne die Dateien selbst zu entschlüsseln. Dem sicherheitsbewussten Benutzer kann ein häufiges Löschen des Caches empfohlen werden.
Der Hauptdienst von Quick Look ist „com.apple.quicklook.ThumbnailsAgent“. Dadurch wird das System gecrawlt und Vorschauen generiert. Diese Miniaturansichten werden in einer SQLite-Datenbank gespeichert, auf die jeder Benutzer zugreifen kann. Dieser Cache speichert Vorschauen für alle Dateien, unabhängig davon, ob sie von Quick Look angezeigt wurden oder nicht.
Der Cache befindet sich in „/var/folders“. Von dort aus müssen Sie ein wenig herumstöbern, um den Ordner mit dem Namen „com.apple.QuickLook.thumbnailcache“ zu finden, wie unten gezeigt.
Ist das ein Problem?
Jegliches Durchsickern von verschlüsselten Daten ist unerwünscht. Dieses Problem betrifft in erster Linie Bilder. Sie können Daten auch bei reduzierten Größen preisgeben. Bilder, die nicht mit Quick Look in der Vorschau angezeigt wurden, haben auf der längsten Seite 128 Pixel. Im Cache angezeigte Bilder werden dem Dreifachen näher kommen.
Bei Nicht-Bilddateien wird eine Miniaturansicht ihres Finder-Symbols gespeichert. Dies ist so etwas wie die gewellte Seite mit einer Vorschau für eine TXT- oder RTF-Datei. Unten sehen Sie ein Beispiel für diese Art von zwischengespeicherter Vorschau.
Laut Sicherheitsforscher der zuletzt über diese Sicherheitsanfälligkeit geschrieben hat, bleiben Thumbnails auch nach dem Löschen der Dateien erhalten. Darüber hinaus werden Quick Look-Vorschauen für USB-Laufwerke nach dem Entfernen gespeichert. Daher hinterlässt das Anschließen eines USB-Laufwerks an einen Mac erkennbare Spuren, nachdem das Laufwerk entfernt wurde. Selbst wenn das System derzeit nicht auf die übergeordnete Datei zugreifen kann, kann die Vorschau Daten darüber anzeigen.
Löschen des Quick Look Cache unter macOS
1. Öffnen Sie das Terminal über „/Applications/Utilities/Terminal.app“ oder geben Sie den Namen der Anwendung in Spotlight ein.
2. Fügen Sie den folgenden Befehl unten in das Terminal ein und drücken Sie dann die Eingabetaste, um ihn auszuführen. Dadurch wird der Quick Look-Dienst sofort beendet und zwischengespeicherte Dateien gelöscht.
qlmanage -r cache
Deaktivieren des Quick Look Cache unter macOS
Der obige Befehl leert den Quick Look-Cache. Wenn der Cache jedoch weiterhin funktioniert, beginnt er sofort wieder mit dem Sammeln von Dateien, unabhängig von ihrem Verschlüsselungsstatus.
Um dies zu beheben, können Sie den Cache dauerhaft deaktivieren. Dies kann Quick Look etwas verlangsamen, aber es wird die vorhandene Schwachstelle umgehen. Um den Quick Look-Cache dauerhaft zu deaktivieren, führen Sie den folgenden Terminal-Befehl aus:
qlmanage -r disablecache
Wenn Sie den Quick Look-Cache wieder aktivieren möchten, verwenden Sie die enablecache Befehl statt disablecache.
Abschluss
Diese Sicherheitsanfälligkeit kann eventuell von Apple gepatcht werden. Apple hat es jedoch lange genug dort belassen, dass Computerforensiker es als zuverlässige Methode zum Exfiltrieren von Bildern ansehen. Aus Sicherheitsgründen können Sie diesen Prozess regelmäßig mit einem wiederkehrenden Skript oder manuell nach dem Entfernen von USB-Geräten ausführen.
Unterstützen Sie unsere Arbeit ❤️
Wenn Ihnen dieser Artikel gefallen hat, können Sie uns mit einem Trinkgeld unterstützen, damit wir weiterhin großartige Inhalte veröffentlichen können.
