«Выживают только параноики»
- Эндрю Гроув, экс-глава Intel

Для тех пользователей, которые хранят на своем компьютере важные файлы, в Mac OS X существует функция FileVault, которая позволяет зашифровать все содержимое домашней директории (Macintosh HD -> Users -> Your_Name) стойким алгоритмом AES 128 (Advanced Encryption Standart с длинной ключа в 128 бит, он является государственным стандартом в США).

Не забывайте, что обычная установка пароля на вход в систему не шифрует данные, при желании, получить к ним доступ достаточно просто. Поэтому для реальной защиты самих файлов используйте FileVault, или другие криптографические решения.

Для активации FileVault, в панели System Preferences выберите пункт Security (как показано на скриншоте), установите необходимые параметры и создайте Master Password (если он еще не создан), с помощью которого вы сможете получить доступ к данным, если забудете пароль своего аккаунта (очень пригодится системным администраторам - в любой момент можно будет получить доступ к файлам, даже если сотрудник уже не работает в компании и отказывается сообщать пароль). После активации система будет перезагружена и все содержимое домашней директории будет зашифровано (процесс может занять довольно продолжительное время - в зависимости от объема информации).

После этого иконка вашей домашней директории будет изменена, и все ее содержимое будет храниться в зашифрованном виде - при обращении к какому-либо файлу, он будет дешифрован на время работы с ним и автоматически зашифрован по ее окончании. Все это Apple сделала со свойственной ей простотой и удобством. Работа пользователя с включенным FileVault практически никак не усложняет использование системы.

Тем не менее, вы можете столкнуться со следующими особенностями:

1. Дополнительная нагрузка на процессор. Постоянное шифрование и дешифрование файлов «на ходу» создает дополнительную нагрузку на процессор. В большинстве случаев она практически не заметна, вы обратите внимание на нее лишь при работе с файлами большого объема, требующими активной работы с жестким диском (например, при работе с видео). Поэтому особо крупные и не конфиденциальные файлы (например, фильмы), лучше хранить не в домашней директории, а в обычной папке на жестком диске (следующий пункт лишь подтвердит эту рекомендацию).
2. Необходимость восстановления свободного дискового пространства. При удалении файла из вашей домашней директории и очистки корзины место на диске не освободится. Дело в том, что зашифрованный образ вашей директории - это большой файл, который, по причинам криптографических особенностей, не может быть быстро уменьшен в размерах. При выходе из вашей учетной записи (или при полной перезагрузке системы), система предложит выполнить Disk Space Recovery, то есть реально освободить свободное место на диске за счет удаленных ранее файлов. Эта операция может занять не один десяток минут, поэтому, если вы используете ноутбук, не подключенный к сети питания, система не предложит вам Disk Space Recovery. Think Different.
3. Уязвимость в случае возникновения дисковых ошибок. Обязательно делайте резервное копирование данных, ведь зашифрованная директория представляет собой один большой файл, доступ к которому может быть невозможен при наличии испорченного кластера. Если вы не используете шифрование, то рискуете одним или несколькими файлами, а во время активированного FileVault - всей директорией сразу.
4. Невозможность восстановления данных. Не забывайте пароль. Вы можете восстановить данные либо паролем соответствующего аккаунта, либо с помощью Master Password. Если вы не помните ни тот, ни другой, то данные потеряны навсегда.
5. В Mac OS X 10.4 Tiger появилась новая возможность шифрования виртуальной памяти (своп-файла). Когда вы работаете с документами, часть из них хранится в этом файле, и получив доступ к вашему жесткому диску, возможно восстановить некоторые документы, с которыми недавно велась работа. Конечно, включение этой функции дополнительно увеличит нагрузку на процессор.

Я, как и у многие люди, связанные с системным администрированием, немного параноик. Я считаю, что мои данные хотят украсть. Пусть они реально никому, кроме меня (“и множества злоумышленников, которые спят и видят, как получить мои фотографии, подборку музыки и фильмов, и…”, — это слова моего внутреннего параноика) и не нужны, но защититься не помешает.

Что произойдёт, если ноутбук украдут?

Самый простой случай — вор сразу же переформатирует диск и поставит чистую версию операционной системы. Останется купить новый ноутбук, восстановиться из Time Machine и спокойно продолжить работу. Этот сценарий характерен для умного вора, который знает о функции ”Find My Mac ” и о системе Pray .

Но есть другой случай — вор или глуп, или любопытен. Если глуп, то начнёт пользоваться ноутбуком, не трогая систему. Недавняя история поимки такого вора описана в статье ”Why you don’t steal from a hacker ”. Всё закончилось плачевно для вора и отлично для владельца ноутбука.

Если вор любопытен и умён, то сразу же отключит сетевые интерфейсы, чтобы даже случайно система не вышла в Интернет, и начнёт изучать, чем бы можно поживиться.

Начнёт изучать документы, ключи доступа, попробует добраться до Keychain, посмотрит историю команд в shell и возможно наткнётся на пароль (в моей практике был случай, когда очень быстрый коллега в сессии излишне любопытного пользователя вбивал пароль администратора, но вбил не в поле запроса пароля, а просто в shell, и пароль администратора попал в.history). Пароль в клиническом случае может быть единым для системы и для базы 1Password. Можно дальше не продолжать. А дальше — или проникновение, или шантаж.

Надеюсь, вы не думаете, что запрос пароля при входе в систему кого-то остановит? Firmware Password (по крайней мере раньше) сбрасывался фокусом с вынимаем одной из нескольких планок памяти, а затем очисткой PRAM. Потом — single user mode, пара команд , и пароль изменён. Если же не хочется возиться с Firmware Password, то диск вынимается из ноутбука, подключается к другому компьютеру и доступ ко всем данным получен.

Для защиты от описанной ситуаций был реализован FileVault. В первой версии пользовательский домашний каталог помещался в зашифрованный контейнер (sparse bundle image), ключом к которому служил пользовательский пароль. Не зная пароля, контейнер невозможно было открыть. Не нужно исключать возможность угадывания пароля, но если пароль был сложным, то данные были в полной безопасности.

За безопасность нужно платить. Для того, чтобы сделать резервную копию данных в Time Machine, нужно было выйти из учётной записи. Сделать выборочное восстановление через интерфейс Time Machine было нельзя. Включение шифрования ухудшало производительность файловых операций порой на 50%. Были и другие мелкие сложности.

В OS X Lion вошла улучшенная версия — FileVault 2 , система шифрования полного диска, использующая алгоритм XTS-AES 128.

В процессе изучения вопроса я обращался к статьям MacFixIt ”About FileVault 2 in OS X 10.7 Lion ” и ArsTechnica ”File system changes in Lion ”.

Желающие разобраться с математическими моделями могут прочитать документ ”IEEE P1619TM/D16 Standard for Cryptographic Protection of Data on Block-Oriented Storage Devices ” и ”Не такой уж ты и страшный, XTS-AES ”.

Незашифрованными остаются раздел с EFI и Recovery HD:

$ diskutil list /dev/disk0 #: TYPE NAME SIZE IDENTIFIER 0: GUID_partition_scheme *160.0 GB disk0 1: EFI 209.7 MB disk0s1 2: Apple_CoreStorage 159.2 GB disk0s2 3: Apple_Boot Recovery HD 650.0 MB disk0s3

1. После инициализации “железа” EFI находит Recovery HD и передаёт управление загрузчику /System/Library/CoreServices/boot.efi, находящемуся на этом разделе.
2. У загрузчика есть два варианта — запустить EfiLoginUI из com.apple.boot.x и показать стартовый экран с запросом пароля входа, или же, если была нажата комбинация Option-R — оболочку восстановления системы из com.apple.recovery.boot.
3. Ключи для расшифровки диска хранится в файле EncryptedRoot.plist.wipekey в каталоге /com.apple.boot.x/System/Library/Caches/com.apple.corestorage. Пользовательский пароль расшифровывает ключи к диску, находящийся в этом файле. Дальше они хранится в памяти, расшифровка содержимого диска производится “на лету”. Каждый раз при изменении пользовательского пароля, добавлении нового пользователя и подобных операциях EncryptedRoot.plist.wipekey перегенерируется.

FileVault работает и для пользователей, входящих через OpenDirectory — их аттрибуты доступа кешируются на случай отсутствия соединения с сервером каталогов.

Производительность дисковых операций при включенном FileVault 2 согласно тестам Anandtech ухудшается не более, чем на 20-30%, что вполне приемлемо. Однако стоит учитывать, что есть зависимость от процессора и диска . Новые процессоры Intel используют наборы инструкций AES-NI для ускорения работы с AES Intel® Advanced Encryption Standard Instructions (AES-NI) и с шифрованием диска справляются лучше, чем старые процессоры Core 2 Duo. Решение каждый принимает сам на основании собственного железа.

При краже Mac’а получить доступ к данным будет практически невозможно (при условии сложного пароля и неочевидных ответов на вопросы восстановления ключа в Apple). Придётся просто купить новый Mac и особо не беспокоиться о компрометации паролей и использовании данных.

Time Machine работает теперь без необходимости выхода из учётной записи. Теперь нужно беречь данные Time Machine, а лучше размещать их в зашифрованном разделе (как это сделать, описано в статье Mac OS X Lion FileVault 2 and Time Machine External Drive Encryption).

Из “особенностей” нужно помнить, что при загрузке с зажатым Option раздел “Recovery HD” будет недоступен, для загрузки с него нужно удерживать комбинацию клавиш Command-R.

Активация

Активация FileVault 2 проста. System Preferences/Security & Privacy/FileVault, Click the lock to make changes, Turn On FileVault. Обязательно нужно в надёжном и обязательно зашифрованном месте сохранить ключ и ответы на вопросы восстановления ключа (если выбрали его сохранение в Apple). Система предложит перезагрузиться. Сразу же при загрузке будет запрошен ваш пароль и после входа вы сразу же сможете работать. Ждать часами завершения шифрования раздела не нужно, эта операция производится в фоновом режиме пока вы полноценно работаете:

С запуском iCloud появится возможность “Find My Mac”, в которой по аналогии с “Find My iPhone/iPad” при появлении Mac в сети можно отобразить сообщение с воспроизведением звукового сигнала, заблокировать Mac или даже уничтожить содержимое зашифрованного диска (могу предположить, что удаляются ключи шифрования и диск становится бесполезным массивом данных).

Для предотвращения несанкционированного доступа и просто любопытных глаз, в OS X, как и во всех современных ОС, используются пароли пользователя. Большинство маководов его, естественно, используют, обеспечивая тем самым безопасность своей учетной записи, вход в которую не будет осуществлен пока вы не введете пароль пользователя. Как это ни печально, но существуют различные способы, которые позволяют сбросить пароль администратора и получить доступ ко всей информации, хранящейся на вашем компьютере.

Пользователи, для которых безопасность данных стоит не на последнем месте, наверняка пожелают застраховать себя от таких вещей и предотвратить возможность несанкционированного доступа к личной информации. Это можно сделать с помощью встроенного механизма шифрования FileVault.

Суть этого метода состоит в том, что при включении FileVault пароль нужно будет вводить еще до загрузки учетной записи, а это в свою очередь сделает недоступным использование известных способов сброса пароля (Single User Mode, загрузка с внешнего диска и т.д.). Использование FileVault является пожалуй самым простым способом, обойти все эти попытки, поскольку помимо шифрования данных на диске, он в обязательном порядке требует ввода пароля на ранних этапах загрузки системы. А именно это нам и нужно!

Для наглядности упростим все вышесказанное и посмотрим как выглядит включение Mac’а до и после активации FileVault:

• До . Загрузка > Single User Mode > Сброс пароля > Вход под root-пользователем
• После . Загрузка > Запрос пароля FileVault для получения доступа

FileVault чрезвычайно прост в настройке и включается в системных настройках OS X:

1. Открываем Настройки и переходим в раздел Защита и безопасность , на вкладку FileVault .

2. Жмем на пиктограмму замка и вводим пароль, который требуется для включения шифрования.

3. Если у вас несколько учетных записей - выбираем которые из них будут использовать шифрование.

4. Надежно сохраняем ключ восстановления - если вы забудете пароль, без ключа невозможно будет получить доступ к вашим данным.

5. Выбираем хранить (в зашифрованом виде) ключ восстановления на серверах Apple или нет. Если да - то выбираем три вопроса и указываем ответы на них. По ним Apple идентифицирует вас, случае обращения к ним при утере ключа.

6. Перезагружаем компьютер для применения внесенных изменений и включения шифрования.

Однако, важно понимать риски и ограничения, которые повлечет за собой использование полного шифрования диска. Здесь имеется ввиду возможное падение скорости чтения диска и невозможность восстановления ваших данных кем бы то ни было, в случае утери пароля. Но думаю это не проблема, если вы решились на такой серьезный шаг, как включение шифрования диска – вы по определению должны быть осмотрительным пользователем и надежно хранить свои пароли. Поэтому, использование FileVault вряд ли можно порекомендовать среднестатистическому пользователю, в отличии от маководов, которые предъявляют особые требования к безопасности. Если вы относитесь к последним, то я бы посоветовал включить FileVault и воспользоваться всеми преимуществами шифрования. Кроме того, очень полезно выработать привычку всегда блокировать ваш Mac, даже если вы покидаете рабочее место на несколько минут.

Первичное шифрование моего SSD объемом 120 ГБ, заполненного чуть больше чем наполовину - заняло около 40 минут.

Из соображений производительности, шифрование FileVault лучше всего использовать на Mac’ах с твердотельными SSD-накопителями, хотя с обычными жесткими дисками он тоже работает довольно неплохо (но все же некоторые пользователи отмечают значительное падение скорости чтения/записи в этом случае).

Как видите, Apple в очередной раз подтверждает состоятельность своей операционной системы, в состав которой входят все необходимые инструменты. FileVault отличная служба шифрования данных, обеспечивающая к тому же дополнительные преимущества безопасности.

Если у вас остались какие-нибудь вопросы - не стесняйтесь спрашивать в комментариях. Всегда рад буду услышать ваше мнение!

Большинство пользователей Mac для защиты своих данных и файлов от несанкционированного доступа пользуются паролем для входа в систему. Однако так ли это безопасно, как принято считать? Как оказалось, не совсем. Есть много способов, которые позволяют сбросить пароль, предоставляя возможность получить доступ ко всей информации, которая хранится на вашем Mac. Впрочем, решение этой проблемы есть – FileVault. О нем мы сегодня и поговорим.

FileVault – это система шифрования данных, которая использует алгоритм XTS-AES-128 с длиной ключа 256 бит, что обеспечивает крайне высокий уровень безопасности. Сам ключ шифрования вырабатывается на основе пароля пользователя при помощи алгоритма PBKDF2. Вся информация в дальнейшем будет храниться фрагментами по 8 МБ.

Как ни странно, но функция работает достаточно просто – все данные копируются на зашифрованный образ диска, а затем удаляются из незащищенного пространства. После того как первичная обработка данных завершена, далее новые файлы будут шифроваться «на лету» в фоновом режиме. Есть поддержка Instant Wipe, которая позволяет безопасно затереть всю информацию на диске без возможности восстановления. Кроме того, этот инструмент предоставляет возможность шифрования резервных копий Time Machine.

Как работает FileVault

При первой настройке для защиты от утери пароля создается ключ восстановления, который необходимо обязательно запомнить, поскольку в случае утери кода восстановить данные будет нельзя. В качестве альтернативы можно настроить сброс пароля, используя учетную запись iCloud.

После того как мы активировали FileVault, процесс загрузки компьютера меняется для обеспечения безопасности. Если раньше пароль нужно было вводить после загрузки учетной записи, то теперь это происходит до, что исключает даже потенциальную возможность сброса пароля пользователя любым из известных способов (Single User Mode, загрузка с внешнего носителя и другие методы).

Почему стоит использовать FileVault

Пароля пользователя явно недостаточно для обеспечения полной безопасности и конфиденциальности. При наличии физического доступа к компьютеру сброс пароля – лишь вопрос времени. 
В случае же с шифрованием можно быть уверенным, что доступ к данным никто не получит. Кроме того, утилита разработана и уже встроена в систему, что говорит о полной интеграции с системой.

Еще плюсом можно отметить то, что объём данных до и после шифрования не меняется.

Какие есть недостатки

• Шифрование с помощью FileVault достаточно серьезно влияет на производительность Mac.
• Нельзя восстановить данные, если забыты пароль и ключ восстановления.
• В случае поломки накопителя данные также будут утеряны навсегда.
• Зашифрованные копии Time Machine не позволяют восстановить конкретный файл, а только копию целиком.

Как настроить FileVault

Осталось перегрузить наш Mac. Сразу после этого будет выполняться фоновое шифрование, при этом компьютером можно будет пользоваться без ограничений.

Encrypto - бесплатная утилита для шифрования файлов и папок от разработчиков CleanMyMac и Hider 2. Она шифрует любую информацию алгоритмом AES-256, и расшифровывает ее после ввода пароля.

Encrypto - бесплатная утилита для шифрования файлов и папок от разработчиков и . Она шифрует любую информацию алгоритмом AES-256, и расшифровывает ее после ввода пароля.

Чтобы зашифровать файл, нужно просто перетащить его на окно Encrypto и задать желаемый пароль. Расшифровка происходит по двойному клику на файл.

Лично мне понравилось использовать Encrypto вместе с моей флешкой для бэкапов, где я храню копии документов и паролей.

Раньше я шифровал такую флешку через Дисковую Утилиту macOS. Сейчас же отформатировал ее в универсальный формат ExFAT, а важные данные зашифровал через Encrypto. В случае чего я смогу открыть и расшифровать информацию как под Mac, так и под Windows.

Если вам хочется не только шифровать, но и прятать информацию от посторонних глаз, то от этих же разработчиков.