Instalación segura, seguridad de arranque y cifrado

Antes de crear una cuenta o de apagar un servicio, hay dos cosas que deciden cuánto se puede confiar en todo lo demás: si la Mac solo arranca software que puede verificar, y si los datos en el disco quedan ilegibles para cualquiera que no tenga tu contraseña. Ambas son en gran parte automáticas en una Mac moderna, pero “automático” vale la pena revisarlo en vez de solo suponerlo.

El Secure Enclave y las llaves de cifrado

Las Macs con Apple silicon (y las Macs Intel más antiguas con chip T2) incluyen un Secure Enclave: un coprocesador separado, aislado del procesador principal, con su propio almacenamiento cifrado. La guía de seguridad de Apple lo describe como el encargado de administrar las llaves de cifrado de los datos de usuario del dispositivo y de procesar datos biométricos como Touch ID, de modo que el material de las llaves nunca tiene que salir del Secure Enclave en una forma utilizable. En estas Macs, el Secure Enclave genera y protege las llaves criptográficas que cifran el disco, por lo que el cifrado del almacenamiento está presente “automáticamente” en vez de como algo opcional.

FileVault: tu contraseña es la otra mitad de la llave

FileVault es el ajuste que ata ese cifrado automático a tu contraseña de inicio de sesión. Apple lo describe como algo que da “una capa extra de seguridad al impedir que alguien descifre o acceda a tus datos sin escribir tu contraseña de inicio de sesión.” Actívalo desde Ajustes del Sistema → Privacidad y Seguridad → FileVault; se te pedirá elegir un método de recuperación, ya sea tu cuenta de iCloud o una llave de recuperación, una cadena de letras y números que Apple genera por ti.

Puedes revisar tú mismo el estado de FileVault, sin cambiar nada, desde la Terminal:

$ fdesetup status
FileVault is On.

Seguridad de arranque: qué corre antes que macOS

FileVault protege los datos una vez que macOS ya está corriendo. La seguridad de arranque decide si la Mac va a correr macOS siquiera, o algo que fue manipulado. En una Mac con Apple silicon, esto lo controla una política de arranque seguro con tres niveles, documentada en la guía de Seguridad de la Plataforma de Apple.

Para casi todos, el ajuste correcto es el que viene por defecto: Seguridad Total. Rara vez hay una buena razón para que la Mac de un solo usuario corra en Seguridad Reducida o Permisiva, ya que ambas existen sobre todo para dar soporte a software más antiguo o a trabajo de desarrollo a nivel de kernel. Para ver o cambiar la política, reinicia, mantén presionado el botón de encendido hasta que aparezca “Cargando opciones de inicio”, y luego abre la Utilidad de Seguridad de Arranque y autentícate como administrador.

Instalación segura

Una “instalación segura” es simplemente una que parte del propio instalador de Apple, descargado a través de Actualización de Software o desde Apple, en vez de una imagen de disco o un instalador conseguido en otro lado. Como la Seguridad Total ata una copia específica de macOS, firmada por Apple, a tu Mac en específico, instalar desde una fuente sin verificar socava la misma protección que acaba de describir esta lección. La siguiente lección de este curso cubre cómo mantener esa instalación actualizada.