Instalación segura, seguridad de arranque y cifrado

Antes de crear una cuenta o desactivar un servicio, hay dos cosas que deciden cuánto se puede confiar en todo lo demás: si el Mac solo arranca software que puede verificar, y si los datos en disco son ilegibles para cualquiera que no tenga tu contraseña. Ambas cosas son en gran medida automáticas en un Mac moderno, pero “automático” merece comprobarse en lugar de darse por hecho.

El Secure Enclave y las claves de cifrado

Los Mac con chip Apple (y los Mac Intel más antiguos con chip T2) incluyen un Secure Enclave: un coprocesador independiente, aislado del procesador principal, con su propio almacenamiento cifrado. La guía de seguridad de Apple lo describe como el encargado de gestionar las claves de cifrado de los datos de usuario del dispositivo y de procesar datos biométricos como Touch ID, de modo que el material de las claves nunca tiene que salir del Secure Enclave en una forma utilizable. En estos Mac, el Secure Enclave genera y protege las claves criptográficas que cifran el disco, y por eso el cifrado del almacenamiento está presente “automáticamente” en lugar de como un extra opcional.

FileVault: tu contraseña es la otra mitad de la clave

FileVault es el ajuste que vincula ese cifrado automático a tu contraseña de inicio de sesión. Apple lo describe como algo que aporta “una capa adicional de seguridad al impedir que alguien descifre o acceda a tus datos sin introducir tu contraseña de inicio de sesión”. Actívalo desde Ajustes del Sistema → Privacidad y Seguridad → FileVault; se te pedirá elegir un método de recuperación, tu cuenta de iCloud o una clave de recuperación, una cadena de letras y números que Apple genera por ti.

Puedes comprobar tú mismo el estado de FileVault, sin cambiar nada, desde Terminal:

$ fdesetup status
FileVault is On.

Seguridad de arranque: qué se ejecuta antes que macOS

FileVault protege los datos una vez que macOS ya se está ejecutando. La seguridad de arranque decide si el Mac ejecutará macOS en absoluto, o algo que ha sido manipulado. En un Mac con chip Apple, esto lo controla una política de arranque seguro con tres niveles, documentada en la guía de seguridad de la plataforma de Apple.

Para casi todo el mundo, el ajuste correcto es el que viene por defecto: Seguridad total. Pocas veces hay un buen motivo para que un Mac de un solo usuario funcione en Seguridad reducida o permisiva, ya que ambas existen sobre todo para dar soporte a software antiguo o a trabajo de desarrollo a nivel de kernel. Para ver o cambiar la política, reinicia, mantén pulsado el botón de encendido hasta que aparezca “Cargando opciones de inicio”, y luego abre la Utilidad de Seguridad de Arranque y autentícate como administrador.

Instalación segura

Una “instalación segura” es simplemente la que parte del propio instalador de Apple, descargado a través de Actualización de software o desde Apple, en lugar de una imagen de disco o un instalador obtenido en otro sitio. Como la Seguridad total vincula una copia concreta de macOS, firmada por Apple, a tu Mac en concreto, instalar desde una fuente no verificada socava esa misma protección que acaba de describir esta lección. La siguiente lección de este curso cubre cómo mantener esa instalación al día.