Protégez l’appareil lui-même

Un mot de passe solide sur vos comptes ne sert pas à grand-chose si quelqu’un peut simplement prendre l’ordinateur portable et lire le disque directement, ou si le Mac fait tourner un logiciel vieux de plusieurs mois avec des correctifs jamais installés. Cette leçon couvre les protections qui résident sur l’appareil lui-même, du disque à l’écran de verrouillage.

FileVault : chiffrer le disque

FileVault chiffre votre disque de démarrage pour qu’il ne puisse pas être lu sans votre mot de passe de connexion ou votre clé de récupération, même si le disque est entièrement retiré du Mac. Apple explique : « Si vous possédez un Mac avec puce Apple ou avec puce de sécurité Apple T2, vos données sont chiffrées automatiquement. Activer FileVault ajoute une couche de sécurité supplémentaire en empêchant quiconque de déchiffrer ou d’accéder à vos données sans saisir votre mot de passe de connexion. » Sur un Mac sans puce Apple ni puce T2, FileVault doit être activé manuellement pour obtenir cette protection, et il exige la configuration par un administrateur.

Lorsque vous l’activez, vous choisissez comment déverrouiller le disque si vous oubliez un jour votre mot de passe de connexion : avec votre identifiant Apple, ou avec une clé de récupération que vous notez vous-même. L’avertissement d’Apple est sans détour : « N’oubliez pas votre clé de récupération. Si vous activez FileVault, puis oubliez votre mot de passe de connexion et ne pouvez pas le réinitialiser, et que vous oubliez également votre clé de récupération, vous ne pourrez pas vous connecter, et vos fichiers et réglages seront perdus à jamais. » Conservez cette clé de récupération avec autant de soin qu’une clé physique.

$ fdesetup status
FileVault is On.

Un mot de passe de connexion qui mérite ce nom

La protection de FileVault ne tient que si le mot de passe de connexion qui la garde n’est pas trivial à deviner. Les mêmes recommandations sur les mots de passe de la leçon précédente, la longueur plutôt que la complexité forcée, aucune réutilisation, s’appliquent tout autant au compte avec lequel vous vous connectez chaque matin qu’à n’importe quel compte de site web.

Rester à jour, encore une fois

Le cours précédent de cette université couvre en profondeur les vulnérabilités et les correctifs ; la version courte pour ce plan est que Réglages Système > Général > Mise à jour de logiciels, avec les mises à jour automatiques activées, n’est pas facultatif. Un Mac parfaitement configuré mais faisant tourner un logiciel obsolète porte toujours chaque faiblesse pour laquelle Apple a déjà publié un correctif.

Localiser : repérer et verrouiller un Mac perdu

Si un Mac est perdu ou volé, Localiser peut le repérer sur une carte, et Apple décrit le fait de le marquer comme perdu comme quelque chose qui « le verrouille avec un code ou votre mot de passe d’identifiant Apple » et vous permet d’« afficher un message pour que d’autres puissent vous contacter s’ils trouvent votre appareil ». Apple note aussi que l’effacement à distance exige généralement que l’authentification à deux facteurs soit déjà activée ; sans elle, il faudrait effacer l’appareil via iCloud.com à la place. Configurer Localiser avant qu’un appareil ne disparaisse, pas après, est ce qui le rend utile.

Mode Isolement : pour le petit nombre de personnes qui en ont besoin

Apple décrit le Mode Isolement comme « une protection extrême et facultative, conçue pour les très rares personnes qui, en raison de qui elles sont ou de ce qu’elles font, pourraient être personnellement ciblées par certaines des menaces numériques les plus sophistiquées. La plupart des gens ne sont jamais ciblés par des attaques de cette nature. » L’activer change le comportement du Mac : Apple répertorie des effets notamment le blocage de la plupart des types de pièces jointes Messages, le blocage de certaines technologies web dans Safari (ce qui peut casser certains sites), l’impossibilité pour des appelants FaceTime inconnus de vous joindre, et l’exigence que le Mac soit déverrouillé avec une approbation explicite pour les connexions d’appareils. C’est un vrai compromis en termes de confort, approprié pour quelqu’un dont le modèle de menace, issu de la première leçon de ce cours, inclut réellement ce niveau d’adversaire, et non un réglage par défaut pour tout le monde.