Installation sécurisée, sécurité du démarrage et chiffrement

Comment un Mac protège le processus de démarrage et les données sur le disque, et comment vérifier vous-même FileVault, le Secure Enclave et la sécurité du démarrage.

Avant même qu’un compte soit créé ou qu’un service soit désactivé, deux choses déterminent à quel point tout le reste peut être digne de confiance : si le Mac ne démarre que des logiciels qu’il peut vérifier, et si les données du disque sont illisibles pour quiconque n’a pas votre mot de passe. Les deux sont largement automatiques sur un Mac moderne, mais « automatique » vaut la peine d’être vérifié plutôt que supposé.

Le Secure Enclave et les clés de chiffrement

Les Mac à puce Apple (et les anciens Mac Intel dotés d’une puce T2) incluent un Secure Enclave : un coprocesseur séparé, isolé du processeur principal, avec son propre stockage chiffré. Le guide de sécurité d’Apple le décrit comme gérant les clés de chiffrement des données utilisateur de l’appareil et traitant les données biométriques telles que Touch ID, de sorte que le matériel de clé n’a jamais besoin de quitter le Secure Enclave sous une forme utilisable. Sur ces Mac, le Secure Enclave génère et protège les clés cryptographiques qui chiffrent le disque, ce qui explique pourquoi le chiffrement du stockage est présent « automatiquement » plutôt que comme une option supplémentaire.

FileVault : votre mot de passe est l’autre moitié de la clé

FileVault est le réglage qui relie ce chiffrement automatique à votre mot de passe de connexion. Apple le décrit comme fournissant « une couche de sécurité supplémentaire en empêchant quiconque de déchiffrer ou d’accéder à vos données sans saisir votre mot de passe de connexion ». Activez-le depuis Réglages Système → Confidentialité et sécurité → FileVault ; il vous sera demandé de choisir une méthode de récupération, soit votre compte iCloud, soit une clé de récupération, une chaîne de lettres et de chiffres qu’Apple génère pour vous.

Vous pouvez vérifier vous-même l’état de FileVault, sans rien changer, depuis Terminal :

Terminal

$ fdesetup status
FileVault is On.

Sécurité du démarrage : ce qui s’exécute avant macOS

FileVault protège les données une fois que macOS s’exécute. La sécurité du démarrage décide si le Mac exécutera macOS du tout, ou quelque chose qui a été altéré. Sur un Mac à puce Apple, cela est contrôlé par une politique de démarrage sécurisé à trois niveaux, documentée dans le guide Apple Platform Security.

Guide Apple Platform Security, « Startup Disk security policy control ».
Politique	Ce qu’elle fait
Sécurité maximale (par défaut)	Chaque démarrage exige une signature fraîche et spécifique au Mac de la part d’Apple, le même modèle utilisé sur iPhone et iPad. Elle est conçue pour empêcher qu’une version plus ancienne et vulnérable de macOS soit réinstallée pour attaquer le Mac.
Sécurité réduite	Accepte une signature Apple générale plutôt qu’une signature liée à ce Mac précis. Elle est nécessaire pour exécuter d’anciennes versions de macOS ou des extensions de noyau tierces, et résiste moins bien aux attaques par rétrogradation.
Sécurité permissive	Pour les utilisateurs qui acceptent un état bien moins sûr, comme l’exécution d’un noyau personnalisé. Elle ne peut être définie que depuis Terminal en recoveryOS, pas depuis l’utilitaire graphique de sécurité au démarrage, et désactiver la Protection de l’intégrité du système sur puce Apple exige d’abord de descendre à ce niveau.

Pour presque tout le monde, le bon réglage est celui par défaut : la Sécurité maximale. Il y a rarement une bonne raison pour qu’un Mac à utilisateur unique fonctionne en Sécurité réduite ou permissive, puisque les deux existent principalement pour prendre en charge des logiciels plus anciens ou du travail de développement au niveau du noyau. Pour voir ou changer la politique, redémarrez, appuyez sur le bouton d’alimentation et maintenez-le jusqu’à ce que « Chargement des options de démarrage » apparaisse, puis ouvrez l’utilitaire de sécurité au démarrage et authentifiez-vous en tant qu’administrateur.

Installation sécurisée

Une « installation sécurisée » est simplement une installation qui commence par l’installeur d’Apple lui-même, téléchargé via Mise à jour de logiciels ou depuis Apple, plutôt qu’une image disque ou un installeur obtenu ailleurs. Comme la Sécurité maximale lie une copie précise de macOS, signée par Apple, à votre Mac précis, installer depuis une source non vérifiée sape la même protection que cette leçon vient de décrire. La prochaine leçon de ce cours couvre comment maintenir cette installation elle-même à jour.

À retenir

Le Secure Enclave est un coprocesseur isolé qui génère et protège les clés de chiffrement utilisées pour protéger les données au repos et les données biométriques telles que Touch ID.
FileVault lie le chiffrement du disque à votre mot de passe de connexion ; stockez la clé de récupération séparément du Mac, car perdre les deux signifie une perte de données définitive.
`fdesetup status` indique l’état de FileVault sans rien changer.
Sur puce Apple, la Sécurité maximale est la politique de démarrage par défaut et recommandée ; les sécurités réduite et permissive existent pour des besoins de compatibilité et de développement, et la Sécurité permissive est requise avant de pouvoir désactiver le SIP.
Installez macOS uniquement depuis l’installeur d’Apple lui-même ; toute autre source sape la signature spécifique au Mac sur laquelle repose la Sécurité maximale.

Vérifiez vos connaissances

1. Que fait le Secure Enclave ?
- Il analyse les fichiers téléchargés à la recherche de logiciels malveillants
- C’est un coprocesseur isolé qui génère et protège les clés de chiffrement et les données biométriques — Exact.
- Il bloque les connexions réseau entrantes
- Il stocke votre mot de passe d’identifiant Apple en texte clair
Le Secure Enclave est un sous-système séparé et isolé dédié à la gestion des clés et des données biométriques, tenu à l’écart du processeur principal.
2. Que se passe-t-il si vous perdez à la fois votre mot de passe FileVault et votre clé de récupération ?
- Apple peut déverrouiller le disque à distance
- Les données deviennent définitivement inaccessibles — Exact.
- macOS revient automatiquement à l’absence de chiffrement
- Le Secure Enclave se réinitialise automatiquement
Apple indique clairement que perdre à la fois le mot de passe et la clé de récupération signifie que les données chiffrées ne peuvent pas être récupérées.
3. Sur un Mac à puce Apple, que faut-il faire avant de pouvoir désactiver la Protection de l’intégrité du système ?
- Rien de plus qu’un mot de passe administrateur
- Basculer la politique de démarrage vers la Sécurité permissive — Exact.
- Désactiver d’abord FileVault
- Démarrer depuis un disque externe
Le guide Apple Platform Security note que désactiver le SIP sur puce Apple exige d’abord de reconnaître et de descendre à la Sécurité permissive, puisque désactiver le SIP affaiblit toujours la protection du noyau.

À vous de jouer avec FireAI

Mettez cette leçon en pratique sur votre propre Mac.

Sources

Mettez-le en pratique sur votre Mac

Essayez toutes les fonctionnalités gratuitement pendant 17 jours, sans carte bancaire.

Télécharger pour Mac Docs