Installazione sicura, sicurezza di avvio e cifratura

Prima che venga creato un account o disattivato un servizio, due cose decidono quanto ci si possa fidare di tutto il resto: se il Mac avvia solo software che può verificare, e se i dati sul disco sono illeggibili per chiunque non abbia la tua password. Entrambe sono in gran parte automatiche su un Mac moderno, ma “automatico” vale la pena controllarlo invece di darlo per scontato.

Il Secure Enclave e le chiavi di cifratura

I Mac con Apple silicon (e i più vecchi Mac Intel con un chip T2) includono un Secure Enclave: un coprocessore separato, isolato dal processore principale, con la propria archiviazione cifrata. La guida sulla sicurezza di Apple lo descrive come gestore delle chiavi di cifratura dei dati utente del dispositivo e responsabile dell’elaborazione dei dati biometrici come Touch ID, così che il materiale delle chiavi non debba mai lasciare il Secure Enclave in una forma utilizzabile. Su questi Mac, il Secure Enclave genera e protegge le chiavi crittografiche che cifrano il disco, motivo per cui la cifratura dell’archiviazione è presente “automaticamente” invece che come opzione extra.

FileVault: la tua password è l’altra metà della chiave

FileVault è l’impostazione che lega quella cifratura automatica alla tua password di accesso. Apple la descrive come qualcosa che fornisce “un ulteriore livello di sicurezza impedendo a qualcuno di decifrare o ottenere l’accesso ai tuoi dati senza inserire la tua password di accesso.” Attivala da Impostazioni di Sistema → Privacy e sicurezza → FileVault; ti verrà chiesto di scegliere un metodo di recupero, o il tuo account iCloud o una chiave di recupero, una stringa di lettere e numeri generata da Apple per te.

Puoi controllare tu stesso lo stato di FileVault, senza cambiare nulla, dal Terminale:

$ fdesetup status
FileVault is On.

Sicurezza di avvio: cosa viene eseguito prima di macOS

FileVault protegge i dati una volta che macOS è in esecuzione. La sicurezza di avvio decide se il Mac eseguirà affatto macOS, o qualcosa che è stato manomesso. Su un Mac con Apple silicon, questo è controllato da una politica di avvio sicuro con tre livelli, documentata nella guida sulla sicurezza della piattaforma di Apple.

Per quasi tutti, l’impostazione giusta è quella predefinita: Massima sicurezza. C’è raramente un buon motivo perché un Mac a utente singolo funzioni in Sicurezza ridotta o permissiva, poiché entrambe esistono principalmente per supportare software più vecchio o lavoro di sviluppo a livello kernel. Per visualizzare o cambiare la politica, riavvia, tieni premuto il pulsante di accensione finché non appare “Caricamento opzioni di avvio”, poi apri l’Utility di sicurezza avvio e autenticati come amministratore.

Installazione sicura

Un’“installazione sicura” è semplicemente una che parte dal programma di installazione proprio di Apple, scaricato tramite Aggiornamento Software o da Apple, invece che da un’immagine disco o un installer ottenuto altrove. Poiché la Massima sicurezza lega una copia specifica di macOS, firmata da Apple, al tuo Mac specifico, installare da una fonte non verificata mina la stessa protezione appena descritta in questa lezione. La prossima lezione di questo corso tratta come mantenere aggiornata quella stessa installazione.