Sikker installasjon, oppstartssikkerhet og kryptering

Hvordan en Mac beskytter oppstartsprosessen og dataene på disken, og hvordan du sjekker FileVault, Secure Enclave og oppstartssikkerhet selv.

Før en konto opprettes eller en tjeneste slås av, er det to ting som avgjør hvor mye alt annet kan stoles på: om Mac-en bare starter programvare den kan bekrefte, og om dataene på disken er uleselige for noen uten passordet ditt. Begge er stort sett automatiske på en moderne Mac, men "automatisk" er verdt å sjekke i stedet for å anta.

Secure Enclave og krypteringsnøkler

Apple silisium Mac-er (og eldre Intel Mac-maskiner med T2-brikke) inkluderer en Secure Enclave: en separat koprosessor, isolert fra hovedprosessoren, med egen kryptert lagring. Apples sikkerhetsguide beskriver det som å administrere enhetens brukerdatakrypteringsnøkler og behandle biometriske data som Touch ID, slik at nøkkelmateriale aldri trenger å forlate Secure Enclave i en brukbar form. På disse Mac-ene genererer og beskytter Secure Enclave de kryptografiske nøklene som krypterer disken, og det er grunnen til at lagringskryptering er til stede "automatisk" i stedet for som et ekstrautstyr.

FileVault: passordet ditt er den andre halvdelen av nøkkelen

FileVault er innstillingen som knytter den automatiske krypteringen til påloggingspassordet ditt. Apple beskriver det som å gi "et ekstra lag med sikkerhet ved å hindre noen fra å dekryptere eller få tilgang til dataene dine uten å skrive inn påloggingspassordet ditt." Slå den på fra Systeminnstillinger → Personvern og sikkerhet → FileVault; du vil bli bedt om å velge en gjenopprettingsmetode, enten iCloud-kontoen din eller en gjenopprettingsnøkkel, en rekke bokstaver og tall som Apple genererer for deg.

Du kan sjekke FileVaults status selv, uten å endre noe, fra Terminal:

Terminal

$ fdesetup status
FileVault is On.

Oppstartssikkerhet: det som kjører før macOS gjør det

FileVault beskytter data når macOS kjører. Oppstartssikkerhet avgjør om Mac-en skal kjøre macOS i det hele tatt, eller noe som har blitt tuklet med. På en Mac med Apple-silisium styres dette av en sikker oppstartspolicy med tre nivåer, dokumentert i Apples plattformsikkerhetsguide.

Apple Platform Security-veiledning, "Sikkerhetspolicykontroll for oppstartsdisk".
Politikk	Hva den gjør
Full sikkerhet (standard)	Hver oppstart krever en fersk, Mac-spesifikk signatur fra Apple, samme modell som brukes på iPhone og iPad. Dette er laget for å stoppe en eldre, sårbar versjon av macOS fra å installeres på nytt for å angripe Mac.
Redusert sikkerhet	Godtar en generell Apple-signatur i stedet for en som er knyttet til denne spesifikke Mac-en. Det kreves for å kjøre eldre macOS-versjoner eller tredjeparts kjerneutvidelser, og er mindre motstandsdyktig mot tilbakeføringsangrep.
Permissiv sikkerhet	For brukere som godtar en mye mindre sikker tilstand, for eksempel å kjøre en tilpasset kjerne. Det kan bare stilles inn fra Terminal i recoveryOS, ikke fra det grafiske Startup Security Utility, og å slå av System Integrity Protection på Apple-silisium krever å gå ned til dette nivået først.

For nesten alle er den riktige innstillingen standard: Full sikkerhet. Det er sjelden en god grunn for en enkeltbruker-Mac å kjøre i redusert eller permissiv sikkerhet, siden begge eksisterer hovedsakelig for å støtte eldre programvare eller utviklingsarbeid på kjernenivå. For å se eller endre policyen, start på nytt, trykk og hold inne strømknappen til «Laster oppstartsalternativer» vises, åpne deretter Startup Security Utility og autentiser som administrator.

Sikker installasjon

En "sikker installasjon" er ganske enkelt en som starter fra Apples eget installasjonsprogram, lastet ned gjennom Programvareoppdatering eller fra Apple, i stedet for et diskbilde eller installeringsprogram hentet andre steder. Fordi Full sikkerhet knytter en spesifikk, Apple-signert kopi av macOS til din spesifikke Mac, undergraver installasjon fra en ubekreftet kilde den samme beskyttelsen som denne leksjonen nettopp er beskrevet. Den neste leksjonen i dette kurset tar for seg å holde selve installasjonen oppdatert.

Det viktigste

Secure Enclave er en isolert koprosessor som genererer og beskytter krypteringsnøklene som brukes til å beskytte data i hvile og biometriske data som Touch ID.
FileVault knytter diskkryptering til påloggingspassordet ditt; lagre gjenopprettingsnøkkelen separat fra Mac, siden å miste begge betyr permanent tap av data.
`fdesetup status` rapporterer FileVaults tilstand uten å endre noe.
På Apple silisium er Full sikkerhet standard og anbefalt oppstartspolicy; Redusert og Permissive Security eksisterer for kompatibilitet og utviklingsbehov, og Permissive Security kreves før SIP kan slås av.
Installer kun macOS fra Apples eget installasjonsprogram; alt annet undergraver den Mac-spesifikke signaturen som Full Security er avhengig av.

Test deg selv

1. Hva gjør Secure Enclave?
- Den skanner nedlastede filer for skadelig programvare
- Det er en isolert koprosessor som genererer og beskytter krypteringsnøkler og biometriske data — Riktig.
- Den blokkerer innkommende nettverkstilkoblinger
- Den lagrer passordet for Apple-kontoen din i ren tekst
Secure Enclave er et separat, isolert delsystem dedikert til nøkkeladministrasjon og biometriske data, holdt adskilt fra hovedprosessoren.
2. Hva skjer hvis du mister både FileVault-passordet og gjenopprettingsnøkkelen?
- Apple kan låse opp disken eksternt
- Dataene blir permanent utilgjengelige — Riktig.
- macOS faller tilbake til ingen kryptering
- Secure Enclave tilbakestiller seg selv automatisk
Apple sier tydelig at å miste både passordet og gjenopprettingsnøkkelen betyr at de krypterte dataene ikke kan gjenopprettes.
3. På en Apple Silicon Mac, hva kreves før System Integrity Protection kan slås av?
- Ingenting ekstra kreves utover et administratorpassord
- Bytter oppstartspolicyen til Permissive Security — Riktig.
- Deaktiver FileVault først
- Oppstart fra en ekstern stasjon
Apples plattformsikkerhetsguide bemerker at å slå av SIP på Apple-silisium krever bekreftelse og slipp til Permissive Security først, siden deaktivering av SIP alltid svekker kjernens beskyttelse.

Prøv det med FireAI

Sett denne leksjonen ut i praksis på din egen Mac.

Kilder

Ta det i bruk på din Mac

Prøv alle funksjonene gratis i 17 dager, uten kort.

Last ned for Mac Dokumentasjon