Bezpieczna instalacja, bezpieczeństwo uruchamiania i szyfrowanie

Jak Mac chroni proces rozruchu i dane na dysku oraz jak samodzielnie sprawdzić FileVault, Secure Enclave i bezpieczeństwo uruchamiania.

Zanim powstanie konto lub zostanie wyłączona usługa, dwie rzeczy decydują o tym, na ile można ufać wszystkiemu innemu: czy Mac uruchamia wyłącznie oprogramowanie, które potrafi zweryfikować, oraz czy dane na dysku są nieczytelne dla kogokolwiek bez twojego hasła. Oba te elementy działają w dużej mierze automatycznie na nowoczesnym Macu, ale „automatycznie” warto sprawdzić, a nie po prostu założyć.

Secure Enclave i klucze szyfrujące

Maki z chipem Apple (oraz starsze Maki z Intelem wyposażone w chip T2) zawierają Secure Enclave: oddzielny koprocesor, odizolowany od głównego procesora, z własną zaszyfrowaną pamięcią. Przewodnik bezpieczeństwa Apple opisuje go jako element zarządzający kluczami szyfrowania danych użytkownika i przetwarzający dane biometryczne, takie jak Touch ID, dzięki czemu materiał kluczowy nigdy nie musi opuszczać Secure Enclave w formie nadającej się do użycia. Na tych Makach Secure Enclave generuje i chroni klucze kryptograficzne szyfrujące dysk, dlatego szyfrowanie pamięci masowej jest obecne „automatycznie”, a nie jako opcjonalny dodatek.

FileVault: twoje hasło to druga połowa klucza

FileVault to ustawienie, które łączy to automatyczne szyfrowanie z twoim hasłem logowania. Apple opisuje je jako zapewniające „dodatkową warstwę bezpieczeństwa, uniemożliwiając komukolwiek odszyfrowanie danych lub uzyskanie do nich dostępu bez wpisania hasła logowania”. Włączysz je w Ustawieniach systemowych → Prywatność i bezpieczeństwo → FileVault; zostaniesz poproszony o wybór metody odzyskiwania: konta iCloud albo klucza odzyskiwania, czyli ciągu liter i cyfr wygenerowanego przez Apple.

Stan FileVault możesz sprawdzić samodzielnie, bez wprowadzania żadnych zmian, w Terminalu:

Terminal

$ fdesetup status
FileVault is On.

Bezpieczeństwo uruchamiania: co działa, zanim uruchomi się macOS

FileVault chroni dane, gdy macOS już działa. Bezpieczeństwo uruchamiania decyduje o tym, czy Mac w ogóle uruchomi macOS, czy coś, co zostało zmodyfikowane. Na Macu z chipem Apple kontroluje to zabezpieczona polityka rozruchu z trzema poziomami, opisana w przewodniku bezpieczeństwa platformy Apple.

Przewodnik bezpieczeństwa platformy Apple, „Kontrola polityki bezpieczeństwa dysku startowego”.
Polityka	Co robi
Pełne zabezpieczenie (domyślne)	Każde uruchomienie wymaga świeżego, właściwego dla danego Maca podpisu od Apple, tego samego modelu, jaki stosuje się w iPhonie i iPadzie. Ma to uniemożliwić ponowną instalację starszej, podatnej wersji macOS w celu zaatakowania Maca.
Zmniejszone zabezpieczenie	Akceptuje ogólny podpis Apple zamiast podpisu przypisanego do konkretnego Maca. Jest wymagane do uruchamiania starszych wersji macOS lub zewnętrznych rozszerzeń jądra i jest mniej odporne na ataki typu rollback.
Brak ograniczeń zabezpieczeń	Dla użytkowników akceptujących znacznie mniej bezpieczny stan, na przykład uruchamianie niestandardowego jądra. Można go ustawić wyłącznie w Terminalu w recoveryOS, a nie z poziomu graficznego narzędzia Startup Security Utility, a wyłączenie System Integrity Protection na chipie Apple wymaga wcześniejszego przejścia na ten poziom.

Dla niemal każdego właściwym ustawieniem jest wartość domyślna: Pełne zabezpieczenie. Rzadko istnieje dobry powód, by Mac używany przez jedną osobę działał ze Zmniejszonym zabezpieczeniem lub Brakiem ograniczeń zabezpieczeń, ponieważ oba te tryby istnieją głównie po to, by wspierać starsze oprogramowanie lub prace deweloperskie na poziomie jądra. Aby zobaczyć lub zmienić tę politykę, uruchom ponownie Maca, przytrzymaj przycisk zasilania, aż pojawi się „Wczytywanie opcji uruchamiania”, a następnie otwórz Startup Security Utility i uwierzytelnij się jako administrator.

Bezpieczna instalacja

„Bezpieczna instalacja” to po prostu taka, która zaczyna się od instalatora samego Apple, pobranego przez Aktualizację oprogramowania lub bezpośrednio od Apple, a nie od obrazu dysku lub instalatora pozyskanego skądinąd. Ponieważ Pełne zabezpieczenie wiąże konkretną, podpisaną przez Apple kopię macOS z konkretnym Makiem, instalacja z niezweryfikowanego źródła podważa dokładnie tę ochronę, która została właśnie opisana w tej lekcji. Kolejna lekcja tego kursu omawia utrzymywanie tej instalacji w aktualnej wersji.

Najważniejsze

Secure Enclave to odizolowany koprocesor, który generuje i chroni klucze szyfrujące używane do ochrony przechowywanych danych oraz danych biometrycznych, takich jak Touch ID.
FileVault wiąże szyfrowanie dysku z twoim hasłem logowania; przechowuj klucz odzyskiwania osobno od Maca, ponieważ utrata obu oznacza trwałą utratę danych.
`fdesetup status` pokazuje stan FileVault bez wprowadzania żadnych zmian.
Na chipie Apple domyślną i zalecaną polityką uruchamiania jest Pełne zabezpieczenie; Zmniejszone zabezpieczenie i Brak ograniczeń zabezpieczeń istnieją ze względu na zgodność i potrzeby deweloperskie, a Brak ograniczeń zabezpieczeń jest wymagany, zanim będzie można wyłączyć SIP.
Instaluj macOS wyłącznie z instalatora samego Apple; cokolwiek innego podważa właściwy dla danego Maca podpis, na którym opiera się Pełne zabezpieczenie.

Sprawdź się

1. Co robi Secure Enclave?
- Skanuje pobrane pliki w poszukiwaniu szkodliwego oprogramowania
- Jest odizolowanym koprocesorem, który generuje i chroni klucze szyfrujące oraz dane biometryczne — Dobrze.
- Blokuje przychodzące połączenia sieciowe
- Przechowuje hasło do konta Apple w postaci jawnego tekstu
Secure Enclave to oddzielny, odizolowany podsystem poświęcony zarządzaniu kluczami i danymi biometrycznymi, trzymany z dala od głównego procesora.
2. Co się dzieje, gdy zgubisz zarówno hasło FileVault, jak i klucz odzyskiwania?
- Apple może zdalnie odblokować dysk
- Dane stają się trwale niedostępne — Dobrze.
- macOS przełącza się z powrotem na brak szyfrowania
- Secure Enclave resetuje się automatycznie
Apple wprost stwierdza, że utrata zarówno hasła, jak i klucza odzyskiwania oznacza, że zaszyfrowanych danych nie da się odzyskać.
3. Na Macu z chipem Apple, co jest wymagane, zanim będzie można wyłączyć System Integrity Protection?
- Nic ponad hasło administratora
- Przełączenie polityki uruchamiania na Brak ograniczeń zabezpieczeń — Dobrze.
- Wcześniejsze wyłączenie FileVault
- Uruchomienie z dysku zewnętrznego
Przewodnik bezpieczeństwa platformy Apple zaznacza, że wyłączenie SIP na chipie Apple wymaga wcześniejszego potwierdzenia i przejścia na poziom Brak ograniczeń zabezpieczeń, ponieważ wyłączenie SIP zawsze osłabia ochronę jądra.

Wypróbuj to z FireAI

Zastosuj tę lekcję w praktyce na swoim Macu.

Źródła

Zastosuj to na swoim Macu

Wypróbuj wszystkie funkcje za darmo przez 17 dni, bez karty.

Pobierz na Maca Dokumentacja