Proteja o próprio dispositivo

Uma senha forte nas suas contas não adianta muito se alguém simplesmente conseguir pegar o notebook e ler o disco diretamente, ou se o Mac estiver rodando um software de meses atrás com correções que nunca foram instaladas. Esta aula cobre as proteções que vivem no próprio dispositivo, do disco à tela de bloqueio.

FileVault: criptografando o disco

O FileVault criptografa seu disco de inicialização para que não possa ser lido sem sua senha de login ou chave de recuperação, mesmo que o disco seja removido do Mac por completo. A Apple explica que "se você tem um Mac com chip Apple silicon ou um chip de segurança Apple T2, seus dados são criptografados automaticamente. Ativar o FileVault fornece uma camada extra de segurança, impedindo que alguém descriptografe ou acesse seus dados sem digitar sua senha de login". Em um Mac sem chip Apple silicon ou T2, o FileVault precisa ser ativado manualmente para ter essa proteção, e isso exige um administrador para configurar.

Quando você o ativa, escolhe como destravar o disco caso esqueça sua senha de login: com sua conta Apple, ou com uma chave de recuperação que você mesmo anota. O aviso da própria Apple é direto: "não esqueça sua chave de recuperação. Se você ativar o FileVault e depois esquecer sua senha de login e não conseguir redefini-la, e também esquecer sua chave de recuperação, você não conseguirá fazer login, e seus arquivos e configurações serão perdidos para sempre". Guarde essa chave de recuperação com o mesmo cuidado que você teria com uma chave física.

$ fdesetup status
FileVault is On.

Uma senha de login que mereça esse nome

A proteção do FileVault só se sustenta se a senha de login que a guarda não for trivial de adivinhar. A mesma orientação de senhas da aula anterior, comprimento em vez de complexidade forçada, sem reutilização, se aplica tanto à conta com a qual você faz login toda manhã quanto a qualquer conta de site.

Manter-se atualizado, de novo

O curso anterior desta universidade cobre vulnerabilidades e correções em profundidade; a versão curta para este plano é que Ajustes do Sistema > Geral > Atualização de Software, com as atualizações automáticas ativadas, não é opcional. Um Mac perfeitamente configurado rodando software desatualizado ainda carrega toda fraqueza para a qual a Apple já publicou uma correção.

Find My: localizando e bloqueando um Mac perdido

Se um Mac é perdido ou roubado, o Find My consegue localizá-lo em um mapa, e a Apple descreve marcá-lo como perdido como algo que "o bloqueia com uma senha numérica ou a senha da sua conta Apple" e permite que você "exiba uma mensagem para que outras pessoas possam entrar em contato com você caso encontrem seu dispositivo". A Apple também observa que apagar remotamente geralmente exige que a autenticação de dois fatores já esteja ativada; sem ela, você precisaria apagar o dispositivo pelo iCloud.com. Configurar o Find My antes de um dispositivo sumir, não depois, é o que o torna útil.

Modo de Isolamento: para o pequeno número de pessoas que precisam dele

A Apple descreve o Modo de Isolamento como "uma proteção opcional e extrema, projetada para o pequeníssimo número de indivíduos que, por causa de quem são ou do que fazem, podem ser pessoalmente alvo de algumas das mais sofisticadas ameaças digitais. A maioria das pessoas nunca é alvo de ataques desse tipo". Ativá-lo muda o comportamento do Mac: a Apple lista efeitos, incluindo que a maioria dos tipos de anexo do Mensagens fica bloqueada, certas tecnologias web ficam bloqueadas no Safari (o que pode quebrar alguns sites), chamadas desconhecidas do FaceTime não conseguem chegar até você, e as conexões de dispositivos exigem que o Mac seja desbloqueado com aprovação explícita. É uma troca real em conveniência, apropriada para alguém cujo modelo de ameaças, da primeira aula deste curso, genuinamente inclui esse nível de adversário, não uma configuração padrão para todo mundo.