Instalação segura, segurança de inicialização e criptografia

Como um Mac protege o processo de inicialização e os dados no disco, e como você mesmo pode verificar o FileVault, o Secure Enclave e a segurança de inicialização.

Antes que uma conta seja criada ou um serviço desativado, duas coisas decidem o quanto tudo mais pode ser confiável: se o Mac só inicia software que consegue verificar, e se os dados no disco ficam ilegíveis para qualquer um sem sua senha. As duas são, em grande parte, automáticas em um Mac moderno, mas "automático" vale a pena verificar, não apenas presumir.

O Secure Enclave e as chaves de criptografia

Macs com Apple silicon (e Macs Intel mais antigos com chip T2) incluem um Secure Enclave: um coprocessador separado, isolado do processador principal, com seu próprio armazenamento criptografado. O guia de segurança da Apple o descreve como responsável por gerenciar as chaves de criptografia dos dados do usuário do dispositivo e processar dados biométricos, como o Touch ID, de modo que o material da chave nunca precise sair do Secure Enclave em uma forma utilizável. Nesses Macs, o Secure Enclave gera e protege as chaves criptográficas que criptografam o disco, e é por isso que a criptografia de armazenamento está presente "automaticamente", em vez de ser um extra opcional.

FileVault: sua senha é a outra metade da chave

O FileVault é a configuração que liga essa criptografia automática à sua senha de login. A Apple o descreve como fornecendo "uma camada extra de segurança, impedindo que alguém descriptografe ou acesse seus dados sem digitar sua senha de login". Ative-o em Ajustes do Sistema → Privacidade e Segurança → FileVault; você será solicitado a escolher um método de recuperação, sua conta iCloud ou uma chave de recuperação, uma sequência de letras e números gerada pela Apple para você.

Você pode verificar o status do FileVault sozinho, sem mudar nada, pelo Terminal:

Terminal

$ fdesetup status
FileVault is On.

Segurança de inicialização: o que roda antes do macOS

O FileVault protege os dados uma vez que o macOS está rodando. A segurança de inicialização decide se o Mac vai rodar o macOS, ou algo que foi adulterado. Em um Mac com Apple silicon, isso é controlado por uma política de inicialização segura com três níveis, documentada no guia de Segurança da Plataforma da Apple.

Guia de Segurança da Plataforma da Apple, "Controle de política de segurança do Disco de Inicialização".
Política	O que faz
Segurança Total (padrão)	Toda inicialização exige uma assinatura nova e específica desse Mac, vinda da Apple, o mesmo modelo usado no iPhone e no iPad. Isso foi projetado para impedir que uma versão mais antiga e vulnerável do macOS seja reinstalada para atacar o Mac.
Segurança Reduzida	Aceita uma assinatura geral da Apple, em vez de uma vinculada a esse Mac específico. É exigida para rodar versões mais antigas do macOS ou extensões de kernel de terceiros, e é menos resistente a ataques de reversão.
Segurança Permissiva	Para usuários que aceitam um estado bem menos seguro, como rodar um kernel personalizado. Só pode ser definida pelo Terminal no recoveryOS, não pelo Utilitário de Segurança de Inicialização gráfico, e desativar a Proteção de Integridade do Sistema em Apple silicon exige antes descer para esse nível.

Para quase todo mundo, a configuração certa é o padrão: Segurança Total. Raramente existe um bom motivo para um Mac de um único usuário rodar em Segurança Reduzida ou Permissiva, já que ambas existem principalmente para dar suporte a software mais antigo ou trabalho de desenvolvimento em nível de kernel. Para ver ou mudar a política, reinicie, pressione e segure o botão de força até aparecer "Carregando opções de inicialização", depois abra o Utilitário de Segurança de Inicialização e se autentique como administrador.

Instalação segura

Uma "instalação segura" é simplesmente uma que começa a partir do próprio instalador da Apple, baixado pela Atualização de Software ou pela Apple, em vez de uma imagem de disco ou instalador obtido em outro lugar. Como a Segurança Total vincula uma cópia específica do macOS, assinada pela Apple, ao seu Mac específico, instalar de uma fonte não verificada compromete a mesma proteção que esta aula acabou de descrever. A próxima aula deste curso cobre como manter essa própria instalação atualizada.

Para lembrar

O Secure Enclave é um coprocessador isolado que gera e guarda as chaves de criptografia usadas para proteger dados em repouso e dados biométricos, como o Touch ID.
O FileVault vincula a criptografia do disco à sua senha de login; guarde a chave de recuperação separada do Mac, já que perder as duas significa perda permanente de dados.
`fdesetup status` informa o estado do FileVault sem mudar nada.
Em Apple silicon, a Segurança Total é a política de inicialização padrão e recomendada; a Segurança Reduzida e a Permissiva existem para necessidades de compatibilidade e desenvolvimento, e a Segurança Permissiva é exigida antes que a SIP possa ser desativada.
Instale o macOS só a partir do próprio instalador da Apple; qualquer outra coisa compromete a assinatura específica do Mac da qual a Segurança Total depende.

Teste seus conhecimentos

1. O que o Secure Enclave faz?
- Ele escaneia arquivos baixados em busca de software malicioso
- É um coprocessador isolado que gera e protege chaves de criptografia e dados biométricos — Certo.
- Ele bloqueia conexões de rede de entrada
- Ele armazena a senha da sua conta Apple em texto simples
O Secure Enclave é um subsistema separado e isolado dedicado ao gerenciamento de chaves e a dados biométricos, mantido à parte do processador principal.
2. O que acontece se você perder tanto sua senha do FileVault quanto sua chave de recuperação?
- A Apple consegue destravar o disco remotamente
- Os dados ficam permanentemente inacessíveis — Certo.
- O macOS volta a não ter criptografia
- O Secure Enclave se redefine automaticamente
A Apple afirma claramente que perder tanto a senha quanto a chave de recuperação significa que os dados criptografados não podem ser recuperados.
3. Em um Mac com Apple silicon, o que é exigido antes que a Proteção de Integridade do Sistema possa ser desativada?
- Nada além de uma senha de administrador
- Mudar a política de inicialização para Segurança Permissiva — Certo.
- Desativar o FileVault primeiro
- Inicializar a partir de um disco externo
O guia de Segurança da Plataforma da Apple observa que desativar a SIP em Apple silicon exige reconhecer e descer para a Segurança Permissiva primeiro, já que desativar a SIP sempre enfraquece a proteção do kernel.

Praticar com o FireAI

Coloque esta lição em prática no seu próprio Mac.

Fontes

Coloque em prática no seu Mac

Teste todos os recursos grátis por 17 dias, sem cartão.

Baixar para Mac Docs