Proteja o próprio dispositivo

Uma palavra-passe forte nas suas contas de pouco serve se alguém conseguir simplesmente levar o portátil e ler o disco diretamente, ou se o Mac estiver a correr software com meses de atraso e correções que nunca instalou. Esta lição aborda as proteções que vivem no próprio dispositivo, do disco ao ecrã de bloqueio.

FileVault: encriptar o disco

O FileVault encripta o seu disco de arranque para que não possa ser lido sem a sua palavra-passe de início de sessão ou chave de recuperação, mesmo que o disco seja removido do Mac por completo. A Apple explica que "se tiver um Mac com Apple silicon ou um chip de segurança Apple T2, os seus dados são encriptados automaticamente. Ativar o FileVault fornece uma camada extra de segurança ao impedir que alguém desencripte ou aceda aos seus dados sem introduzir a sua palavra-passe de início de sessão." Num Mac sem Apple silicon nem chip T2, o FileVault tem de ser ativado manualmente para sequer obter essa proteção, e exige que um administrador o configure.

Quando o ativa, escolhe como desbloquear o disco caso alguma vez esqueça a sua palavra-passe de início de sessão: com a sua Conta Apple, ou com uma chave de recuperação que anote você mesmo. O aviso da própria Apple é direto: "não esqueça a sua chave de recuperação. Se ativar o FileVault e depois esquecer a sua palavra-passe de início de sessão e não conseguir repô-la, e também esquecer a sua chave de recuperação, não vai conseguir iniciar sessão, e os seus ficheiros e definições ficarão perdidos para sempre." Guarde essa chave de recuperação com tanto cuidado quanto guardaria uma chave física.

$ fdesetup status
FileVault is On.

Uma palavra-passe de início de sessão à altura do nome

A proteção do FileVault só se mantém se a palavra-passe de início de sessão que a guarda não for trivial de adivinhar. A mesma orientação sobre palavras-passe da lição anterior — comprimento em vez de complexidade forçada, sem reutilização — aplica-se tanto à conta com que inicia sessão todas as manhãs como a qualquer conta de site.

Manter-se atualizado, outra vez

O curso anterior desta universidade aborda vulnerabilidades e correções em profundidade; a versão curta para este plano é que Definições do Sistema > Geral > Atualização de Software, com as atualizações automáticas ativadas, não é opcional. Um Mac perfeitamente configurado mas a correr software desatualizado continua a carregar todas as fraquezas para as quais a Apple já publicou uma correção.

O Encontrar: localizar e bloquear um Mac perdido

Se um Mac se perder ou for roubado, o Encontrar consegue localizá-lo num mapa, e a Apple descreve marcá-lo como perdido como algo que "o bloqueia com um código ou a palavra-passe da sua Conta Apple" e lhe permite "mostrar uma mensagem para que outros o possam contactar se encontrarem o seu dispositivo." A Apple também nota que a limpeza remota normalmente exige que a autenticação de dois fatores já esteja ativada; sem ela, teria de limpar o dispositivo através do iCloud.com. Configurar o Encontrar antes de um dispositivo desaparecer, e não depois, é o que o torna útil.

Modo de Bloqueio: para o pequeno número de pessoas que precisa dele

A Apple descreve o Modo de Bloqueio como "uma proteção opcional e extrema, concebida para os poucos indivíduos que, por causa de quem são ou do que fazem, podem ser pessoalmente visados por algumas das ameaças digitais mais sofisticadas. A maioria das pessoas nunca é visada por ataques desta natureza." Ativá-lo muda o comportamento do Mac: a Apple lista efeitos que incluem a maioria dos tipos de anexo do Mensagens serem bloqueados, certas tecnologias web serem bloqueadas no Safari (o que pode quebrar alguns sites), chamadas do FaceTime de desconhecidos não conseguirem chegar até si, e as ligações de dispositivos exigirem que o Mac esteja desbloqueado com aprovação explícita. É uma contrapartida real em conveniência, apropriada para alguém cuja modelação de ameaças, da primeira lição deste curso, inclua genuinamente esse nível de adversário, não uma definição predefinida para todos.