Instalação segura, segurança de arranque e encriptação

Como um Mac protege o processo de arranque e os dados em disco, e como verificar você mesmo o FileVault, o Secure Enclave e a segurança de arranque.

Antes de uma conta ser criada ou um serviço ser desligado, duas coisas decidem quanto se pode confiar em tudo o resto: se o Mac só arranca software que consegue verificar, e se os dados em disco são ilegíveis para quem não tiver a sua palavra-passe. Ambas são em grande parte automáticas num Mac moderno, mas "automático" vale a pena verificar em vez de assumir.

O Secure Enclave e as chaves de encriptação

Os Macs com Apple silicon (e os Macs Intel mais antigos com um chip T2) incluem um Secure Enclave: um coprocessador separado, isolado do processador principal, com o seu próprio armazenamento encriptado. O guia de segurança da Apple descreve-o como gerindo as chaves de encriptação dos dados de utilizador do dispositivo e processando dados biométricos como o Touch ID, de modo que o material de chave nunca precisa de sair do Secure Enclave de forma utilizável. Nestes Macs, o Secure Enclave gera e protege as chaves criptográficas que encriptam o disco, o que é o motivo pelo qual a encriptação de armazenamento está presente "automaticamente" em vez de ser um extra opcional.

FileVault: a sua palavra-passe é a outra metade da chave

O FileVault é a definição que liga essa encriptação automática à sua palavra-passe de início de sessão. A Apple descreve-o como fornecendo "uma camada extra de segurança ao impedir que alguém desencripte ou aceda aos seus dados sem introduzir a sua palavra-passe de início de sessão." Ative-o em Definições do Sistema → Privacidade e Segurança → FileVault; ser-lhe-á pedido que escolha um método de recuperação, ou a sua conta iCloud ou uma chave de recuperação, uma cadeia de letras e números que a Apple gera para si.

Pode verificar o estado do FileVault você mesmo, sem mudar nada, a partir do Terminal:

Terminal

$ fdesetup status
FileVault is On.

Segurança de arranque: o que corre antes do macOS

O FileVault protege os dados depois de o macOS estar a correr. A segurança de arranque decide se o Mac vai correr o macOS de todo, ou algo que foi adulterado. Num Mac com Apple silicon, isto é controlado por uma política de arranque seguro com três níveis, documentada no guia de Segurança da Plataforma da Apple.

Guia de Segurança da Plataforma Apple, "Controlo da política de segurança do disco de arranque".
Política	O que faz
Segurança Total (predefinida)	Cada arranque exige uma assinatura nova e específica deste Mac, assinada pela Apple, o mesmo modelo usado no iPhone e no iPad. Foi concebida para impedir que uma versão mais antiga e vulnerável do macOS seja reinstalada para atacar o Mac.
Segurança Reduzida	Aceita uma assinatura geral da Apple em vez de uma ligada a este Mac específico. É exigida para correr versões mais antigas do macOS ou extensões de kernel de terceiros, e é menos resistente a ataques de downgrade.
Segurança Permissiva	Para utilizadores que aceitam um estado muito menos seguro, como correr um kernel personalizado. Só pode ser definida a partir do Terminal no recoveryOS, não a partir do Utilitário de Segurança de Arranque gráfico, e desativar a Proteção da Integridade do Sistema em Apple silicon exige primeiro descer a este nível.

Para quase todos, a definição certa é a predefinida: Segurança Total. Raramente há um bom motivo para um Mac de um único utilizador correr em Segurança Reduzida ou Permissiva, já que ambas existem principalmente para suportar software mais antigo ou trabalho de desenvolvimento ao nível do kernel. Para ver ou mudar a política, reinicie, prima e mantenha premido o botão de ligar até aparecer "A carregar opções de arranque", depois abra o Utilitário de Segurança de Arranque e autentique-se como administrador.

Instalação segura

Uma "instalação segura" é simplesmente uma que começa a partir do próprio instalador da Apple, descarregado através da Atualização de Software ou da Apple, em vez de uma imagem de disco ou instalador obtido noutro lugar. Como a Segurança Total liga uma cópia específica do macOS, assinada pela Apple, ao seu Mac específico, instalar a partir de uma fonte não verificada compromete a mesma proteção que esta lição acabou de descrever. A próxima lição deste curso aborda manter essa própria instalação atualizada.

A reter

O Secure Enclave é um coprocessador isolado que gera e guarda as chaves de encriptação usadas para proteger os dados em repouso e dados biométricos como o Touch ID.
O FileVault liga a encriptação de disco à sua palavra-passe de início de sessão; guarde a chave de recuperação separadamente do Mac, já que perder ambas significa perda permanente de dados.
`fdesetup status` reporta o estado do FileVault sem mudar nada.
Em Apple silicon, a Segurança Total é a política de arranque predefinida e recomendada; a Segurança Reduzida e Permissiva existem para necessidades de compatibilidade e desenvolvimento, e a Segurança Permissiva é exigida antes de se poder desligar o SIP.
Instale o macOS só a partir do próprio instalador da Apple; qualquer outra coisa compromete a assinatura específica do Mac de que a Segurança Total depende.

Teste-se

1. O que faz o Secure Enclave?
- Analisa ficheiros descarregados à procura de software malicioso
- É um coprocessador isolado que gera e protege chaves de encriptação e dados biométricos — Certo.
- Bloqueia ligações de rede recebidas
- Guarda a palavra-passe da sua Conta Apple em texto simples
O Secure Enclave é um subsistema separado e isolado dedicado à gestão de chaves e dados biométricos, mantido à parte do processador principal.
2. O que acontece se perder tanto a sua palavra-passe do FileVault como a sua chave de recuperação?
- A Apple consegue desbloquear o disco remotamente
- Os dados tornam-se permanentemente inacessíveis — Certo.
- O macOS volta a não ter encriptação
- O Secure Enclave reinicia-se automaticamente
A Apple afirma claramente que perder tanto a palavra-passe como a chave de recuperação significa que os dados encriptados não podem ser recuperados.
3. Num Mac com Apple silicon, o que é exigido antes de a Proteção da Integridade do Sistema poder ser desligada?
- Nada mais além de uma palavra-passe de administrador
- Mudar a política de arranque para Segurança Permissiva — Certo.
- Desativar primeiro o FileVault
- Arrancar a partir de um disco externo
O guia de Segurança da Plataforma Apple nota que desligar o SIP em Apple silicon exige primeiro reconhecer e descer para a Segurança Permissiva, já que desativar o SIP enfraquece sempre a proteção do kernel.

Praticar com o FireAI

Ponha esta lição em prática no seu próprio Mac.

Fontes

Ponha em prática no seu Mac

Experimente todas as funcionalidades grátis durante 17 dias, sem cartão.

Transferir para Mac Docs