Защитите само устройство

Надёжный пароль на ваших аккаунтах мало чем поможет, если кто-то может просто забрать ноутбук и прочитать диск напрямую, или если на Mac стоит программное обеспечение многомесячной давности с исправлениями, которые так и не установили. Этот урок посвящён защите, которая живёт на самом устройстве — от диска до экрана блокировки.

FileVault: шифрование диска

FileVault шифрует загрузочный диск так, что его нельзя прочитать без пароля входа или ключа восстановления, даже если диск полностью извлечь из Mac. Apple объясняет: «если у вас Mac с чипом Apple silicon или чипом безопасности Apple T2, ваши данные шифруются автоматически. Включение FileVault обеспечивает дополнительный уровень защиты, не позволяя расшифровать данные или получить к ним доступ без ввода пароля входа». На Mac без Apple silicon и без чипа T2 FileVault нужно включить вручную, чтобы получить эту защиту вообще, и для этого требуются права администратора.

При включении вы выбираете, как разблокировать диск, если когда-нибудь забудете пароль входа: через Apple Account или через ключ восстановления, который вы записываете сами. Собственное предупреждение Apple прямолинейно: «Не забывайте ключ восстановления. Если вы включили FileVault, а затем забыли пароль входа и не можете его сбросить, а также забыли ключ восстановления, вы не сможете войти в систему, и ваши файлы и настройки будут утрачены навсегда». Храните этот ключ восстановления так же тщательно, как хранили бы физический ключ.

$ fdesetup status
FileVault is On.

Пароль входа, который того стоит

Защита FileVault надёжна ровно настолько, насколько трудно угадать пароль входа, который её охраняет. Те же рекомендации по паролям из предыдущего урока — длина важнее навязанной сложности, никакого повторного использования — применимы к аккаунту, под которым вы входите в систему каждое утро, ничуть не меньше, чем к любому аккаунту на сайте.

Снова об обновлениях

Предыдущий курс этого университета подробно рассматривает уязвимости и исправления; коротко для этого плана: раздел «Системные настройки» → «Основные» → «Обновление ПО» с включёнными автоматическими обновлениями — это не опция на выбор. Идеально настроенный Mac с устаревшим программным обеспечением по-прежнему несёт в себе каждую слабость, для которой Apple уже опубликовала исправление.

Find My: поиск и блокировка потерянного Mac

Если Mac потерян или украден, приложение Find My (Локатор) может найти его на карте, а Apple описывает пометку устройства как утерянного как действие, которое «блокирует его паролем или паролем Apple Account» и позволяет «показать сообщение, чтобы нашедший мог с вами связаться». Apple также отмечает, что для удалённого стирания данных, как правило, уже должна быть включена двухфакторная аутентификация; без неё стирание пришлось бы выполнять через iCloud.com. Настроить Find My заранее, до того как устройство пропадёт, а не после, — вот что делает его полезным.

Режим блокировки: для небольшого числа людей, которым он действительно нужен

Apple описывает режим блокировки как «опциональную, крайнюю меру защиты, рассчитанную на очень немногих людей, которые в силу того, кем они являются или чем занимаются, могут стать личной целью одних из самых изощрённых цифровых угроз. Большинство людей никогда не сталкивается с атаками такого рода». Его включение меняет поведение Mac: Apple перечисляет такие эффекты, как блокировка большинства типов вложений в Messages, блокировка определённых веб-технологий в Safari (что может нарушить работу некоторых сайтов), невозможность дозвониться неизвестным абонентам FaceTime и требование разблокировать Mac с явного подтверждения для подключения устройств. Это реальный компромисс в удобстве, уместный для того, чья модель угроз из первого урока этого курса действительно включает противника такого уровня, а не настройка по умолчанию для всех.