Безопасная установка, защита загрузки и шифрование

Ещё до создания учётной записи или отключения службы два фактора определяют, насколько можно доверять всему остальному: запускает ли Mac только то программное обеспечение, которое он может проверить, и остаются ли данные на диске нечитаемыми для всех, кроме вас, знающих пароль. Оба фактора в основном работают автоматически на современном Mac, но «автоматически» стоит проверить, а не просто принимать на веру.

Secure Enclave и ключи шифрования

Mac на Apple silicon (и более старые Intel-модели с чипом T2) содержат Secure Enclave — отдельный сопроцессор, изолированный от основного процессора, с собственным зашифрованным хранилищем. В руководстве по безопасности Apple описывает его как компонент, который управляет ключами шифрования пользовательских данных устройства и обрабатывает биометрические данные, такие как Touch ID, — так что материал ключей никогда не покидает Secure Enclave в пригодном для использования виде. На таких Mac Secure Enclave создаёт и защищает криптографические ключи, шифрующие диск, — именно поэтому шифрование хранилища присутствует «автоматически», а не как дополнительная опция.

FileVault: ваш пароль — вторая половина ключа

FileVault — это настройка, которая связывает автоматическое шифрование с вашим паролем для входа. Apple описывает её как обеспечивающую «дополнительный уровень защиты, не позволяя кому-либо расшифровать ваши данные или получить к ним доступ без ввода вашего пароля для входа». Включите её в Системных настройках → Конфиденциальность и безопасность → FileVault; вам предложат выбрать способ восстановления — либо через учётную запись iCloud, либо с помощью ключа восстановления, строки из букв и цифр, которую генерирует Apple.

Проверить статус FileVault можно самостоятельно, ничего не меняя, через Терминал:

$ fdesetup status
FileVault is On.

Защита загрузки: что запускается до macOS

FileVault защищает данные, когда macOS уже работает. Защита загрузки определяет, запустит ли Mac вообще macOS — или что-то, во что вмешались. На Mac с Apple silicon за это отвечает политика безопасной загрузки с тремя уровнями, описанная в руководстве Apple по безопасности платформы.

Почти для всех правильная настройка — это значение по умолчанию: Полная защита. Для Mac с одним пользователем редко находится веская причина работать в режиме Сниженной или Разрешительной защиты, поскольку оба существуют в основном для поддержки старого программного обеспечения или разработки на уровне ядра. Чтобы посмотреть или изменить политику, перезапустите Mac, нажмите и удерживайте кнопку питания до появления надписи «Загрузка параметров запуска», затем откройте утилиту защиты загрузки и войдите как администратор.

Безопасная установка

«Безопасная установка» — это просто установка, которая начинается с собственного установщика Apple, загруженного через «Обновление ПО» или с сайта Apple, а не с образа диска или установщика, полученного откуда-то ещё. Поскольку Полная защита привязывает конкретную, подписанную Apple копию macOS к вашему конкретному Mac, установка из непроверенного источника подрывает ту же защиту, которая только что была описана в этом уроке. Следующий урок этого курса посвящён тому, как поддерживать саму эту установку в актуальном состоянии.