Säker installation, startsäkerhet och kryptering

Hur en Mac skyddar startprocessen och data på disken, och hur du själv kontrollerar FileVault, Secure Enclave och startsäkerhet.

Innan ett konto skapas eller en tjänst stängs av är det två saker som avgör hur mycket allt annat kan litas på: om Mac bara startar programvara kan den verifiera, och om data på disken är oläsbar för någon utan ditt lösenord. Båda är till stor del automatiska på en modern Mac, men "automatisk" är värt att kontrollera snarare än att anta.

Secure Enclave och krypteringsnycklar

Apple silicon Mac-datorer (och äldre Intel Mac-datorer med ett T2-chip) inkluderar en Secure Enclave: en separat samprocessor, isolerad från huvudprocessorn, med egen krypterad lagring. Apples säkerhetsguide beskriver det som att hantera enhetens användardatakrypteringsnycklar och bearbeta biometriska data som Touch ID, så att nyckelmaterial aldrig behöver lämna Secure Enclave i en användbar form. På dessa Mac-datorer genererar och skyddar Secure Enclave de kryptografiska nycklarna som krypterar disken, vilket är anledningen till att lagringskryptering finns "automatiskt" snarare än som tillval.

FileVault: ditt lösenord är den andra hälften av nyckeln

FileVault är inställningen som kopplar den automatiska krypteringen till ditt inloggningslösenord. Apple beskriver det som att det ger "ett extra lager av säkerhet genom att hindra någon från att dekryptera eller få tillgång till dina data utan att ange ditt inloggningslösenord." Slå på den från Systeminställningar → Sekretess och säkerhet → FileVault; du kommer att bli ombedd att välja en återställningsmetod, antingen ditt iCloud-konto eller en återställningsnyckel, en rad bokstäver och siffror som Apple genererar åt dig.

Du kan själv kontrollera FileVaults status, utan att ändra något, från Terminal:

Terminal

$ fdesetup status
FileVault is On.

Startsäkerhet: det som körs innan macOS gör det

FileVault skyddar data när macOS körs. Startsäkerhet avgör om Mac-datorn överhuvudtaget ska köra macOS eller något som har manipulerats. På en Mac med Apple-kisel styrs detta av en säker startpolicy med tre nivåer, dokumenterad i Apples Platform Security-guide.

Apple Platform Security Guide, "Startdiskens säkerhetspolicykontroll".
Politik	Vad den gör
Full säkerhet (standard)	Varje start kräver en ny, Mac-specifik signatur från Apple, samma modell som används på iPhone och iPad. Detta är utformat för att förhindra att en äldre, sårbar version av macOS installeras om för att attackera Mac.
Minskad säkerhet	Accepterar en allmän Apple-signatur snarare än en som är knuten till denna specifika Mac. Det krävs för att köra äldre macOS-versioner eller kärntillägg från tredje part och är mindre motståndskraftig mot återställningsattacker.
Tillåtande säkerhet	För användare som accepterar ett mycket mindre säkert tillstånd, som att köra en anpassad kärna. Det kan bara ställas in från Terminal i recoveryOS, inte från det grafiska Startup Security Utility, och för att stänga av System Integrity Protection på Apple silicon måste du sjunka till denna nivå först.

För nästan alla är den rätta inställningen standard: Full säkerhet. Det finns sällan en bra anledning för en enanvändar-Mac att köra i Reduced eller Permissive Security, eftersom båda existerar huvudsakligen för att stödja äldre mjukvara eller utvecklingsarbete på kärnnivå. För att visa eller ändra policyn, starta om, tryck och håll ned strömknappen tills "Ladar startalternativ" visas, öppna sedan Startup Security Utility och autentisera som administratör.

Säker installation

En "säker installation" är helt enkelt en som startar från Apples eget installationsprogram, nedladdat via Programuppdatering eller från Apple, snarare än en diskavbildning eller installationsprogram som erhållits någon annanstans. Eftersom Full Security knyter en specifik, Apple-signerad kopia av macOS till din specifika Mac, undergräver installation från en overifierad källa samma skydd som den här lektionen beskrev. Nästa lektion i den här kursen handlar om att hålla själva installationen uppdaterad.

Viktigt att minnas

Secure Enclave är en isolerad samprocessor som genererar och skyddar de krypteringsnycklar som används för att skydda data i vila och biometriska data som Touch ID.
FileVault knyter diskkryptering till ditt inloggningslösenord; lagra återställningsnyckeln separat från Mac, eftersom att förlora båda innebär permanent dataförlust.
`fdesetup status` rapporterar FileVaults tillstånd utan att ändra något.
På Apple silicon är Full Security standard och rekommenderad startpolicy; Reducerad och tillåtande säkerhet finns för kompatibilitets- och utvecklingsbehov, och tillåtande säkerhet krävs innan SIP kan stängas av.
Installera endast macOS från Apples eget installationsprogram; allt annat undergräver den Mac-specifika signaturen som Full Security förlitar sig på.

Testa dig själv

1. Vad gör Secure Enclave?
- Den skannar nedladdade filer efter skadlig programvara
- Det är en isolerad samprocessor som genererar och skyddar krypteringsnycklar och biometrisk data — Rätt.
- Den blockerar inkommande nätverksanslutningar
- Den lagrar ditt Apple-kontolösenord i vanlig text
Secure Enclave är ett separat, isolerat delsystem dedikerat till nyckelhantering och biometriska data, hålls åtskilda från huvudprocessorn.
2. Vad händer om du förlorar både ditt FileVault-lösenord och din återställningsnyckel?
- Apple kan låsa upp disken på distans
- Uppgifterna blir permanent otillgängliga — Rätt.
- macOS faller tillbaka till ingen kryptering
- Secure Enclave återställer sig automatiskt
Apple säger klart och tydligt att förlust av både lösenordet och återställningsnyckeln innebär att den krypterade informationen inte kan återställas.
3. Vad krävs på en Apple Silicon Mac innan System Integrity Protection kan stängas av?
- Inget extra krävs utöver ett administratörslösenord
- Byt startpolicy till Permissive Security — Rätt.
- Inaktiverar FileVault först
- Startar från en extern enhet
Apples plattformssäkerhetsguide noterar att för att stänga av SIP på Apple-kisel krävs att man bekräftar och släpper till Permissive Security först, eftersom inaktivering av SIP alltid försvagar kärnans skydd.

Testa det med FireAI

Omsätt den här lektionen i praktiken på din egen Mac.

Källor

Omsätt det på din Mac

Prova alla funktioner gratis i 17 dagar, inget kort behövs.

Ladda ner för Mac Dokumentation