HisnLabsDers 2 / 5 · 9 dk
Güvenli kurulum, başlangıç güvenliği ve şifreleme
Bir Mac’in önyükleme sürecini ve diskteki veriyi nasıl koruduğu, FileVault’u, Secure Enclave’i ve başlangıç güvenliğini kendiniz nasıl kontrol edeceğiniz.
Bir hesap oluşturulmadan veya bir hizmet kapatılmadan önce, geri kalan her şeyin ne kadar güvenilir olabileceğine iki şey karar verir: Mac’in yalnızca doğrulayabildiği yazılımı başlatıp başlatmadığı ve diskteki verinin parolanız olmadan kimse için okunamaz olup olmadığı. Her ikisi de modern bir Mac’te büyük ölçüde otomatiktir, ama "otomatik" olanı varsaymak yerine kontrol etmeye değer.
Secure Enclave ve şifreleme anahtarları
Apple silikonlu Mac’ler (ve T2 yongalı eski Intel Mac’ler), ana işlemciden yalıtılmış, kendi şifreli depolamasına sahip ayrı bir yardımcı işlemci olan Secure Enclave’i içerir. Apple’ın güvenlik rehberi, bunun cihazın kullanıcı verisi şifreleme anahtarlarını yönettiğini ve Touch ID gibi biyometrik veriyi işlediğini, böylece anahtar malzemesinin kullanılabilir bir biçimde Secure Enclave’den hiçbir zaman çıkmak zorunda kalmadığını anlatıyor. Bu Mac’lerde, diski şifreleyen kriptografik anahtarları Secure Enclave üretir ve korur; depolama şifrelemesinin isteğe bağlı bir ek değil "otomatik olarak" var olmasının nedeni de budur.
FileVault: parolanız anahtarın diğer yarısıdır
FileVault, bu otomatik şifrelemeyi oturum açma parolanıza bağlayan ayardır. Apple bunu, "oturum açma parolanızı girmeden birinin verilerinizin şifresini çözmesini veya verilerinize erişmesini engelleyerek ekstra bir güvenlik katmanı" sağlamak olarak tanımlıyor. Sistem Ayarları → Gizlilik ve Güvenlik → FileVault’tan açın; bir kurtarma yöntemi seçmeniz istenecek: ya iCloud hesabınız ya da Apple’ın sizin için oluşturduğu harf ve rakamlardan oluşan bir kurtarma anahtarı.
Hiçbir şeyi değiştirmeden FileVault’un durumunu Terminal’den kendiniz kontrol edebilirsiniz:
fdesetup status
FileVault is On.Başlangıç güvenliği: macOS’tan önce ne çalışıyor
FileVault, macOS çalışırken veriyi korur. Başlangıç güvenliği ise Mac’in gerçekten macOS’u mu, yoksa üzerinde oynanmış bir şeyi mi çalıştıracağına karar verir. Apple silikonlu bir Mac’te bu, Apple’ın Platform Güvenliği rehberinde belgelenen, üç düzeyli güvenli önyükleme politikasıyla kontrol edilir.
| Politika | Ne yapar |
|---|---|
| Tam Güvenlik (varsayılan) | Her başlangıç, iPhone ve iPad’de kullanılanla aynı modeli izleyerek Apple’dan yeni ve o Mac’e özgü bir imza gerektirir. Bu, eski, savunmasız bir macOS sürümünün Mac’e saldırmak için yeniden yüklenmesini engellemek üzere tasarlanmıştır. |
| Azaltılmış Güvenlik | Bu belirli Mac’e bağlı bir imza yerine genel bir Apple imzasını kabul eder. Eski macOS sürümlerini veya üçüncü taraf çekirdek uzantılarını çalıştırmak için gereklidir ve geri alma saldırılarına karşı daha az dirençlidir. |
| İzin Verici Güvenlik | Özel bir çekirdek çalıştırmak gibi çok daha az güvenli bir durumu kabul eden kullanıcılar içindir. Yalnızca recoveryOS içinde Terminal’den ayarlanabilir, grafik arayüzlü Başlangıç Güvenliği Yardımcı Programı’ndan değil; Apple silikonda Sistem Bütünlüğü Koruması’nı kapatmak da önce bu düzeye inmeyi gerektirir. |
Neredeyse herkes için doğru ayar varsayılan olandır: Tam Güvenlik. Tek kullanıcılı bir Mac’in Azaltılmış veya İzin Verici Güvenlik’te çalışması için nadiren iyi bir sebep vardır, çünkü ikisi de esasen eski yazılımları veya çekirdek düzeyinde geliştirme çalışmasını desteklemek için var. Politikayı görüntülemek veya değiştirmek için yeniden başlatın, "Başlangıç seçenekleri yükleniyor" görünene kadar güç düğmesini basılı tutun, ardından Başlangıç Güvenliği Yardımcı Programı’nı açın ve yönetici olarak kimlik doğrulayın.
Güvenli kurulum
Bir "güvenli kurulum", basitçe başka bir yerden edinilmiş bir disk imajı veya yükleyici yerine, Yazılım Güncellemesi üzerinden veya Apple’dan indirilen Apple’ın kendi yükleyicisiyle başlayan bir kurulumdur. Tam Güvenlik, Apple tarafından imzalanmış belirli bir macOS kopyasını sizin belirli Mac’inize bağladığından, doğrulanmamış bir kaynaktan kurulum yapmak bu dersin az önce anlattığı korumanın tam da kendisini baltalar. Bu kurstaki bir sonraki ders, o kurulumu güncel tutmayı ele alıyor.
Akılda kalsın
- Secure Enclave, veriyi korumak ve Touch ID gibi biyometrik veriyi işlemek için kullanılan şifreleme anahtarlarını üreten ve koruyan yalıtılmış bir yardımcı işlemcidir.
- FileVault, disk şifrelemesini oturum açma parolanıza bağlar; kurtarma anahtarını Mac’ten ayrı saklayın, çünkü ikisini birden kaybetmek verinin kalıcı olarak kaybolması demektir.
- `fdesetup status`, hiçbir şeyi değiştirmeden FileVault’un durumunu bildirir.
- Apple silikonda Tam Güvenlik, varsayılan ve önerilen başlangıç politikasıdır; Azaltılmış ve İzin Verici Güvenlik uyumluluk ve geliştirme ihtiyaçları için vardır, ve SIP kapatılmadan önce İzin Verici Güvenlik gereklidir.
- macOS’u yalnızca Apple’ın kendi yükleyicisinden kurun; başka herhangi bir şey, Tam Güvenlik’in dayandığı Mac’e özgü imzayı baltalar.
Kendinizi sınayın
1. Secure Enclave ne yapar?
- İndirilen dosyaları zararlı yazılıma karşı tarar
- Şifreleme anahtarlarını ve biyometrik veriyi üreten ve koruyan yalıtılmış bir yardımcı işlemcidir — Doğru.
- Gelen ağ bağlantılarını engeller
- Apple Hesabı parolanızı düz metin olarak saklar
Secure Enclave, ana işlemciden ayrı tutulan, anahtar yönetimine ve biyometrik veriye adanmış yalıtılmış bir alt sistemdir.
2. Hem FileVault parolanızı hem de kurtarma anahtarınızı kaybederseniz ne olur?
- Apple diski uzaktan açabilir
- Veri kalıcı olarak erişilemez hale gelir — Doğru.
- macOS otomatik olarak şifrelemesiz duruma döner
- Secure Enclave kendini otomatik olarak sıfırlar
Apple, hem parolanın hem de kurtarma anahtarının kaybedilmesinin şifrelenmiş verinin kurtarılamayacağı anlamına geldiğini açıkça belirtiyor.
3. Apple silikonlu bir Mac’te, Sistem Bütünlüğü Koruması kapatılmadan önce ne gereklidir?
- Bir yönetici parolası dışında ekstra bir şey gerekmez
- Başlangıç politikasını İzin Verici Güvenlik’e geçirmek — Doğru.
- Önce FileVault’u devre dışı bırakmak
- Harici bir sürücüden önyükleme yapmak
Apple’ın Platform Güvenliği rehberi, Apple silikonda SIP’i kapatmanın önce İzin Verici Güvenlik’i kabul edip o düzeye inmeyi gerektirdiğini belirtiyor, çünkü SIP’i devre dışı bırakmak her zaman çekirdeğin korumasını zayıflatır.
FireAI ile uygulayın
Bu dersi kendi Mac’inizde uygulamaya koyun.
- Güvenlik modları: Ev, Kafe, Çok temkinli, Saldırı altında — FireAI’ın sıkılığını, Mac’inizin gerçekte bulunduğu yere tek dokunuşla uydurun.
- Bilinen güvenlik açıkları olan uygulamaları bulun — Herhangi biri kullanmadan bilinen açıkları kapatın: güncellemesi gereken tek uygulamayı güncelleyin.
- İlk bağlantı uyarınızı yanıtlayın, ve her sürenin anlamı — FireAI ilk kez sorduğunda tam olarak neyi onayladığınızı anlayın.
Kaynaklar
- Apple Platform Security: The Secure Enclave
- Apple Platform Security: Startup Disk security policy control
- Apple Support: Use FileVault to encrypt the startup disk on your Mac
Mac’inizde uygulayın
Tüm özellikleri 17 gün ücretsiz deneyin, kart gerekmez.