Захистіть сам пристрій

Надійний пароль на облікових записах мало допомагає, якщо хтось може просто забрати ноутбук і прочитати диск напряму, або якщо на Mac стоїть програмне забезпечення багатомісячної давності з незастосованими виправленнями. Цей урок охоплює захисти, що живуть на самому пристрої, від диска до екрана блокування.

FileVault: шифрування диска

FileVault шифрує ваш завантажувальний диск так, що його неможливо прочитати без пароля входу чи ключа відновлення, навіть якщо диск повністю вийняти з Mac. Apple пояснює: «якщо у вас Mac з чипом Apple або чипом безпеки Apple T2, ваші дані шифруються автоматично. Увімкнення FileVault додає ще один рівень безпеки, не дозволяючи розшифрувати чи отримати доступ до ваших даних без введення пароля входу». На Mac без чипа Apple чи чипа T2 FileVault потрібно увімкнути вручну, щоб узагалі отримати цей захист, і це вимагає прав адміністратора.

Під час увімкнення ви обираєте, як розблокувати диск, якщо колись забудете пароль входу: за допомогою облікового запису Apple або ключа відновлення, який записуєте самі. Попередження Apple прямолінійне: «Не забувайте свій ключ відновлення. Якщо ви ввімкнете FileVault, а потім забудете пароль входу і не зможете його скинути, а також забудете ключ відновлення, ви не зможете увійти, а ваші файли й налаштування будуть втрачені назавжди». Зберігайте цей ключ відновлення так само дбайливо, як фізичний ключ.

$ fdesetup status
FileVault is On.

Пароль входу, який дійсно захищає

Захист FileVault тримається, лише якщо пароль входу, що його охороняє, неможливо тривіально вгадати. Ті самі поради щодо паролів із попереднього уроку, довжина замість нав’язаної складності, без повторного використання, стосуються облікового запису, яким ви входите щоранку, так само, як і будь-якого облікового запису на сайті.

Знову про регулярні оновлення

Попередній курс цього університету детально розглядає вразливості й виправлення; коротка версія для цього плану — розділ «Системні налаштування > Загальні > Оновлення ПЗ» з увімкненими автоматичними оновленнями не є опційним. Ідеально налаштований Mac із застарілим програмним забезпеченням усе одно несе кожну слабкість, для якої Apple вже опублікувала виправлення.

Find My: пошук і блокування загубленого Mac

Якщо Mac загублено чи вкрадено, Find My може показати його розташування на карті, а Apple описує позначення пристрою як загубленого так, що воно «блокує його кодом доступу або паролем облікового запису Apple» і дозволяє «показати повідомлення, щоб інші могли з вами зв’язатися, якщо знайдуть ваш пристрій». Apple також зазначає, що віддалене стирання зазвичай вимагає вже увімкненої двофакторної автентифікації; без неї стирати пристрій довелося б через iCloud.com. Налаштування Find My до, а не після зникнення пристрою, і робить цю функцію корисною.

Lockdown Mode: для тієї невеликої кількості людей, кому він потрібен

Apple описує Lockdown Mode як «опційний, надзвичайний захист, розрахований на дуже нечисленних осіб, які через те, ким вони є чи що роблять, можуть стати особистою ціллю однієї з найскладніших цифрових загроз. Більшість людей ніколи не стають ціллю атак такого роду». Увімкнення змінює поведінку Mac: серед наслідків Apple перелічує блокування більшості типів вкладень у Messages, блокування певних веб-технологій у Safari (через що деякі сайти можуть перестати працювати), неможливість дзвінків FaceTime від невідомих абонентів і вимогу розблокувати Mac з явним підтвердженням для з’єднань із пристроєм. Це реальний компроміс зі зручністю, доречний для того, чия модель загроз, описана в першому уроці цього курсу, справді включає супротивника такого рівня, а не типове налаштування для всіх.