Безпечне встановлення, безпека завантаження і шифрування

Як Mac захищає процес завантаження і дані на диску, і як самостійно перевірити FileVault, Secure Enclave та безпеку завантаження.

Перш ніж створено обліковий запис чи вимкнено службу, дві речі визначають, наскільки можна довіряти всьому іншому: чи запускає Mac лише те програмне забезпечення, яке може перевірити, і чи є дані на диску нечитабельними для будь-кого без вашого пароля. Обидва здебільшого автоматичні на сучасному Mac, але «автоматичне» варто перевірити, а не просто вважати таким.

Secure Enclave і ключі шифрування

Mac із чипом Apple (і старіші Mac на Intel із чипом T2) містять Secure Enclave: окремий співпроцесор, ізольований від основного процесора, з власним зашифрованим сховищем. Посібник Apple з безпеки описує його як такий, що керує ключами шифрування даних користувача пристрою й обробляє біометричні дані, як-от Touch ID, тож ключовий матеріал ніколи не покидає Secure Enclave у придатному для використання вигляді. На цих Mac Secure Enclave генерує й захищає криптографічні ключі, що шифрують диск, тому шифрування сховища присутнє «автоматично», а не як опційна надбудова.

FileVault: ваш пароль — друга половина ключа

FileVault — це налаштування, яке прив’язує це автоматичне шифрування до вашого пароля входу. Apple описує його як таке, що додає «ще один рівень безпеки, не дозволяючи розшифрувати чи отримати доступ до ваших даних без введення пароля входу». Увімкніть його в «Системних налаштуваннях → Конфіденційність і безпека → FileVault»; вас попросять обрати спосіб відновлення: обліковий запис iCloud або ключ відновлення — рядок літер і цифр, який генерує Apple.

Ви можете самостійно перевірити стан FileVault, нічого не змінюючи, через Термінал:

Terminal

$ fdesetup status
FileVault is On.

Безпека завантаження: що запускається до самої macOS

FileVault захищає дані, коли macOS уже працює. Безпека завантаження вирішує, чи запуститься Mac взагалі під macOS, чи під чимось, у що втрутилися. На Mac із чипом Apple це контролюється політикою безпечного завантаження з трьома рівнями, описаними в посібнику Apple Platform Security.

Посібник Apple Platform Security, «Startup Disk security policy control».
Політика	Що вона робить
Full Security (типова)	Кожен запуск вимагає свіжого підпису, специфічного саме для цього Mac від Apple, — тієї самої моделі, що використовується на iPhone і iPad. Це створено, щоб зупинити повторне встановлення старішої, вразливої версії macOS для атаки на Mac.
Reduced Security	Приймає загальний підпис Apple, а не такий, що прив’язаний саме до цього Mac. Потрібна для запуску старіших версій macOS чи розширень ядра сторонніх розробників, і менш стійка до атак відкату.
Permissive Security	Для користувачів, які приймають значно менш безпечний стан, наприклад запуск власного ядра. Її можна встановити лише через Термінал у recoveryOS, а не через графічну утиліту Startup Security Utility, і вимкнення System Integrity Protection на Mac із чипом Apple вимагає спершу перейти на цей рівень.

Майже для всіх правильне налаштування — типове: Full Security. Рідко є вагома причина, щоб Mac однієї людини працював у Reduced чи Permissive Security, оскільки обидва існують переважно для підтримки старішого програмного забезпечення чи розробки на рівні ядра. Щоб переглянути чи змінити політику, перезавантажте Mac, натисніть і утримуйте кнопку живлення, поки не з’явиться напис «Завантаження параметрів запуску», тоді відкрийте Startup Security Utility й автентифікуйтесь як адміністратор.

Безпечне встановлення

«Безпечне встановлення» — це просто таке, що починається з власного інсталятора Apple, завантаженого через оновлення програмного забезпечення чи з сайту Apple, а не з образу диска чи інсталятора, отриманого деінде. Оскільки Full Security прив’язує конкретну, підписану Apple копію macOS до вашого конкретного Mac, встановлення з неперевіреного джерела підриває той самий захист, який щойно описано в цьому уроці. Наступний урок цього курсу розповідає про те, як підтримувати саме це встановлення в актуальному стані.

Головне

Secure Enclave — це ізольований співпроцесор, який генерує й охороняє ключі шифрування, що використовуються для захисту збережених даних, і біометричні дані, як-от Touch ID.
FileVault прив’язує шифрування диска до вашого пароля входу; зберігайте ключ відновлення окремо від Mac, оскільки втрата обох означає постійну втрату даних.
`fdesetup status` показує стан FileVault, нічого не змінюючи.
На Mac із чипом Apple Full Security — типова й рекомендована політика завантаження; Reduced і Permissive Security існують заради сумісності й потреб розробки, а Permissive Security обов’язкова, перш ніж можна вимкнути SIP.
Встановлюйте macOS лише з власного інсталятора Apple; будь-що інше підриває специфічний для Mac підпис, на якому тримається Full Security.

Перевірте себе

1. Що робить Secure Enclave?
- Сканує завантажені файли на шкідливе програмне забезпечення
- Це ізольований співпроцесор, що генерує й захищає ключі шифрування та біометричні дані — Правильно.
- Блокує вхідні мережеві з’єднання
- Зберігає ваш пароль облікового запису Apple звичайним текстом
Secure Enclave — окрема, ізольована підсистема, призначена для керування ключами й біометричними даними, відділена від основного процесора.
2. Що станеться, якщо ви втратите і пароль FileVault, і ключ відновлення?
- Apple може розблокувати диск віддалено
- Дані стають назавжди недоступними — Правильно.
- macOS повертається до стану без шифрування
- Secure Enclave автоматично скидається до заводських налаштувань
Apple прямо стверджує, що втрата і пароля, і ключа відновлення означає, що зашифровані дані неможливо відновити.
3. Що потрібно на Mac із чипом Apple, перш ніж можна вимкнути System Integrity Protection?
- Нічого додаткового, крім пароля адміністратора
- Перемкнути політику завантаження на Permissive Security — Правильно.
- Спершу вимкнути FileVault
- Завантажитися із зовнішнього диска
Посібник Apple Platform Security зазначає, що вимкнення SIP на Mac із чипом Apple вимагає спершу підтвердити перехід на Permissive Security, оскільки вимкнення SIP завжди послаблює захист ядра.

Застосуйте на практиці з FireAI

Застосуйте цей урок на своєму Mac.

Джерела

Застосуйте це на своєму Mac

Усі функції безкоштовно на 17 днів, без банківської картки.

Завантажити для Mac Документація