跳到正文HisnLabs
← macOS 强化，逐个设置

第 2 课，共 5 课 · 9 分钟

安全安装、启动安全和加密

Mac 如何保护启动过程和磁盘上的数据，以及如何亲自检查 FileVault、Secure Enclave 和启动安全性。

在创建帐户或关闭服务之前，有两件事决定了其他所有内容的可信程度：Mac 是否只启动它可以验证的软件，以及没有密码的任何人是否无法读取磁盘上的数据。在现代 Mac 上，两者基本上都是自动的，但“自动”值得检查而不是假设。

Secure Enclave 和加密密钥

Apple Silicon Mac（以及带有 T2 芯片的老式 Intel Mac）包含 Secure Enclave：一个独立的协处理器，与主处理器隔离，具有自己的加密存储。 Apple 的安全指南将其描述为管理设备的用户数据加密密钥并处理 Touch ID 等生物识别数据，因此密钥材料永远不必以可用的形式离开 Secure Enclave。在这些 Mac 上，Secure Enclave 生成​​并保护加密磁盘的加密密钥，这就是存储加密“自动”存在而不是作为可选附加项的原因。

FileVault：您的密码是密钥的另一半

FileVault 是将自动加密与您的登录密码联系起来的设置。苹果将​​其描述为“通过防止他人在不输入您的登录密码的情况下解密或访问您的数据，提供额外的安全层”。从系统设置 → 隐私和安全 → FileVault 打开它；系统会要求您选择恢复方法，可以是您的 iCloud 帐户，也可以是恢复密钥（Apple 为您生成的一串字母和数字）。

您可以从终端自行检查 FileVault 的状态，而无需进行任何更改：

Terminal
fdesetup status
FileVault is On.

启动安全性：在 macOS 之前运行的内容

一旦 macOS 运行，FileVault 就会保护数据。启动安全性决定了 Mac 是否会运行 macOS，或者是否会被篡改。在采用 Apple 芯片的 Mac 上，这是由三个级别的安全启动策略控制的，如 Apple 平台安全指南中所述。

Apple 平台安全指南，“启动磁盘安全策略控制”。
政策它的作用
完全安全（默认）每家初创公司都需要 Apple 提供新的 Mac 专用签名，与 iPhone 和 iPad 上使用的模型相同。这样做的目的是阻止旧的、易受攻击的 macOS 版本被重新安装以攻击 Mac。
安全性降低接受通用 Apple 签名，而不是与该特定 Mac 相关的签名。它需要运行较旧的 macOS 版本或第三方内核扩展，并且对回滚攻击的抵抗力较差。
宽松的安全性对于接受安全性较低的状态（例如运行自定义内核）的用户。它只能从 recoveryOS 中的终端进行设置，而不能从图形启动安全实用程序进行设置，并且关闭 Apple 芯片上的系统完整性保护需要首先降至此级别。

对于几乎每个人来说，正确的设置是默认设置：完全安全。 There is rarely a good reason for a single-user Mac to run in Reduced or Permissive Security, since both exist mainly to support older software or kernel-level development work. To view or change the policy, restart, press and hold the power button until “Loading startup options” appears, then open Startup Security Utility and authenticate as an administrator.

安全安装

“安全安装”只是从 Apple 自己的安装程序开始，通过软件更新或从 Apple 下载，而不是从其他地方获取的磁盘映像或安装程序。由于 Full Security 将特定的 Apple 签名的 macOS 副本与您的特定 Mac 绑定在一起，因此从未经验证的来源进行安装会破坏本课程刚刚描述的相同保护。本课程的下一课将介绍如何使安装本身保持最新状态。

要点

  • Secure Enclave 是一个隔离的协处理器，可生成并保护用于保护静态数据和 Touch ID 等生物识别数据的加密密钥。
  • FileVault 将磁盘加密与您的登录密码联系起来；将恢复密钥与 Mac 分开存储，因为丢失两者都意味着永久数据丢失。
  • `fdesetup status` 报告 FileVault 的状态而不更改任何内容。
  • 在 Apple 芯片上，Full Security 是默认且推荐的启动策略；出于兼容性和开发需求而存在简化安全性和许可安全性，并且在关闭 SIP 之前需要许可安全性。
  • 仅通过 Apple 自己的安装程序安装 macOS；其他任何内容都会破坏 Full Security 所依赖的 Mac 特定签名。

自我检测

  1. 1. 安全飞地有什么作用？

    • 它扫描下载的文件是否有恶意软件
    • 它是一个隔离的协处理器，可生成并保护加密密钥和生物识别数据 — 正确。
    • 它阻止传入的网络连接
    • 它以纯文本形式存储您的 Apple 帐户密码

    Secure Enclave 是一个独立的子系统，专用于密钥管理和生物识别数据，与主处理器分开。

  2. 2. 如果您同时丢失 FileVault 密码和恢复密钥会怎样？

    • 苹果可以远程解锁磁盘
    • 数据永久无法访问 — 正确。
    • macOS 恢复为不加密
    • Secure Enclave 自动重置

    苹果明确表示，丢失密码和恢复密钥意味着加密数据无法恢复。

  3. 3. 在 Apple Silicon Mac 上，关闭系统完整性保护之前需要做什么？

    • 除了管理员密码之外不需要任何额外的东西
    • 将启动策略切换为 Permissive Security — 正确。
    • 首先禁用 FileVault
    • 从外部驱动器启动

    Apple 的平台安全指南指出，在 Apple 芯片上关闭 SIP 需要首先确认并降至 Permissive Security，因为禁用 SIP 总是会削弱内核的保护。

用 FireAI 动手做

在你自己的 Mac 上练习这节课的内容。

来源

在你的 Mac 上实践

免费试用全部功能 17 天，无需绑定银行卡。

下载 Mac 版 文档