Что такое filevault в macos и как им пользоваться?

FileVault

Исходная версия FileVault была добавлена в Mac OS X Panther для шифрования домашнего каталога пользователя.

Мастер-пароли и ключи восстановления

Когда FileVault включен, система предлагает пользователю создать мастер-пароль для компьютера. Если пароль пользователя забыт, вместо него можно использовать мастер-пароль или ключ восстановления для расшифровки файлов.

Миграция

На перенос домашних каталогов FileVault накладываются два ограничения:

не должно быть предварительной миграции на целевой компьютер
у цели не должно быть существующих учетных записей пользователей.

Если Помощник по миграции уже использовался или если в целевой системе есть учетные записи пользователей:

перед переносом необходимо отключить FileVault в источнике.

При переносе данных FileVault с предыдущего Mac, который использует 10.4, с использованием встроенной утилиты для перемещения данных на новый компьютер, данные продолжают храниться в старом формате разреженного изображения, и пользователь должен выключить FileVault, а затем снова включить его, чтобы повторно зашифровать в новом формате разреженного пакета.

Ручное шифрование

Вместо использования FileVault для шифрования домашнего каталога пользователя используйте Дисковая утилита пользователь может сам создать зашифрованный образ диска и сохранить в нем любое подмножество своего домашнего каталога (например, ~ / Документы / частный). Этот зашифрованный образ ведет себя аналогично зашифрованному домашнему каталогу FileVault, но находится в ведении пользователя.

Шифрование только части домашнего каталога пользователя может быть проблематичным, когда приложениям требуется доступ к зашифрованным файлам, который будет недоступен, пока пользователь не смонтирует зашифрованный образ. В определенной степени это можно смягчить, сделав символические ссылки для этих конкретных файлов.

Резервные копии

Эти ограничения применяются только к версиям Mac OS X до v10.7.

Без Mac OS X Server, Машина времени будет выполнять резервное копирование домашнего каталога FileVault только тогда, когда пользователь вышел из системы. В таких случаях Time Machine ограничивается полным резервным копированием домашнего каталога. При использовании Mac OS X Server в качестве места назначения Time Machine резервное копирование домашних каталогов FileVault происходит, когда пользователи находятся в системе.

Поскольку FileVault ограничивает способы доступа процессов других пользователей к содержимому пользователя, некоторые сторонние решения для резервного копирования могут выполнять резервное копирование содержимого домашнего каталога FileVault пользователя только в том случае, если другие части компьютера (включая домашние каталоги других пользователей) исключены. .

вопросы

В Legacy FileVault было выявлено несколько недостатков. Его безопасность может быть нарушена путем взлома 1024-битного ЮАР или же 3DES-EDE.

Legacy FileVault использовал режим работы CBC (см. ); FileVault 2 использует более сильный режим XTS-AESW. Еще одна проблема — хранение ключей в режиме «безопасного сна» macOS. Исследование, опубликованное в 2008 году, показало, что остаточные данные в динамическая память с произвольным доступом (DRAM), с сохранением данных от секунд до минут при комнатной температуре и гораздо более длительное время, когда микросхемы памяти охлаждались до низкой температуры. Авторы исследования смогли использовать холодная атака для восстановления криптографических ключей для нескольких популярных систем шифрования дисков, включая FileVault, используя преимущества избыточности в способе хранения ключей после того, как они были расширены для эффективного использования, например, в планирование ключей. Авторы рекомендуют выключать компьютеры, а не оставлять их в «спящем» состоянии, когда владелец не контролирует их физически.

Ранние версии FileVault автоматически сохраняли парольную фразу пользователя в системной связке ключей, требуя, чтобы пользователь заметил и вручную отключил эту дыру в безопасности.

В 2006 году после выступления на 23-м Конгресс Хаоса Коммуникации названный Разблокировка FileVault: анализ зашифрованной дисковой системы хранения данных Apple, Джейкоб Аппельбаум & Ральф-Филипп Вайнманн освобожден VileFault который расшифровывает зашифрованные файлы образов дисков Mac OS X.

Очистить свободное пространство с помощью Дисковая утилита оставили нетронутой большую часть ранее удаленных остатков файлов. Точно так же компактные операции FileVault стирали только небольшие части ранее удаленных данных.

Как macOS защищает ваш компьютер

Ваш Mac имеет много встроенных функций безопасности, чтобы сохранить себя в безопасности. Основа macOS (ранее Mac OS X) — Unix. Это та же операционная система, на которой были построены BSD и известный многим Linux, и она заслужила репутацию надежности и безопасности благодаря надежной системе разрешений.

Для обеспечения безопасности платформы каждый Mac использует набор фирменных технологий. Вас может удивить, что Mac, — на самом деле, — запускает антивирусный сканер в фоновом режиме под названием Xprotect.

Т.е, всякий раз, когда Вы открываете файл на своем Mac, — Xprotect сканирует и проверяет его на наличие известных определений вредоносных программ macOS. Если он обнаружит что-то подозрительное, Вы увидите предупреждение о том, что файл гадкий, вредный и вообще. Кстати, когда ваш Mac устанавливает обновления системы, он также обновляет определения вредоносных программ.

Другая технология под названием Gatekeeper пытается предотвратить причинение вреда неизвестными приложениями. По умолчанию macOS блокирует всё программное обеспечение, которое не подписано выданным Apple сертификатом разработчика или не загружено из Mac App Store.

Да, не все неподписанные приложения вредны. Разработчики, которые создают бесплатные приложения с открытым исходным кодом, часто не могут «оправдать» 99 долларов, необходимые для входа в программу Apple Developer Program и выдачи сертификатов. Чтобы обойти Gatekeeper, перейдите в «Системные настройки» > «Безопасность и конфиденциальность» и нажмите «Все равно открыть» после попытки открыть неподписанное приложение.

Чтобы подписанные приложения и приложения, распространяемые через Mac App Store, не повредили операционную систему, Apple использует «песочницу». Песочница предоставляет приложению все необходимое для выполнения своей задачи и ничего больше. Когда Вы запускаете приложение в «песочнице», то ограничиваете его возможности и предоставляете дополнительные разрешения на основе входных данных.

Наконец, система защиты целостности системы (SIP) защищает некоторые наиболее уязвимые части вашей системы, включая основные системные каталоги. Apple ограничивает любой потенциальный ущерб от мошеннического программного обеспечения, потому что он предотвращает доступ приложений к этим областям.

SIP также защищает предустановленные приложения, такие как Finder и Safari, от внедрения кода, который может изменить работу этих приложений. Если вы перезагрузите Mac и выполните команду терминала, то можете отключить SIP, но большинству людей это не нужно. Даже для оптимизации.

Зачем шифровать?

Даже если вы придумаете нормальный пароль для защиты своего пользовательского аккаунта, безопасность данных будет под вопросом, когда кто-то решит присвоить ваше устройство. В большинстве компьютеров локальный диск очень просто вытащить и вставить в другую систему, или же загрузить компьютер с внешним диском и скопировать на него информацию с украденного диска. Почти на всех телефонах и девайсах на Android можно запустить режим восстановления информации, а получить доступ к файлам из разделов пользователя можно запросто, запустив инструменты отладки процесса. И даже если вы полностью стёрли информацию с локального диска, программа восстановления всё равно сможет считать старые файлы.

Шифровка локального накопителя данных делает всё вышеперечисленное сложно выполнимым, а то и вовсе невозможным. Тем, кто попытается получить доступ к вашей информации, понадобится ключ, чтобы присоединить диск или хотя бы считать с него информацию. А если вы сотрёте всё с локального диска, оставшаяся информация, которая считывается при помощи программы восстановления, по-прежнему будет зашифрована, даже если вы не закодировали новую информацию на диске.

В этом есть несколько минусов. Если вы сами потеряете ключ или если, к примеру, ваш диск сломается, то будет сложнее восстановить данные, если вообще получится. Шифрование замедляет работу девайсов без встроенных процессоров, железо которых ускоряет работу при шифровке и дешифровке данных. В целом преимущества перевешивают недостатки, а работа на современных устройствах замедляется до допустимого уровня.

Шифрование средствами файловой системы: безопасность

Encrypting File System — общее название для класса криптографических файловых систем, которые шифруют данные на уровне отдельных папок и файлов. Криптографические файловые системы предоставляют возможность «прозрачного шифрования» данных. Цель криптографических файловых систем – защита данных от несанкционированного доступа при физическом доступе как к накопителям, извлечённым из компьютера, так и к самому компьютеру (в том числе и от других авторизованных пользователей компьютера, авторизованных в собственных учётных записях).

От каких именно угроз способно, а от каких – не способно защитить шифрование средствами файловой системы?

Стойкость защиты: невысокая. Да, производитель может использовать шифрование AES с 256-битным ключом, но энтропия пароля среднего пользователя (что это такое и как подсчитать) намного ниже 256 бит. При этом отозвать скомпрометированный пароль или изменить его нельзя: потребуется длительная процедура перешифровки метаданных всех файлов или даже самих файлов. В сетевых хранилищах от Synology раз установленный пароль шифрования сменить нельзя: можно лишь сначала расшифровать, а потом заново зашифровать папку. Скорость перебора паролей к eCryptFS относительно VeraCrypt или даже BitLocker высокая (65,537 итераций SHA-512 по умолчанию против 500,000 у VeraCrypt), что также не добавляет ей стойкости.

Если диск извлекут из NAS: стойкость защиты в лучшем случае соответствует стойкости пароля шифрования; в худшем (ключи шифрования хранятся на самом диске) – нулевая. При этом даже в лучшем случае (зашифрованная папка не смонтирована, пароль – неизвестен) неавторизованный пользователь:

Получит доступ к дереву файловой системы (структуре папок)
Узнает точное число файлов и объём зашифрованных данных
Узнает точный размер каждого зашифрованного файла, что позволит произвести профилирование по размеру (поиск совпадений по размерам файлам)
Сможет произвольно удалить один или несколько файлов и папок
Сможет скопировать метаданные и произвести атаку на пароль

Утилизация, продажа, гарантийный обмен диска: уничтожить зашифрованные данные, просто удалив ключ, невозможно. Для уничтожения данных придётся стереть метаданные каждого файла по отдельности, что может занять существенное время. Проще и надёжнее целиком отформатировать диск, что далеко не всегда возможно при возникновении гарантийной ситуации.

Защита от физического доступа к NAS: низкая. Криптографическая файловая система не защитит файл /etc/shadow от редактирования. Да, для этого может потребоваться извлечь диск из устройства – но при использовании шифрования сетевых папок в качестве единственного эшелона обороны системные файлы никак не защищены.

Удалённые атаки, зловредное ПО, вирусы-шифровальщики: если зашифрованная папка смонтирована, то влияние шифрования папок на реальную безопасность данных нулевое. Если же папка не смонтирована, то степень защиты зависит от того, хранятся ли ключи в самом NAS или же пользователь вводит пароль каждый раз при доступе к зашифрованной папке. К слову, от вирусов-шифровальщиков помогает защититься использование файловой системы BTRFS с регулярным созданием «теневых копий».

Шифрование в сетевых накопителях (NAS)

Рынок сетевых хранилищ для домашних и офисных пользователей выглядит достаточно интересно. Самыми массовыми являются модели от Western Digital, одного из крупнейших производителей жёстких дисков. NAS от WD подкупают низкой ценой, часто – отрицательной: диск в накопителе обходится дешевле такого же диска отдельно. При этом шифрования данных в массовых моделях WD просто нет.

Особое место занимает компания Synology, домашние сетевые накопители которой отличаются красивым, хорошо оптимизированным софтом, качественной, хоть и не самой производительной, аппаратной платформой и длительным периодом поддержки – за соответствующие деньги. Популярностью пользуются и устройства основного конкурента – компания QNAP. В роли догоняющих выступают такие производители, как ASUS (Asustor), TerraMaster и Netgear. Не выдержав конкуренции, сошли с дистанции Thecus и малоизвестные у нас Drobo и Buffalo, которая может похвастаться вынесенной в начало статьи рекламной картинкой.

В отличие от Western Digital, большинство моделей этих производителей поддерживает шифрование, позволяющее защитить пользовательские данные. Производители поделились на два лагеря: представители одного из них (QNAP, Thecus) используют шифрование дисков на уровне тома, в то время как второй лагерь (Synology, Asustor, TerraMaster) используют шифрование отдельных сетевых папок на уровне файловой системы. У каждого способа есть свои преимущества и недостатки. В рамках данной статьи нас интересуют представители второго лагеря, использующие для шифрования криптографическую файловую систему eCryptFS.

FileVault уже включен на вашем Mac?

Проверить, включен ли FileVault на вашем Mac, очень просто. Открытым Системные настройки , затем перейдите к Настройки безопасности и конфиденциальности. Здесь выберите вкладку FileVault вверху экрана.

Вы увидите краткий обзор того, что делает FileVault, а также выделенную серым кнопку для его включения или выключения. Внизу экрана вы можете увидеть сообщение о том, что FileVault работает на диске «Macintosh HD» или что-то подобное. Если вы видите это сообщение, значит FileVault уже включен на вашем компьютере.

Если вместо этого отображается сообщение о завершении работы, вам необходимо включить его вручную.

Менеджеры паролей

LastPass – программа, которая тесно сотрудничает со всеми популярными веб-браузерами. Хотя большинство из них допускают автозаполнение паролей, с LastPass мы включаем этот процесс только для тех, кто знает специальный код.
KeePass Password Safe – популярный инструмент, завоевавший популярность пользователей не только своей простотой и интуитивно понятным интерфейсом, но и очень хорошей безопасностью. Программа, конечно же, хранит и шифрует все пароли локально.
Sticky Password – мощное приложение, позволяющее удобно управлять всеми паролями. Кроме того, он имеет встроенный усовершенствованный генератор, который можно использовать для создания безопасных случайных комбинаций.

Крупнейшие утечки пользовательских данных за последние 10 лет:

Октябрь 2007 – AOL – 92 000 000 аккаунтов
Апрель 2011 – Sony – 77 000 000 аккаунтов
Октябрь 2013 – JPMorgan Chase – 83 000 000 аккаунтов
Ноябрь 2013 – Target – 110 000 000 аккаунтов
Май 2014 – eBay – 145 000 000 аккаунтов
Февраль 2015 – Anthem – 360 000 000 аккаунтов
Май 2016 – MySpace – 360 000 000 аккаунтов
Май 2016 – LinkedIN – 100 000 000 аккаунтов
Сентябрь 2016 – Yahoo – 500 000 000 аккаунтов
Декабрь 2016 – Yahoo – 1 000 000 000 учетных записей

Наиболее часто используемые пароли:

SplashData опубликовал в декабре прошлого года список самых популярных паролей, используемых пользователями интернета. К сожалению, пользователи не учатся на ошибках и, несмотря на многочисленные утечки данных, всё еще используют слабые и опасные пароли. 25 самых популярных из них можно найти ниже:

123456
password
123456789
12345678
12345
111111
1234567
sunshine
qwerty
iloveyou
princess
admin
welcome
666666
abc123
football
123123
monkey
654321
!@#$%^&*
charlie
aa123456
donald
password1
qwerty123

Пароль 123456 занимает первое место в этом печально известном рейтинге уже пятый год подряд!

Что такое шифрование FileVault и стоит ли его использовать

Большинство пользователей Mac для защиты своих данных и файлов от несанкционированного доступа пользуются паролем для входа в систему. Однако так ли это безопасно, как принято считать? Как оказалось, не совсем. Есть много способов, которые позволяют сбросить пароль, предоставляя возможность получить доступ ко всей информации, которая хранится на вашем Mac. Впрочем, решение этой проблемы есть – FileVault. О нем мы сегодня и поговорим.

Что такое FileVault

FileVault – это система шифрования данных, которая использует алгоритм XTS-AES-128 с длиной ключа 256 бит, что обеспечивает крайне высокий уровень безопасности. Сам ключ шифрования вырабатывается на основе пароля пользователя при помощи алгоритма PBKDF2. Вся информация в дальнейшем будет храниться фрагментами по 8 МБ.

Как ни странно, но функция работает достаточно просто – все данные копируются на зашифрованный образ диска, а затем удаляются из незащищенного пространства. После того как первичная обработка данных завершена, далее новые файлы будут шифроваться «на лету» в фоновом режиме. Есть поддержка Instant Wipe, которая позволяет безопасно затереть всю информацию на диске без возможности восстановления. Кроме того, этот инструмент предоставляет возможность шифрования резервных копий Time Machine.

Как работает FileVault

При первой настройке для защиты от утери пароля создается ключ восстановления, который необходимо обязательно запомнить, поскольку в случае утери кода восстановить данные будет нельзя. В качестве альтернативы можно настроить сброс пароля, используя учетную запись iCloud.

После того как мы активировали FileVault, процесс загрузки компьютера меняется для обеспечения безопасности. Если раньше пароль нужно было вводить после загрузки учетной записи, то теперь это происходит до, что исключает даже потенциальную возможность сброса пароля пользователя любым из известных способов (Single User Mode, загрузка с внешнего носителя и другие методы).

Почему стоит использовать FileVault

Пароля пользователя явно недостаточно для обеспечения полной безопасности и конфиденциальности. При наличии физического доступа к компьютеру сброс пароля – лишь вопрос времени. В случае же с шифрованием можно быть уверенным, что доступ к данным никто не получит. Кроме того, утилита разработана Apple и уже встроена в систему, что говорит о полной интеграции с системой.

Еще плюсом можно отметить то, что объём данных до и после шифрования не меняется.

Какие есть недостатки

Шифрование с помощью FileVault достаточно серьезно влияет на производительность Mac.
Нельзя восстановить данные, если забыты пароль и ключ восстановления.
В случае поломки накопителя данные также будут утеряны навсегда.
Зашифрованные копии Time Machine не позволяют восстановить конкретный файл, а только копию целиком.

Как настроить FileVault

Запускаем «Системные настройки».
Заходим в пункт меню «Защита и безопасность», затем во вкладку «FileVault».
Снимаем блокировку, нажав замочек в левом нижнем углу.
Выбираем «Включить FileVault».
Здесь мы должны выбрать подходящий нам вариант сброса пароля.

Осталось перегрузить наш Mac. Сразу после этого будет выполняться фоновое шифрование, при этом компьютером можно будет пользоваться без ограничений.

Новости, статьи и анонсы публикаций

Свободное общение и обсуждение материалов

Лонгриды для вас

C необходимостью перевода текста с иностранного языка сейчас сталкиваются все. За последние годы для многих из нас Google Translate стал синонимом слова «Переводчик». В статье разрушим стереотипы и докажем что у сервиса от Google есть серьезные конкуренты.

Автор AppleInsider.ru познакомился с романом «Рыбари и виноградари» Михаила Харита и делится своим первым впечатлением. Может ли одна книга вернуть любовь к чтению? Оказалось, что да.

Беспроводная зарядка для iPhone необязательно должна стоить дорого. Более того, смартфоны Apple не поддерживают по-настоящему быструю зарядку, поэтому для них можно взять кое-что попроще. Вот вам несколько вариантов на выбор

Я включил эту функцию после двух лет использования macbook. Разницы в производительности не увидел, правда, режим работы у меня «офисный». И еще. Я не паранойик, но осознавая реальности нашей страны (когда за лайк в соцсети можно стать фигурантом уголовного дела), мне спокойней когда диск зашифрован 🙂

FileVault and Backblaze

The same goes for other software running on your Mac, like Backblaze. The data on your hard drive is safely encrypted. Once you’ve unlocked it, Backblaze operates as it normally does, sending information to our data center where we keep it secure and encrypted as well. So no matter what happens to your Mac and your local backup, your essential data is stored off-site, and you’re able to restore it with just your Backblaze account information.

Because FileVault is Apple’s technology, it’s integrated into the Mac and iCloud user experience in a way that no other security technology can really manage. If you’re looking for seamless, easy to use whole disk encryption, FileVault fits the bill.

Just make sure your Mac is up to snuff before you activate it, and make sure to back up before hand, too—you always want to be prepared for the unexpected. Stick with a 3-2-1 backup strategy that includes primary storage, on-site backup, and off-site backup, and you’re well covered no matter what happens.

Безопасность паролей – 10 важных советов

Приложение KeePass Password Safe позволяет вам создать файл с базой данных, содержащей наши пароли. Всё, что вам нужно сделать, это установить один пароль для защиты базы данных всех ваших паролей.
Благодаря приложению LastPass, которое интегрируется с веб-браузерами, мы создадим учетную запись, которая будет хранить наши пароли в облаке.
Используйте Unchecky при установке программ. Когда он обнаруживает, что установщик пытается разместить потенциально нежелательное программное обеспечение на нашем диске, вы получите уведомление.
В Sandbox мы можем запустить выбранное приложение в защищенной среде, чтобы программа не могла повредить вашу операционную систему.
Intel True Key – это инструмент, который действует как менеджер паролей. Вы можете войти в него через функцию биометрического распознавания лиц.
Malwarebytes Anti-Malware – это сканер, полезный в качестве дополнительной функции безопасности, когда используемый нами антивирус не справляется с обнаружением заражения компьютера.
Благодаря программе CrashPlan у нас есть возможность создать резервную копию наших данных. На вкладке Назначения мы решаем, где мы хотим сохранить копию данных – в облаке или на локальном диске.
Благодаря O&O ShutUp10 мы отключим функции Windows 10, которые считаем нежелательными. Используя переключатели, мы решаем, какие функции должны быть активными, а какие – нет.
Мы можем использовать приложение 7-Zip для шифрования файлов или папок. Если мы хотим зашифровать весь диск нашего компьютера, то это можно сделать с помощью VeraCrypt.
Как навсегда удалить файлы

Eraser – это приложение, которое навсегда удаляет файлы с диска. Использование специальных алгоритмов для удаления данных эффективно предотвращает последующее восстановление файлов.

Запуск ОС с FileVault 2 без учетной записи пользователя

Если том, который будет использоваться для запуска, будет удален и зашифрован перед чистой установкой OS X 10.7.4 или 10.8:

есть пароль для тома
чистая система немедленно будет вести себя так, как если бы FileVault был включен после установка
нет ключа восстановления, нет возможности сохранить ключ в Apple (но система будет вести себя так, как будто ключ был создан)
когда компьютер запущен, Пароль диска появится в EfiLoginUI — его можно использовать для разблокировки громкости и запуска системы
работающая система представит традиционное окно входа в систему.

Apple описывает такой подход как Дисковый пароль на основе DEK.

OS X: Хранилище файлов Fire Vault

Начав с OS X 10.7 (Lion) в 2011 году, Apple стала поддерживать шифрование всего диска с помощью FireVault 2. В более поздних версиях OS X некоторые макбуки предлагали шифровать данные при первой установке программы, но шифровка не стала функцией по умолчанию, как в iOS.

Чтобы зашифровать свой диск постфактум, зайдите в панель Security&Privacy (Защита и безопасность) в разделе System Preferences (Системные настройки) и откройте вкладку FileVault. Нажмите кнопку запуска Turn On FileVault. Вам предложат две опции на выбор: запомнить или где-нибудь сохранить пароль для разблокировки диска или сохранить его в аккаунте на iCloud. При восстановлении локальных данных ваш пароль не увидят другие компании, однако, если вы сами потеряете или забудете его, то система заблокирует и вас. Если вы сохраните пароль на iCloud (или даже если нет, то знайте), мы настоятельно рекомендуем вам настроить двухфакторную аутентификацию для вашего Apple ID.

Шифровка диска не сильно меняет работу OS X. Просто стоит установить пароль для разблокировки диска до загрузки операционной системы, а не после. Кроме того, необходимо уточнить, под какими логинами локальные пользователи могут разблокировать диск. В противном случае включить машину можно будет только с запустившего FireVault аккаунта. Если вам когда-нибудь придётся расшифровывать Mac, то задача упростится, когда вы введёте свой логин в компьютер или воспользуетесь доступным ключом.