Kako onemogućiti šifriranje diska na MacBooku. Kako stvoriti šifrirani USB disk u Mac OS-u

30.05.2021 Windows 7, XP

Većina Mac korisnika koristi lozinku za zaštitu svojih podataka i datoteka od neovlaštenog pristupa. Međutim, je li tako siguran kao što se obično vjeruje? Kako se pokazalo, ne baš. Postoje mnoge metode koje vam omogućuju poništavanje lozinke, dajući vam mogućnost pristupa svim informacijama koje su pohranjene na vašem Macu. Ipak, postoji rješenje za ovaj problem - FileVault. Razgovarat ćemo o tome danas.

FileVault je sustav za enkripciju podataka koji koristi algoritam XTS-AES-128 s duljinom ključa od 256 bita, što pruža izuzetno visoku razinu sigurnosti. Sam ključ za šifriranje generira se na temelju korisničke lozinke pomoću algoritma PBKDF2. Sve informacije ubuduće će biti pohranjene u fragmentima od 8 MB.

Čudno, funkcija radi prilično jednostavno - svi podaci kopiraju se na šifriranu sliku diska, a zatim brišu iz nezaštićenog prostora. Nakon dovršetka početne obrade podataka, nove će se datoteke šifrirati "u hodu" u pozadini. Postoji podrška za Instant Wipe, koja vam omogućuje sigurno brisanje svih informacija na disku bez mogućnosti oporavka. Osim toga, ovaj alat pruža mogućnost šifriranja sigurnosnih kopija Time Machinea.

Kako radi FileVault

Tijekom prvog postavljanja kreira se ključ za oporavak kako bi se zaštitio od gubitka lozinke, što se mora zapamtiti, jer ako se kod izgubi, podaci se neće vratiti. Alternativno, možete postaviti poništavanje lozinke koristeći svoj iCloud račun.

Nakon što smo aktivirali FileVault, proces pokretanja računala se mijenja kako bi se osigurala sigurnost. Ako se ranije lozinka morala unijeti nakon učitavanja računa, sada se to događa prije, što eliminira čak i potencijalnu mogućnost resetiranja korisničke lozinke bilo kojom od poznatih metoda (Single User Mode, dizanje s vanjskog medija i druge metode).

Zašto koristiti FileVault

Korisnička lozinka očito nije dovoljna za osiguranje potpune sigurnosti i privatnosti. Ako imate fizički pristup svom računalu, ponovno postavljanje lozinke samo je pitanje vremena. U slučaju enkripcije možete biti sigurni da nitko neće dobiti pristup podacima. Osim toga, uslužni program je razvijen i već je ugrađen u sustav, što ukazuje na potpunu integraciju sa sustavom.

Još jedan plus je što se količina podataka prije i nakon enkripcije ne mijenja.

Koji su nedostaci

Enkripcija s FileVault ima značajan utjecaj na performanse Maca.
Ne možete oporaviti podatke ako ste zaboravili lozinku i ključ za oporavak.
Ako pogon zakaže, podaci će također biti zauvijek izgubljeni.
Šifrirane kopije Time Machinea ne dopuštaju oporavak određene datoteke, već samo cijele kopije.

Kako postaviti FileVault

Sve što preostaje je ponovno pokrenuti naš Mac. Odmah nakon toga dogodit će se pozadinska enkripcija i računalo se može koristiti bez ograničenja.

Što je FileVault

Kako radi FileVault

Zašto koristiti FileVault

Korisnička lozinka očito nije dovoljna za osiguranje potpune sigurnosti i privatnosti. Ako imate fizički pristup svom računalu, ponovno postavljanje lozinke samo je pitanje vremena. U slučaju enkripcije možete biti sigurni da nitko neće dobiti pristup podacima. Osim toga, uslužni program je razvio Apple i već je ugrađen u sustav, što ukazuje na potpunu integraciju sa sustavom.

Još jedan plus je što se količina podataka prije i nakon enkripcije ne mijenja.

Koji su nedostaci

Enkripcija s FileVault ima značajan utjecaj na performanse Maca.
Ne možete oporaviti podatke ako ste zaboravili lozinku i ključ za oporavak.
Ako pogon zakaže, podaci će također biti zauvijek izgubljeni.
Šifrirane kopije Time Machinea ne dopuštaju oporavak određene datoteke, već samo cijele kopije.

Kako postaviti FileVault

Pokrenite "Postavke sustava".
Idite na stavku izbornika "Zaštita i sigurnost", zatim na karticu "FileVault".
Uklonite bravu pritiskom na bravu u donjem lijevom kutu.
Odaberite "Omogući FileVault".
Ovdje moramo odabrati opciju resetiranja lozinke koja nam odgovara.
Ako smo odabrali ključ za oporavak, dobit ćemo šifru koju moramo zapamtiti i čuvati na sigurnom mjestu.

Sve što preostaje je ponovno pokrenuti naš Mac. Odmah nakon toga dogodit će se pozadinska enkripcija i računalo se može koristiti bez ograničenja.

Budući da se kapacitet flash pogona stalno povećava, a njihove cijene, naprotiv, padaju, oni postaju sve popularniji. Osobito je atraktivna njihova mogućnost prijenosa značajnih količina podataka na prijenosne USB pogone. Međutim, njihova prenosivost ima i lošu stranu - vrlo ih je lako izgubiti. Ovaj recept vam govori kako zaštititi svoje povjerljive podatke od neovlaštenog pristupa u slučaju gubitka USB flash pogona.Malo je vjerojatno da će itko danas osporiti pogodnost prijenosa podataka s računala na računalo na prepisivim prijenosnim USB flash pogonima. Međutim, ova pogodnost ima i lošu stranu - rizik za sigurnost povjerljivih podataka. Kapacitet prijenosnih medija raste, a oni sami postaju sve minijaturniji. Ali što je uređaj manji, lakše ga je izgubiti. Ako se to dogodi, ne gubite samo sam uređaj i podatke pohranjene na njemu. Zapravo, ako su vam ti podaci vrijedni ili su povjerljivi, dopuštate da informacije cure.

Istina je, ako izgubite USB flash pogon, u većini slučajeva onaj tko pronađe ovo malo čudo bit će manje zainteresiran za vaše podatke, a više za sam uređaj - kako bi na njega pohranio vlastite podatke. I ovdje je potrebno napomenuti još jednu stvar. Koristite svoj USB flash pogon na Macu, ali većina korisnika još uvijek koristi Windows. Ako svoj USB pogon spojite na računalo s operativnim sustavom Windows, Windows će vas odmah zatražiti da ga formatirate, tako da korisnici Windowsa vjerojatno neće moći čitati vaše datoteke, čak i ako ih zanima što je pohranjeno na mediju koji ste izgubili.

Ali problem je ako je nalaznik stvarno zainteresiran za sadržaj vašeg flash pogona, a pritom ima Mac na raspolaganju. S druge strane, također postoji šansa da ćete svoj disk ostaviti (zaboraviti) doslovno pored Maca - tada će ga svaki slučajni korisnik u prolazu moći spojiti na ovaj Mac i, primjerice, čak uzeti i kopirati vaš podataka za sebe. Ovo je vrlo neugodan scenarij, a kako biste spriječili razvoj događaja na ovaj način, nije dovoljno samo brinuti o svom USB pogonu. Svi smo mi ljudi, a ljude karakteriziraju rasejanost i zaboravnost. Drugim riječima, nemate jamstva da nećete izgubiti medij sa svojim dragocjenim podacima. Očito, u ovom slučaju podatke treba zaštititi od neovlaštenog pristupa lozinkom. To možete učiniti pomoću aplikacije Disk Utility.

Šifriranje USB pogona

Prva odluka koju trebate donijeti je utvrditi koliko prostora na vašem USB disku treba dodijeliti za podatke zaštićene lozinkom. Općenito, dobro rješenje je zaštititi sve podatke. U tom slučaju izradite sigurnosnu kopiju svog USB pogona na radnoj površini (jednostavno povucite i ispustite sve datoteke i mape pohranjene na njemu u zasebnu mapu). Sigurnosna kopija je neophodna jer da biste postigli svoj cilj, morat ćete izbrisati sve podatke s flash pogona.

Nakon što ste izradili sigurnosnu kopiju, pokrenite Disk Utility (koji se nalazi u mapi /Applications/Utilities) i koristite ga za ponovno formatiranje USB pogona. Nakon ponovnog formatiranja, Mac OS X će automatski stvoriti novi volumen i nazvati ga Untitled. Ovo ime možete ostaviti nepromijenjeno ili mu dodijeliti bilo koje drugo ime po vlastitom nahođenju.

Disk bi sada trebao biti šifriran. U ovom koraku ćete na njemu stvoriti šifriranu .dmg datoteku koja će izgledati kao disk pohranjen na disku (ovo može izgledati pomalo zastrašujuće). Da biste dovršili ovaj zadatak, vratite se u prozor Disk Utility i kliknite gumb New Image. Odmah nakon što kliknete na gumb Nova slika, pojavit će se dijaloški okvir u kojem možete postaviti različite opcije za kreiranu .dmg datoteku. Prvo o čemu biste trebali voditi računa je odabir lokacije vaše nove .dmg datoteke. Ovu datoteku možete izraditi na radnoj površini i zatim je premjestiti na USB disk, ali je možete stvoriti i izravno na odredišnom pogonu.

Nakon što postavite mjesto za .dmg datoteku, možete postaviti njezinu veličinu. Iako Disk Utility nudi niz opcija za stvaranje .dmg datoteka unaprijed definiranih veličina koje odgovaraju standardnim kapacitetima tipičnih medija (CD, DVD, itd.), velika je vjerojatnost da neće postojati opcija koja odgovara veličini vaš USB pogon. Stoga odaberite opciju Custom s padajućeg popisa Volume Size. Očito, trebali biste navesti manju veličinu od stvarne veličine fizičkog diska, ali osim toga, također biste trebali uzeti u obzir troškove formatiranja diska. Na primjer, na USB flash disku od 2 GB maksimalna veličina slikovne datoteke bila je 1,7 GB.

Nakon što postavite mjesto i veličinu .dmg datoteke, morat ćete odrediti vrstu slike koju želite izraditi. U ovom slučaju, slika mora biti čitljiva i pisana, au isto vrijeme mora biti šifrirana. Primjer postavki opcija za stvaranje šifrirane slike prikazan je na sl. 3.41.

IZBJEGAVAJTE ZABUNU: Kada stvarate šifriranu sliku, prvo provjerite da kada kliknete gumb Nova slika, niti jedan pogon nije označen (tj. nije odabran). Ako je bilo koji pogon odabran, Disk Utility će pokušati stvoriti sliku odabranog pogona umjesto stvaranja nove, nedirnute slike. Međutim, ako napravite ovu pogrešku, neće se dogoditi ništa strašno - osim što možete primiti poruku o pogrešci Resource Busy.

Pritisnite gumb Kreiraj i vaš je zadatak skoro gotov. Mac OS X će od vas tražiti da unesete i potvrdite svoju lozinku, nakon čega će se na vašem USB pogonu stvoriti nova šifrirana slika diska.

OSLONITE SE NA MAC OS X ZA IZRADU SVOJIH LOZINKI: Mac OS X uključuje praktičan uslužni program za generiranje lozinki - Password Assistant (Slika 3.42). Mac OS X ne samo da može procijeniti lozinku koju unesete, već i generirati lozinke za vas s različitim razinama otpornosti na pucanje. Pritisnite tipku desno od polja Password i Mac OS X će procijeniti vašu lozinku. Kliknite na gumb sa slikom dvije trokutaste strelice desno od polja Vrsta. Otvorit će se popis opcija s kojih možete odabrati vrstu lozinke.

Korištenje nove slike

Dakle, sve pripremne radnje su već obavljene, a vama preostaje samo da počnete koristiti svoj novi šifrirani USB pogon. Vaša .dmg datoteka ugrađena je u USB pogon poput lutke, ali na radnoj površini pojavljuju se kao dva odvojena volumena. Da biste datoteku smjestili na šifrirano područje diska, povucite je tamo mišem, nakon čega možete lako putovati bilo gdje s šifriranim podacima. Kada trebate kopirati podatke s kriptiranog diska, spojite USB pogon na računalo, otvorite priloženu .dmg datoteku, unesite lozinku (Sl. 3.43) i moći ćete raditi s kriptiranim datotekama.

Povećana sigurnost podataka u Apple Macu jedan je od važnih kriterija prema kojima korisnici odabiru ovu tehnologiju u usporedbi s analogima. Iako se u posljednje vrijeme sve više priča o pojavi novog zlonamjernog softvera za macOS, stopa hakiranja i zaraze virusima je red veličine niža u usporedbi s Windows uređajima. Osim toga, MacBook, iMac, Mac mini i druga računala puno su bolje zaštićena od neovlaštene prijave, hakiranja, pogađanja lozinke itd.

Trebam li omogućiti FileVault ili ne?

Za zaštitu podataka na disku, sustav macOS ima ugrađen poseban uslužni program za šifriranje, FileVault (trenutno verzija 2). Rad programa može se jednostavno opisati na sljedeći način: lozinka za prijavu šifrirana je algoritmom XTS-AES-128 s 256-bitnim ključem, odnosno sve informacije pohranjene su u malim fragmentima od 8 MB. Dakle, jednostavno je nemoguće pogoditi lozinku, čak i uz fizički pristup Macu. U povijesti je bilo presedana kada čak ni specijalizirane službe nisu mogle pristupiti informacijama uz korištenje ogromne računalne snage.

Ova će značajka biti korisna svima koji na svom računalu pohranjuju povjerljive podatke, osobne tajne informacije itd. U novim Mac računalima opremljenim s , sigurnost prijave dodatno je poboljšana, jer se postupak prijave obrađuje bez povezivanja na disk.

Kako omogućiti FileVault na Macu?

Da biste omogućili enkripciju, idite na "Postavke sustava" - "Zaštita i sigurnost" - "FileVault". Pritisnite bravu za otključavanje, uključite funkciju i odaberite opciju poništavanja lozinke. Prema zadanim postavkama postoje samo dva: korištenje Apple ID-a putem iClouda ili korištenje generiranog ključa za oporavak koji se mora zapamtiti/zapisati. Nakon ponovnog pokretanja računala, disk će biti šifriran u hodu.

Kako onemogućiti (zaustaviti) FileVault? Opasnosti i nedostaci enkripcije

Da biste onemogućili FileVault, idite na “Postavke sustava” - “Zaštita i sigurnost” - “FileVault”. Otključajte postavku pritiskom na bravu. Odaberite Isključi FileVault. Morate pričekati neko vrijeme za dešifriranje (nemojte gasiti računalo).

U slučaju enkripcije podataka, postoji i naličje medalje. Unatoč visokoj sigurnosti, budite spremni suočiti se s nedostacima ove vrste zaštite. Jedan od najbezazlenijih je da sustav može početi raditi nešto sporije. Drugo, ako zaboravite ili izgubite ključ za oporavak lozinke (i samu lozinku), više se nećete moći prijaviti u sustav. Ista stvar će se dogoditi ako je disk oštećen, u kojem slučaju neće biti moguće vratiti podatke. I konačno, kada vraćate sustav iz Time Machine-a, ne možete vratiti niti jednu datoteku, već samo cijeli sustav.

zaključke

Ja sam, poput mnogih ljudi uključenih u administraciju sustava, pomalo paranoičan. Vjerujem da netko želi ukrasti moje podatke. Iako zapravo ne trebaju nikome osim meni (“i brojnim napadačima koji spavaju i gledaju kako doći do mojih fotografija, izbora glazbe i filmova, i...” – to su riječi mog unutarnjeg paranoika), ali neće škoditi zaštititi se.

Što se događa ako se laptop ukrade?

Najjednostavniji slučaj je da lopov odmah ponovno formatira disk i instalira čistu verziju operativnog sustava. Ostaje samo kupiti novi laptop, vratiti se iz Time Machine-a i mirno nastaviti s radom. Ovaj scenarij tipičan je za pametnog lopova koji zna za značajku "Pronađi moj Mac" i sustav Pray.

Ali postoji još jedan slučaj - lopov je ili glup ili znatiželjan. Ako je glup, počet će koristiti laptop a da ne dira sustav. Nedavna povijest hvatanja takvog lopova opisana je u članku "Zašto ne kradete od hakera". Sve je završilo loše za lopova, a odlično za vlasnika laptopa.

Ako je lopov znatiželjan i pametan, odmah će onemogućiti mrežna sučelja da sustav ni slučajno ne pristupi Internetu, te će početi proučavati od čega može profitirati.

Počet će proučavati dokumente, pristupne ključeve, pokušati doći do Keychaina, pogledati povijest naredbi u ljusci i možda naletjeti na lozinku (po mom iskustvu bio je slučaj kada je vrlo brz kolega unio administratorsku lozinku u sesija pretjerano znatiželjnog korisnika, ali je nije upisao u polje za zahtjev za lozinku, već samo u ljusku, a administratorska lozinka je završila u .history). U kliničkom slučaju lozinka može biti ista za sustav i za bazu podataka 1Password. Nema potrebe nastaviti. A onda - ili prodor ili ucjena.

Nadam se da ne mislite da će traženje lozinke prilikom prijave nekoga spriječiti? Lozinka firmvera (bar prije) poništena je uklanjanjem jedne od nekoliko memorijskih kartica i zatim brisanjem PRAM-a. Zatim - način rada za jednog korisnika, nekoliko naredbi i lozinka se mijenja. Ako se ne želite gnjaviti s Firmware Password, onda se disk izvadi iz prijenosnog računala, poveže s drugim računalom i dobije se pristup svim podacima.

Za zaštitu od opisanih situacija implementiran je FileVault. U prvoj verziji korisnički matični direktorij bio je smješten u šifrirani spremnik (sparse bundle image), čiji je ključ bila korisnička lozinka. Bez poznavanja lozinke, kontejner se nije mogao otvoriti. Ne treba isključiti mogućnost pogađanja lozinke, ali ako je lozinka bila složena, onda su podaci bili potpuno sigurni.

Sigurnost morate platiti. Kako biste sigurnosno kopirali svoje podatke na Time Machine, morali ste se odjaviti sa svog računa. Nije bilo moguće izvršiti selektivno vraćanje putem sučelja Time Machine. Omogućavanje enkripcije ponekad je pogoršalo rad s datotekama za 50%. Bilo je i drugih manjih poteškoća.

OS X Lion uključuje poboljšanu verziju - FileVault 2, sustav enkripcije cijelog diska koji koristi algoritam XTS-AES 128.

U procesu proučavanja problema obratio sam se člancima MacFixIt-a “O FileVault 2 u OS X 10.7 Lion” i ArsTechnica “Promjene datotečnog sustava u Lionu”.

Oni koji žele razumjeti matematičke modele mogu pročitati dokument “IEEE P1619TM/D16 Standard for Cryptographic Protection of Data on Block-Oriented Storage Devices” i “Not so scary, XTS-AES”.

Particija s EFI i Recovery HD ostaje nekriptirana:

$ diskutil list /dev/disk0 #: VRSTA IME VELIČINA IDENTIFIKATOR 0: GUID_partition_scheme *160.0 GB disk0 1: EFI 209.7 MB disk0s1 2: Apple_CoreStorage 159.2 GB disk0s2 3: Apple_Boot Recovery HD 650.0 MB disk0s3

Nakon inicijalizacije hardvera, EFI pronalazi Recovery HD i prenosi kontrolu na bootloader /System/Library/CoreServices/boot.efi koji se nalazi na ovoj particiji.
Bootloader ima dvije opcije - pokrenite EfiLoginUI s com.apple.boot.x i pokažite početni zaslon s upitom za lozinku za prijavu ili, ako je pritisnuta kombinacija Option-R, ljusku za oporavak sustava s com.apple.recovery.boot .
Ključevi za dekriptiranje diska pohranjeni su u datoteci EncryptedRoot.plist.wipekey u direktoriju /com.apple.boot.x/System/Library/Caches/com.apple.corestorage. Korisnička lozinka dekriptira ključeve diska koji se nalaze u ovoj datoteci. Zatim se pohranjuju u memoriju, a sadržaj diska se dešifrira u hodu. Svaki put kad se promijeni korisnička lozinka, dodaje se novi korisnik, a sličnim operacijama EncryptedRoot.plist.wipekey se ponovno generira.

FileVault također radi za korisnike koji se prijavljuju putem OpenDirectoryja - njihovi pristupni atributi se pohranjuju u predmemoriju u slučaju da nema veze s imeničkim poslužiteljem.

Učinkovitost diskovnih operacija s uključenim FileVault 2, prema Anandtech testovima, pogoršava se za najviše 20-30%, što je sasvim prihvatljivo. Međutim, vrijedi uzeti u obzir da postoji ovisnost o procesoru i disku. Novi Intelovi procesori koriste AES-NI skupove instrukcija za ubrzavanje AES Intel® Advanced Encryption Standard Instructions (AES-NI) i rukovanje šifriranjem diska bolje od starijih Core 2 Duo procesora. Svatko donosi svoju odluku na temelju vlastitog hardvera.

Ako vaš Mac bude ukraden, bit će gotovo nemoguće pristupiti podacima (podložno složenoj lozinci i neočitim odgovorima na ključna pitanja o vraćanju od Applea). Samo ćete morati kupiti novi Mac i ne brinuti previše o tome da će se lozinke ugroziti i podaci koristiti.

Time Machine sada radi bez potrebe da se odjavite sa svog računa. Sada morate zaštititi svoje podatke Time Machinea i bolje ih je smjestiti u kriptiranu particiju (kako to učiniti opisano je u članku Mac OS X Lion FileVault 2 i Time Machine External Drive Encryption).

Jedna od "značajki" koju morate zapamtiti je da će prilikom pokretanja s pritisnutom Option odjeljak "Recovery HD" biti nedostupan; da biste se pokrenuli s njega, morate držati pritisnutu kombinaciju tipki Command-R.

Aktivacija

Aktivacija FileVault 2 je jednostavna. Postavke sustava/Sigurnost i privatnost/FileVault, kliknite na lokot za promjene, uključite FileVault. Neophodno je da ključ i odgovore na pitanja o vraćanju ključa spremite na sigurno i šifrirano mjesto (ako ste ga odlučili spremiti u Apple). Sustav će od vas tražiti da ponovno pokrenete sustav. Odmah po učitavanju tražit će se vaša lozinka i nakon prijave odmah ćete moći raditi. Nema potrebe čekati satima da se particija šifrira; ova se operacija izvodi u pozadini dok vi u potpunosti radite:

Pokretanjem iClouda pojavit će se mogućnost "Pronađi moj Mac" u kojoj, analogno s "Pronađi moj iPhone/iPad", kada se Mac pojavi na mreži, možete prikazati poruku sa zvučnim signalom, zaključati Mac, ili čak uništiti sadržaj šifriranog diska (mogu pretpostaviti da su izbrisani ključevi šifriranja i disk postaje beskoristan niz podataka).