Войти
 | |
 FileVault в Системных настройках в разделе «Безопасность» | |
| Другие имена | Программное обеспечение для шифрования диска |
|---|---|
| Операционная система | macOS |
| Лицензия | Собственная |
FileVault - это программа шифрования диска в Mac OS X 10.3 (2003) и позже. Он выполняет шифрование на лету с томами на компьютерах Mac.
FileVault был представлен в Mac OS X Panther (10.3) и мог применяться только к домашний каталог пользователя, а не загрузочный том. Операционная система использует зашифрованный разреженный образ диска (большой отдельный файл) для представления тома для домашнего каталога. Mac OS X Leopard и Mac OS X Snow Leopard используют более современные образы дисков с разреженными пакетами, которые распределяют данные по файлам размером 8 МБ (называемым полосами) внутри пакета.. Apple называет эту оригинальную версию FileVault устаревшей версией FileVault.
Mac OS X Lion (2011) и более новое предложение FileVault 2, которое представляет собой значительную переработку. Это шифрует весь загрузочный том OS X и обычно включает домашний каталог, отказываясь от использования образа диска. При таком подходе к шифрованию диска информация авторизованных пользователей загружается с отдельного незашифрованного загрузочного тома (тип раздела / сегмента Apple_Boot).
Исходная версия FileVault была добавлена в Mac OS X Panther для шифрования домашнего каталога пользователя.
Когда FileVault включен, система предлагает пользователю создать главный пароль для компьютера. Если пароль пользователя забыт, вместо него можно использовать мастер-пароль или ключ восстановления для расшифровки файлов.
Миграция домашних каталогов FileVault подлежит двум ограничениям:
Если Помощник по миграции уже использовался или если на целевом устройстве есть учетные записи пользователей:
При переносе данных FileVault с предыдущего компьютера Mac, который использует 10.4 используя встроенную утилиту для перемещения данных на новый компьютер, данные продолжают храниться в старом формате разреженного изображения, и пользователь должен выключить FileVault, а затем снова включить его, чтобы повторно зашифровать в новом формате разреженного пакета.
Вместо использования FileVault для шифрования домашнего каталога пользователя с помощью Disk Utility пользователь может сам создать зашифрованный образ диска и сохранить любое подмножество своего домашнего каталога каталог (например, ~ / Documents / private). Этот зашифрованный образ ведет себя аналогично зашифрованному домашнему каталогу FileVault, но находится в ведении пользователя.
Шифрование только части домашнего каталога пользователя может быть проблематичным, когда приложениям требуется доступ к зашифрованным файлам, который не будет доступен, пока пользователь не смонтирует зашифрованный образ. В определенной степени это можно уменьшить, создав символические ссылки для этих конкретных файлов.
Без Mac OS X Server, Time Machine будет создавать резервную копию домашнего каталога FileVault только тогда, когда пользователь вышел из системы. В таких случаях Time Machine может полностью выполнить резервное копирование домашнего каталога. При использовании Mac OS X Server в качестве места назначения Time Machine резервное копирование домашних каталогов FileVault происходит, когда пользователи находятся в системе.
Поскольку FileVault ограничивает способы доступа процессов других пользователей к содержимому пользователя, некоторые сторонние резервные копии решения могут выполнять резервное копирование содержимого домашнего каталога FileVault пользователя, только если исключены другие части компьютера (включая домашние каталоги других пользователей).
В Legacy FileVault было обнаружено несколько недостатков. Его безопасность может быть нарушена путем взлома 1024-битного RSA или 3DES-EDE.
Legacy FileVault, использующего режим работы CBC (см. теория шифрования диска ); FileVault 2 использует более сильный режим XTS-AESW. Еще одна проблема - хранение ключей в режиме «безопасного сна» macOS. В исследовании, опубликованном в 2008 году, было обнаружено, что остаточные данные в динамической памяти с произвольным доступом (DRAM) сохраняются от секунд до минут при комнатной температуре и гораздо дольше при охлаждении микросхем памяти низкая температура. Авторы исследования смогли использовать атаку холодной загрузки для восстановления криптографических ключей для нескольких популярных систем шифрования дисков, включая FileVault, за счет использования избыточности в способе хранения ключей после того, как они были расширены для эффективного использования., например, в планирование клавиш. Авторы рекомендуют выключать компьютеры, а не оставлять их в «спящем» состоянии, когда владелец физически не контролирует их.
Ранние версии FileVault автоматически сохраняли парольную фразу пользователя в системной цепочке ключей, что требовало пользователь должен заметить и вручную отключить эту дыру в безопасности.
В 2006 году, после выступления на 23-м Chaos Communication Congress под названием «Разблокировка FileVault: анализ системы хранения зашифрованных дисков Apple», Джейкоб Аппельбаум и Ральф-Филипп Вайнманн выпустила VileFault, который расшифровывает зашифрованные файлы образов дисков Mac OS X.
Очистка свободного пространства с помощью Дисковой утилиты оставила нетронутой большую часть ранее удаленных остатков файлов. Аналогичным образом, компактные операции FileVault стирают только небольшие части ранее удаленных данных.
FileVault использует пароль для входа в систему в качестве пароля шифрования. Он использует режим XTS-AES из AES со 128-битными блоками и 256-битным ключом для шифрования диска, как рекомендовано NIST. Только пользователи с разрешенной разблокировкой могут запускать или разблокировать диск. После разблокировки другие пользователи также могут использовать компьютер до его выключения.
Было обнаружено, что снижение производительности ввода-вывода при использовании FileVault 2 находится в порядка 3% при использовании ЦП с набором инструкций AES, таких как Intel Core i и. Ухудшение производительности будет больше для ЦП без этого набора команд, например, для более старых ЦП Core.
Когда FileVault 2 включен во время работы системы, система создает и отображает ключ восстановления для компьютера и, при необходимости, предлагает пользователю сохранить ключ с Яблоко. 120-битный ключ восстановления кодируется всеми буквами и цифрами от 1 до 9 и считывается из / dev / random, и поэтому зависит от безопасности PRNG, используемого в macOS. В ходе криптоанализа в 2012 году этот механизм был признан безопасным.
Изменение ключа восстановления невозможно без повторного шифрования тома File Vault.
Пользователи, которые используют FileVault 2 в OS X 10.9 и выше может проверить правильность работы своего ключа после шифрования, запустив sudo fdesetup validaterecovery в Терминале после завершения шифрования. Ключ должен иметь форму xxxx-xxxx-xxxx-xxxx-xxxx-xxxx и вернет true, если правильный.
Если том, который будет использоваться для запуска, стирается и шифруется перед чистой установкой OS X 10.7.4 или 10.8:
Apple описывает этот тип подхода как DEK на основе пароля диска.
