Introduction à FileVault
Les ordinateurs Mac proposent FileVault, une fonctionnalité de chiffrement intégrée, pour sécuriser toutes les données au repos. FileVault utilise l’algorithme de chiffrement de données AES-XTS afin de protéger les volumes complets sur les périphériques de stockage internes et amovibles.
FileVault sur un Mac doté d’une puce Apple a recours à la protection des données de classe C par le biais d’une clé de volume. Sur les Mac dotés de la puce Apple et les Mac dotés d’une puce de sécurité T2 d’Apple, les périphériques de stockage internes chiffrés connectés directement à Secure Enclave tirent parti de ses fonctionnalités de sécurité matérielles ainsi que de celles du moteur AES. Lorsqu’un utilisateur a activé FileVault sur un Mac, ses informations d’identification sont requises pendant le processus de démarrage.
Stockage interne avec FileVault activé
Sans informations d’identification valides ni clé de secours cryptographique, les volumes APFS internes restent chiffrés et sont protégés contre tout accès non autorisé même si le périphérique de stockage physique est retiré et connecté à un autre ordinateur. Sous macOS 10.15, cela inclut à la fois le volume système et le volume de données. À partir de macOS 11 ou ultérieur, le volume système est protégé par la fonctionnalité « Volume système signé », mais le volume de données demeure protégé par chiffrement. Pour les ordinateurs Mac dotés d’une puce Apple ou de la puce T2, le chiffrement du volume interne est mis en œuvre en construisant et en gérant une hiérarchie de clés. Le chiffrement tire également parti des technologies de chiffrement matérielles intégrées à la puce. Cette hiérarchie de clés est conçue pour atteindre simultanément quatre objectifs :
Exiger le mot de passe de l’utilisateur pour le déchiffrement
Protéger le système contre une attaque par force brute directement à l’encontre du support de stockage retiré du Mac
Fournir une méthode rapide et sûre pour effacer le contenu en supprimant le matériel cryptographique nécessaire
Permettre aux utilisateurs de modifier leur mot de passe (et, à leur tour, les clés cryptographiques utilisées pour protéger leurs fichiers) sans nécessiter un nouveau chiffrement du volume complet
Sur les Mac dotés d’une puce Apple et sur ceux dotés de la puce T2, la totalité de la gestion des clés FileVault a lieu dans Secure Enclave. Les clés de chiffrement ne sont jamais exposées directement au processeur Intel. Tous les volumes APFS sont créés avec une clé de chiffrement de volume par défaut. Les contenus de métadonnées et de volume sont chiffrés avec cette clé de chiffrement de volume, qui est enveloppée à l’aide de la clé de classe. La clé de classe est protégée par une combinaison du mot de passe de l’utilisateur et l’UID du matériel lorsque FileVault est activé.
Stockage interne avec FileVault désactivé
Si FileVault n’est pas activé sur un Mac doté d’une puce Apple ou sur un Mac doté de la puce T2 pendant le processus initial d’« Assistant réglages », le volume est tout de même chiffré, mais la clé de chiffrement de volume est protégée uniquement par l’UID du matériel dans Secure Enclave.
Si FileVault est activé ultérieurement (un processus qui est immédiat puisque les données étaient déjà chiffrées), un mécanisme anti-réexécution empêche l’ancienne clé (basée uniquement sur l’UID du matériel) d’être utilisée pour déchiffrer le volume. Le volume est alors protégé par une combinaison du mot de passe de l’utilisateur et de l’UID du matériel, comme nous l’avons déjà décrit.
Suppression de volumes FileVault
Lorsqu’un volume est supprimé, sa clé de chiffrement de volume est supprimée en toute sécurité par Secure Enclave. Cela empêche un accès futur avec cette clé, même par Secure Enclave. En outre, toutes les clés de chiffrement de volume sont enveloppées à l’aide d’une clé de support. La clé de support ne fournit pas de confidentialité supplémentaire des données, mais est plutôt conçue pour permettre une suppression rapide et sécurisée des données, puisque le déchiffrement est impossible sans elle.
Sur les Mac dotés d’une puce Apple et sur ceux dotés de la puce T2, l’effacement de la clé de support est garanti par la technologie prise en charge par Secure Enclave (par exemple au moyen de commandes MDM à distance). L’effacement de la clé de support de cette manière rend le volume cryptographiquement inaccessible.
Périphériques de stockage amovibles
Le chiffrement des périphériques de stockage amovibles n’utilise pas les fonctionnalités de sécurité de Secure Enclave et il est effectué de la même manière que sur les ordinateurs Mac à processeur Intel dépourvus de puce T2.