Pengenalan kepada FileVault
Komputer Mac menawarkan FileVault, keupayaan penyulitan terbina dalam, untuk melindungi semua data semasa rehat. FileVault menggunakan algoritma penyulitan data AES-XTS untuk melindungi volum penuh pada peranti storan dalaman dan boleh dikeluarkan.
FileVault pada Mac dengan Apple silicon dilaksanakan menggunakan Perlindungan Data Kelas C dengan kunci volum. Pada komputer Mac dengan Apple silicon dan komputer Mac dengan Cip Keselamatan T2 Apple, peranti storan dalaman yang disulitkan disambungkan terus ke Secure Enclave mempengaruhi keupayaan keselamatan perkakasan juga enjin AES. Selepas pengguna mengaktifkan FileVault pada Mac, kelayakan mereka diperlukan semasa proses but.
Storan dalaman dengan FileVault diaktifkan
Tanpa kelayakan log masuk yang sah atau kunci pemulihan kriptografi, volum APFS dalaman kekal disulitkan dan dilindungi daripada akses tidak dibenarkan, walaupun peranti storan fizikal dikeluarkan dan disambungkan ke komputer lain. Dalam macOS 10.15, ini termasuk kedua-dua volum sistem dan volum data. Dalam macOS 11 atau lebih baharu, volum sistem dilindungi oleh ciri volum sistem ditandatangani (SSV), tetapi volum data kekal dilindungi oleh penyulitan. Untuk komputer Mac sama ada dengan Apple silicon atau cip T2, penyulitan volum dalaman dilaksanakan dengan membina dan mengurus hierarki kunci. Penyulitan juga dibina pada teknologi penyulitan perkakasan terbina dalam cip tertentu. Hierarki kunci direka bentuk untuk mencapai empat matlamat secara serentak:
Memerlukan kata laluan pengguna untuk penyahsulitan
Melindungi sistem daripada serangan daya kasar secara terus terhadap media storan yang dikeluarkan daripada Mac
Menyediakan kaedah yang cepat dan selamat untuk pemadaman kandungan dengan memadamkan bahan kriptografi yang diperlukan
Mendayakan pengguna untuk menukar kata laluan mereka (dan sebagai ganti, kunci kriptografi digunakan untuk melindungi fail mereka) tanpa memerlukan penyulitan semula keseluruhan volum
Pada Mac dengan Apple silicon dan Mac dengan cip T2, semua pengendalian kunci FileVault berlaku dalam Secure Enclave; kunci penyulitan tidak pernah didedahkan secara terus ke CPU Intel. Semua volum APFS dicipta dengan kunci penyulitan volum secara lalai. Kandungan volum dan metadata disulitkan dengan kunci penyulitan volum ini, yang dibalut dengan kunci kelas. Kunci kelas dilindungi oleh gabungan kata laluan pengguna dan UID perkakasan apabila FileVault diaktifkan.
Storan dalaman dengan FileVault dinyahaktifkan
Jika FileVault tidak diaktifkan pada Mac dengan Apple silicon atau Mac dengan cip T2 semasa permulaan proses Pembantu Persediaan, volum masih disulitkan tetapi kunci penyulitan volum hanya dilindungi oleh UID perkakasan dalam Secure Enclave.
Jika FileVault diaktifkan kemudian—proses yang serta-merta kerana data telah disulitkan—mekanisme anti main semula menghalang kunci lama (berasaskan UID perkakasan sahaja) daripada digunakan untuk menyahsulitkan volum. Volum kemudiannya dilindungi oleh gabungan kata laluan pengguna dengan UID perkakasan seperti diterangkan sebelumnya.
Memadamkan volum FileVault
Apabila volum dipadamkan, kunci penyulitan volum dipadamkan secara selamat oleh Secure Enclave. Ini menghalang akses masa hadapan dengan kunci ini walaupun dengan Secure Enclave. Selain itu, semua kunci penyulitan volum dibalut dengan kunci media. Kunci media tidak memberikan kerahsiaan data tambahan, tetapi sebaliknya direka bentuk untuk mendayakan pemadaman cepat dan selamat kerana tanpanya, penyahsulitan adalah mustahil.
Pada Mac dengan Apple silicon dan yang mempunyai cip T2, kunci media dijamin akan dipadamkan oleh teknologi yang menyokong Secure Enclave—sebagai contoh, oleh perintah MDM jauh. Memadamkan kunci media dalam keadaan ini mempersembahkan volum tidak boleh diakses secara kriptografi.
Peranti storan boleh dikeluarkan
Penyulitan peranti storan boleh dikeluarkan tidak menggunakan keupayaan keselamatan Secure Enclave dan penyulitannya dilaksanakan dalam keadaan yang sama seperti komputer Mac berasaskan Intel tanpa cip T2.