Introduksjon til FileVault
Macer har FileVault, en innebygd krypteringsfunksjon som sikrer alle lagrede data. FileVault bruker AES-XTS-datakrypteringsalgoritmen til å beskytte hele volumer på interne og uttakbare lagringsenheter.
FileVault på Macer med Apple-chip implementeres ved hjelp av databeskyttelsesklasse C med en volumnøkkel. På Macer med Apple-chip og Macer med Apple T2-sikkerhetsbrikke bruker krypterte interne lagringsenheter direkte koblet til Secure Enclave maskinvaresikkerhetsfunksjonene samt AES-motoren. Når en bruker har slått på FileVault på en Mac, må brukeren oppgi akkreditivene sine under oppstartsprosessen.
Intern lagring med FileVault er slått på
Hvis det verken oppgis gyldige påloggingsakkreditiver eller en kryptografisk gjenopprettingsnøkkel, forblir det interne APFS-volumet kryptert og er beskyttet mot uautorisert tilgang selv om den fysiske lagringsenheten er fjernet og tilkoblet en annen maskin. I macOS 10.15 inkluderer dette både systemvolumet og datavolumet. I macOS 11 eller nyere beskyttes systemvolumet av det signerte systemvolumet (SSV), men datavolumet forblir beskyttet av kryptering. For Macer med enten Apple-chip eller T2-brikke implementeres kryptering av internt volum ved å konstruere og administrere et hierarki av nøkler. Krypteringen er også basert på teknologien for maskinvarekryptering som er innebygd i chipen. Hierarkiet med nøkler er designet for å oppnå fire mål samtidig:
kreve brukerens passord for dekryptering
beskytte systemet mot et brute-force-angrep direkte mot lagringsmedier som er fjernet fra Macen
tilby en rask og sikker metode for å slette innhold via sletting av nødvendig kryptografisk materiale
gjøre det mulig for brukere å endre passordet (og i sin tur de kryptografiske nøklene som brukes til å beskytte filene deres), uten å kreve ny kryptering av hele volumet
På Macer med Apple-chip og Macer med T2-brikken skjer all FileVault-nøkkelhåndtering i Secure Enclave. Krypteringsnøkler eksponeres aldri direkte for Intel-prosessoren. Alle APFS-volumer opprettes med en volumkrypteringsnøkkel som standard. Volum- og metadatainnhold krypteres med denne volumkrypteringsnøkkelen, som er pakket med klassenøkkelen. Klassenøkkelen beskyttes av en kombinasjon av brukerens passord og maskinvare-UID-en når FileVault er på.
Intern lagring med FileVault er slått av
Hvis FileVault ikke blir slått på for Macer med Apple-chip eller Macer med T2-sikkerhetsbrikken under den første Oppsettassistent-prosessen, er volumet fortsatt kryptert, men volumkrypteringsnøkkelen beskyttes kun av maskinvare-UID-en i Secure Enclave.
Hvis FileVault slås på senere – en prosess som er umiddelbar ettersom dataene allerede er kryptert – forhindrer en anti-repetisjon-mekanisme at den gamle nøkkelen (kun basert på maskinvare-UID-en) brukes til å dekryptere volumet. Volumet beskyttes da av en kombinasjon av brukerpassordet og maskinvare-UID-en som tidligere beskrevet.
Sletting av FileVault-volumer
Når et volum slettes, vil volumkrypteringsnøkkelen slettes på en sikker måte av Secure Enclave. Dette hindrer senere tilgang med denne nøkkelen, selv fra Secure Enclave. I tillegg pakkes alle volumkrypteringsnøkler med en medienøkkel. Medienøkkelen tilbyr ikke ytterligere datakonfidensialitet, men er i stedet designet for å muliggjøre rask og sikker sletting av data ettersom dekryptering er umulig uten den.
På Macer med Apple-chip og Macer med T2-brikken garanteres det at medienøkkelen slettes av Secure Enclave-støttet teknologi – for eksempel eksterne MDM-kommandoer. Når medienøkkelen slettes på denne måten, blir volumet kryptografisk utilgjengelig.
Lagringsenheter som kan fjernes
Kryptering av uttakbare lagringsenheter bruker ikke sikkerhetsfunksjonene til Secure Enclave, og kryptering utføres på samme måte som på Intel-baserte Macer uten T2-brikken.