![](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/ru_RU/52d714626638d3391623c853be0c593b.png)
Шифрование тома с помощью FileVault в macOS
На компьютерах Mac имеется встроенная функция шифрования под названием FileVault, которая защищает все хранящиеся на компьютере данные. FileVault использует алгоритм шифрования данных AES-XTS для защиты всего тома на внутренних и съемных устройствах хранения.
Функция FileVault на компьютере Mac с чипом Apple реализована с использованием технологии защиты данных класса C и ключа тома. На Mac с чипом Apple и на Mac с чипом безопасности Apple T2 зашифрованные внутренние устройства хранения, напрямую подключенные к Secure Enclave, используют аппаратные функции безопасности, которые предоставляет этот сопроцессор, а также соответствующие функции модуля AES. Если пользователь включил FileVault на Mac, во время загрузки потребуется ввести учетные данные.
Примечание. Для следующих Mac: 1) модели, выпущенные ранее моделей с чипом T2; 2) компьютеры с внутренним хранилищем, которое изначально не поставлялось с Mac; 3) компьютеры с подключенным внешним устройством хранения. После включения FileVault все имеющиеся файлы и все данные, записываемые впоследствии, шифруются. Данные, добавленные и затем удаленные перед включением FileVault, не шифруются, и их может быть невозможно восстановить с помощью судебных инструментов восстановления данных.
Внутреннее хранилище с включенной функцией FileVault
Без действительных учетных данных для входа или криптографического ключа восстановления внутренние тома APFS останутся зашифрованными и защищенными от несанкционированного доступа, даже если извлечь физическое устройство хранения из компьютера и подключить его к другому компьютеру. В macOS 10.15 это относится и к системному тому, и к тому данных. Начиная с macOS 11 для защиты системного тома применяется функция подписанного системного тома (SSV), однако для защиты томов данных по-прежнему используется шифрование. Шифрование внутреннего тома на компьютере Mac с чипом Apple и на компьютере Mac с чипом T2 осуществляется путем построения и контроля иерархии ключей, и оно основано на технологиях аппаратного шифрования, встроенных в чип. Эта иерархия ключей предназначена для одновременного решения следующих четырех задач:
требование пароля пользователя для расшифровки;
защита системы от атаки методом перебора, выполняемой непосредственно на носителе информации, который был извлечен из Mac;
предоставление возможности быстрого и надежного стирания данных путем удаления необходимых криптографических ключей;
предоставление пользователю возможности изменить свой пароль (и, в свою очередь, криптографические ключи, используемые для защиты его файлов) без необходимости повторного шифрования всего тома.
![Процесс шифрования внутреннего тома при включенной функции FileVault в macOS.](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/ru_RU/d9c63cc5d4e4c85b7cf1785e76ad7f63.png)
На Mac с чипом Apple и на Mac с чипом T2 вся обработка ключа FileVault выполняется в Secure Enclave; ключи шифрования никогда не раскрываются непосредственно процессору Intel. При создании любого тома APFS ему по умолчанию назначается ключ шифрования тома. Содержимое тома и метаданных шифруется с использованием этого ключа шифрования тома, который защищается с помощью ключа шифрования ключей (KEK). При включении FileVault ключ KEK защищается с помощью пароля пользователя и аппаратного идентификатора UID.
Внутреннее хранилище с отключенной функцией FileVault
Если на компьютере Mac с чипом Apple или компьютере Mac с чипом T2 в процессе начальной настройки в Ассистенте настройки не включить FileVault, том по-прежнему будет зашифрован, но ключ шифрования тома в Secure Enclave будет защищен только с помощью аппаратного UID.
![Процесс шифрования внутреннего тома при выключенной функции FileVault в macOS.](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/ru_RU/bdabefa1b35bc13471adb2f33794c2ee.png)
Если включить FileVault позднее (что будет выполнено мгновенно, поскольку данные уже зашифрованы), механизм антиповтора позволяет предотвратить использование старого ключа (основанного только на аппаратном UID) для расшифровки тома. Том будет защищен с помощью сочетания пароля пользователя и аппаратного UID, как было описано ранее.
Удаление томов FileVault
При удалении тома сопроцессор Secure Enclave безопасным образом удаляет его ключ шифрования тома. Данная мера позволяет предупредить дальнейший доступ с помощью этого ключа (даже для сопроцессора Secure Enclave). Кроме того, все ключи шифрования томов помещаются в упаковку в виде ключа носителя. Ключ носителя не обеспечивает дополнительную конфиденциальность данных. Он предназначен для быстрого и надежного удаления данных, поскольку без него расшифровка будет невозможной.
На Mac с чипом Apple и на Mac с чипом T2 ключ носителя гарантированно стирается технологией, поддерживаемой Secure Enclave, например командами удаленного стирания MDM. Такой способ стирания ключа носителя делает весь том криптографически недоступным.
Съемные устройства хранения
При шифровании съемных устройств хранения не используются функции безопасности Secure Enclave, а шифрование выполняется аналогично шифрованию на компьютере Mac с процессором Intel без чипа T2.