Apple пересмотрела принципы хранения ключей шифрования FileVault
В macOS Tahoe был изменен подход к хранению ключей восстановления FileVault — технологии полнодискового шифрования для компьютеров Apple. Владельцы устройств с уже активированной защитой пока работают по старым правилам, однако при следующей настройке им предстоит перейти на новую схему. Если ранее вы доверяли Apple хранение резервного ключа, то теперь безопасность данных зависит исключительно от вас.
FileVault в современном виде дебютировал в Mac OS X 10.7 Lion, заменив первоначальную версию, которая шифровала лишь домашнюю папку. Нынешняя реализация защищает весь загрузочный том: система требует ввести пароль учетной записи еще до запуска macOS, и только после успешной аутентификации предоставляет доступ к зашифрованным данным.
При активации FileVault генерируется специальный код восстановления — единственная альтернатива для расшифровки информации в случае повреждения системных файлов аутентификации. Подобные сбои происходят редко, но без резервного способа доступа зашифрованные данные становятся безвозвратно утраченными.
До выхода Tahoe пользователям предлагались два варианта: записать сгенерированный код и сохранить его в надежном месте (желательно в менеджере паролей) либо воспользоваться облачным депонированием через iCloud. Второй способ имел существенный недостаток — любой, получивший доступ к Apple ID, мог извлечь резервный код с заблокированного Mac. В новой версии Apple устранила эту уязвимость, кардинально изменив механизм облачного хранения.
Теперь код восстановления защищен сквозным шифрованием в составе iCloud Keychain и доступен через приложение «Пароли». Изменения существенно повышают уровень ответственности пользователя за сохранность критически важных данных. При невозможности разблокировать Mac стандартным паролем уже недостаточно просто войти в Apple ID — потребуется либо доступ к другому доверенному устройству с iCloud Keychain, либо заранее сохраненная копия кода.
Обновленный подход имеет свои преимущества: восстановление больше не требует отключения и повторной активации FileVault, а сам код доступен с любых устройств под защитой сквозного шифрования. Однако главное изменение заключается в том, что забота о сохранности резервного доступа полностью переходит к владельцу устройства — что, по сути, и соответствует принципам информационной безопасности.
