FileVault¶

FileVault — встроенная функция шифрования диска в операционных системах macOS, разработанная компанией Apple. Она обеспечивает защиту данных на загрузочном диске компьютеров Mac путём их полного шифрования с использованием алгоритма AES (Advanced Encryption Standard) с длиной ключа 128 бит. FileVault предназначена для предотвращения несанкционированного доступа к данным в случае физической кражи устройства или извлечения жёсткого диска.

¶История

Первая версия, FileVault 1, была представлена в 2003 году в составе операционной системы Mac OS X Panther (10.3). Она шифровала только домашнюю директорию пользователя, а не весь диск целиком, и использовала алгоритм шифрования с длиной ключа 128 бит. Недостатком этой версии была уязвимость к атакам на незашифрованные системные файлы и временные данные.

В 2011 году с выходом Mac OS X Lion (10.7) компания Apple представила FileVault 2. Это обновление полностью изменило подход: теперь шифровался весь системный раздел, включая файлы операционной системы, приложения и данные всех пользователей. FileVault 2 использует технологию XTS-AES-128 и интегрирована с аппаратным модулем шифрования, встроенным в процессоры Intel и Apple Silicon.

¶Принцип работы

FileVault 2 работает на уровне драйвера файловой системы. При включении шифрования создаётся зашифрованный контейнер, в который преобразуется содержимое всего загрузочного диска. Процесс шифрования происходит в фоновом режиме и может занять от нескольких минут до нескольких часов в зависимости от объёма данных.

Для расшифровки данных при загрузке используется один из двух механизмов:

• Пароль пользователя — вводится при включении компьютера до загрузки операционной системы.
• Ключ восстановления — генерируется при включении FileVault и представляет собой случайную строку символов. Этот ключ можно сохранить в учётной записи Apple ID или распечатать и хранить в безопасном месте. Без него доступ к данным невозможен.

Ключи шифрования хранятся в защищённом разделе памяти, недоступном для обычных приложений. При каждом включении компьютера ключ расшифровывается с помощью пароля или ключа восстановления.

¶Управление и настройка

Включение FileVault осуществляется через системные настройки в разделе «Конфиденциальность и безопасность». Пользователь может выбрать, каким способом разрешить разблокировку диска: паролем учётной записи или ключом восстановления, сохранённым в iCloud.

Для организаций, использующих корпоративные Mac-компьютеры, предусмотрена возможность централизованного управления FileVault через решения для управления мобильными устройствами (MDM). Администратор может принудительно включить шифрование на всех устройствах и хранить ключи восстановления в защищённом хранилище.

¶Аппаратная поддержка

Начиная с 2016 года, в компьютерах Mac с чипами T1 и T2, а затем и с процессорами Apple Silicon (M1, M2 и новее), шифрование FileVault аппаратно ускоряется. Специализированный сопроцессор обеспечивает шифрование и дешифрование данных без существенной нагрузки на центральный процессор. Это делает использование FileVault практически незаметным для пользователя.

¶Ограничения и особенности

FileVault не защищает данные от атак, выполняемых внутри работающей системы. Если злоумышленник получил доступ к уже разблокированному компьютеру, шифрование не помешает ему прочитать файлы. Также FileVault не защищает от вредоносного программного обеспечения, которое может перехватывать пароль при вводе.

Шифрование не применяется к внешним накопителям, подключаемым через USB или Thunderbolt, если для них не настроена отдельная защита. Для таких дисков в macOS предусмотрена функция шифрования отдельных томов, использующая аналогичные алгоритмы.

При использовании FileVault невозможен доступ к данным через режим Target Disk Mode (режим внешнего диска) без ввода пароля. Это повышает безопасность, но может создавать неудобства при техническом обслуживании компьютера.

¶Значение

FileVault является стандартным средством защиты данных для пользователей macOS. Она соответствует требованиям ряда нормативных актов, включая законы о защите персональных данных, поскольку обеспечивает шифрование данных в состоянии покоя. В корпоративной среде включение FileVault часто является обязательным условием для допуска устройств к работе с конфиденциальной информацией.

¶Источники

• Документация Apple: «FileVault 2 — технические характеристики»
• Руководство пользователя macOS: раздел «Шифрование диска»
• Материалы конференции Black Hat по безопасности операционных систем Apple