Ako svakodnevno koristite Mac, pohranjujete poslovne dokumente, osobne fotografije, financijske podatke ili podatke o tvrtki, vjerojatno već imate lozinku za prijavu i mislite da je to dovoljno. Stvarnost je takva da bez enkripcije svatko tko dobije fizički pristup vašem računalu može čitati vaš tvrdi disk kao da je riječ o običnom USB flash pogonu , čak i bez poznavanja vaše korisničke lozinke.
Tu nastupa FileVault, Appleova tehnologija šifriranja za macOS. FileVault štiti sadržaj vašeg tvrdog diska ili SSD-a tako da se može dešifrirati samo unosom ispravne lozinke ili korištenjem ključa za oporavak . Pogledajmo pobliže što je to točno, kako radi na različitim vrstama Macova i kako ga možete korak po korak aktivirati bez zbunjenosti, iskorištavajući u potpunosti njegov sigurnosni potencijal.
Što je FileVault na Macu i zašto je toliko važan?
FileVault je, ukratko, sustav za šifriranje cijelog diska ugrađen u macOS . Koristi napredni standard šifriranja (AES), istu vrstu tehnologije koju koriste vlade i tvrtke za zaštitu vrlo osjetljivih informacija.
U praksi to znači da se svi podaci pohranjeni na disku spremaju u nečitljivom formatu bez ispravne lozinke . Čak i ako netko ukrade vaš Mac, ukloni disk i spoji ga na drugo računalo, sve što će vidjeti su šifrirani podaci koje je nemoguće interpretirati bez lozinke ili ključa za oporavak.
FileVault je bio značajka macOS-a (prije poznatog kao Mac OS X) od vrlo ranih verzija, poput 10.3, i s vremenom se razvijao. Moderne verzije FileVaulta šifriraju cijeli boot disk, ne samo mapu za pokretanje , nudeći puno sveobuhvatniju razinu zaštite nego u ranijim iteracijama.
Što se tiče jačine enkripcije, macOS obično koristi 128-bitni AES za FileVault, koji pruža vrlo visoku razinu sigurnosti i dovoljan je za veliku većinu korisnika i tvrtki . Za napadača je probijanje ove enkripcije grubom silom praktički nemoguće.
Zato je FileVault posebno namijenjen korisnicima koji rukuju povjerljivim informacijama : freelancerima s financijskim podacima, profesionalcima koji nose dokumente klijenata, tvrtkama s mobilnim prijenosnim računalima ili bilo kome tko jednostavno ne želi da njihovi podaci budu izloženi u slučaju krađe ili gubitka.
Kako FileVault radi ovisno o vrsti Maca koji imate
Jedna od ključnih točaka u razumijevanju FileVaulta danas je razlikovanje različitih vrsta Macova na temelju njihovog sigurnosnog hardvera. Ne ponaša se potpuno isto na Macu s Appleovim čipom (M1, M2, itd.) ili T2 sigurnosnim čipom kao što se ponaša na starijem Macu bez tih čipova.
Mac s Apple čipom (M1, M2, itd.) ili T2 sigurnosnim čipom
Ako je vaš Mac relativno noviji i ima čip M serije (Apple Silicon) ili uključuje sigurnosni čip T2 (koji se nalazi u mnogim Intelovim modelima iz posljednjih godina), šifriranje pohrane već je automatski omogućeno na razini hardvera . Ovi čipovi integriraju mehanizam za šifriranje koji uvijek šifrira sadržaj diska, bez obzira na to jeste li omogućili FileVault ili ne.
Pa koja je onda svrha FileVaulta u ovim slučajevima? Na ovim Macovima, omogućavanje FileVaulta dodaje dodatni sloj sigurnosti povezivanjem hardverske enkripcije s vašom korisničkom lozinkom i/ili ključem za oporavak . Na taj način nitko ne može dešifrirati sadržaj bez unosa ispravne lozinke prilikom pokretanja ili otključavanja računala.
Osim toga, aktiviranje FileVaulta na ovim modelima automatski pojačava druge sigurnosne mjere : na primjer, sustav će zahtijevati lozinku prilikom izlaska iz stanja mirovanja ili čuvara zaslona, a sigurno upravljanje pokretanjem integrirano je s tom enkripcijom kako bi se smanjile mogućnosti neovlaštenog pristupa.
Mac bez Appleovog čipa ili T2 čipa
Na starijim Mac računalima koja nemaju Appleov ili T2 čip, enkripcija nije omogućena prema zadanim postavkama . Na tim računalima, ako ručno ne omogućite FileVault, vaši se podaci pohranjuju na tvrdom disku ili SSD-u u čitljivom formatu (osim standardnih zaštita dopuštenja macOS-a, koje nisu dovoljne protiv izravnog fizičkog pristupa disku).
Stoga je na ovoj vrsti Maca omogućavanje FileVaulta ključno ako želite da vaši podaci budu doista šifrirani . Kada to učinite, macOS pokreće proces pretvorbe koji šifrira sav sadržaj pokretačkog diska, zadatak koji može trajati od nekoliko sati do znatno dulje, ovisno o veličini i brzini pogona.
Što FileVault štiti, a što ne.
FileVault je prvenstveno dizajniran za sprječavanje neovlaštenog pristupa vašim podacima ako se ne mogu prijaviti u vašu sesiju i nemaju vaše vjerodajnice . Njegova snaga leži u situacijama kada je vaše računalo izgubljeno ili ukradeno ili kada netko pokuša pristupiti vašim podacima uklanjanjem pogona i spajanjem na drugo računalo.
Kada je FileVault aktivan, sadržaj vašeg diska je šifriran "u mirovanju ". To znači da su sve pohranjene informacije šifrirane dok je vaše računalo isključeno ili zaključano. Čim unesete lozinku i sustav se pokrene, macOS dešifrira podatke potrebne za funkcioniranje u hodu i ponovno ih šifrira prilikom spremanja.
Međutim, važno je razumjeti da FileVault ne zamjenjuje druge sigurnosne mjere . Ako je vaša sesija otvorena i ostavite Mac bez nadzora bez automatskog zaključavanja, netko s fizičkim pristupom mogao bi ga koristiti kao da ste vi, jer je u tom trenutku disk već dešifriran za sustav.
Stoga je, uz enkripciju, preporučljivo implementirati robusnu politiku za zaključavanje datoteka nakon buđenja iz stanja mirovanja ili nakon razdoblja neaktivnosti te koristiti snažne lozinke . FileVault je ključna komponenta, ali dio je sveobuhvatnog skupa mjera.
Prave prednosti aktiviranja FileVaulta
Osim teorije, prirodno je zapitati se koje konkretne prednosti FileVault nudi u svakodnevnoj upotrebi. Prva velika prednost je da ako vam Mac bude ukraden ili izgubljen, vaši podaci postaju praktički nedostupni svima bez vaše lozinke ili ključa za oporavak.
Zamislite da na svom prijenosnom računalu nosite računovodstvene zapise svoje tvrtke, interna izvješća, podatke o klijentima ili neobjavljene projekte. Bez enkripcije, lopov bi lako mogao ukloniti disk, spojiti ga na drugo računalo i pregledavati ga . S FileVaultom, ostat će im potpuno enkriptirani disk, bez realne mogućnosti oporavka informacija.
Druga prednost je što enkripcija pomaže u usklađivanju s internim politikama tvrtke i zakonskim zahtjevima za zaštitu podataka . U korporativnim ili obrazovnim okruženjima, IT odjeli obično zahtijevaju enkripciju diska za sva prijenosna računala, upravo kako bi ublažili rizike u slučaju gubitka podataka.
Nadalje, na novijim Macovima s Apple ili T2 čipovima, utjecaj na performanse je obično vrlo nizak, praktički neprimjetan većini korisnika . Hardver je optimiziran za šifriranje i dešifriranje u stvarnom vremenu, tako da sustav nastavlja raditi glatko.
Konačno, FileVault jača i druge slojeve sigurnosti sustava. Kada je omogućen, macOS pooštrava način na koji obrađuje prijavu, otključavanje nakon spavanja i određene postavke sigurnog pokretanja , dodatno smanjujući šanse za neovlašteni pristup.
Nedostaci i ograničenja FileVaulta
Iako se FileVault toplo preporučuje, nije čarobni štapić bez nedostataka. Glavni povijesni nedostatak bio je potencijalni utjecaj na performanse, posebno na starijim Mac računalima ili onima s mehaničkim tvrdim diskovima . Budući da sustav mora stalno šifrirati i dešifrirati podatke prilikom čitanja i pisanja, može doći do blagog usporavanja.
Na modernim računalima s brzim SSD-ovima i hardverskom enkripcijom, ovaj utjecaj je puno manje primjetan, ali na starijim strojevima možete primijetiti da su određene operacije s diskom nešto sporije . To neće učiniti vaš Mac neupotrebljivim, ali je nešto što treba imati na umu.
Još jedan veliki nedostatak je taj što ako izgubite lozinku za prijavu i pridruženi ključ za oporavak, pristup vašim podacima postaje nemoguć . Šifriranje je upravo u tu svrhu: nitko, pa ni Apple, neće moći pristupiti vašem disku bez ispravnih vjerodajnica.
Zbog toga je ključ za oporavak ključno čuvati na sigurnom i lako pamtljivom mjestu , ali nikada uz sam Mac. Možete koristiti upravitelj lozinki, spremiti ga u šifrirani dokument ili ga zapisati na papir i čuvati na diskretnom mjestu.
Što se tiče razloga zašto FileVault nije omogućen prema zadanim postavkama na svim Mac računalima, nekoliko čimbenika dolazi u obzir: kompatibilnost s različitim korisničkim scenarijima, potencijalni utjecaji na performanse na starijim računalima i potreba za jasnim objašnjenjem posljedica gubitka lozinke . Apple preferira da korisnik (ili tvrtka) donese informiranu odluku o omogućavanju.
Tipični slučajevi upotrebe u kojima FileVault čini razliku
Za neke korisnike, FileVault je praktički neophodan. Ako radite s financijskim informacijama svoje tvrtke na Mac prijenosnom računalu koje često iznosite iz ureda , ostavljanje diska nešifriranim predstavlja nepotreban rizik. Jednostavan propust u vlaku ili kafiću mogao bi rezultirati ozbiljnom povredom podataka.
Još jedan klasičan primjer: profesionalci koji rukuju podacima klijenata, medicinskim kartonima, pravnim dokumentima, istraživačkim projektima ili povjerljivim nacrtima . Šifriranje diska ključno je za poštivanje obveza povjerljivosti i propisa o zaštiti podataka.
Čak i kao privatni korisnik, ako pohranjujete privatne fotografije, osobne dokumente, kopije osobnih iskaznica, ugovora ili bilo koju datoteku koju ne želite da cirkulira , FileVault vam nudi mir znajući da će sadržaj ostati zaštićen ako vaš Mac padne u pogrešne ruke.
Također je vrlo korisno za timove koji dijele radne prostore, poput prijenosnih računala koja koriste studenti u studentskim domovima, coworking prostorima ili zajedničkim uredima . U tim kontekstima rizik od krađe ili gubitka je veći, a šifriranje se posebno preporučuje.
Zahtjevi za aktivaciju FileVaulta na vašem Macu
Prije nego što počnete aktivirati FileVault, važno je razumjeti što vam je potrebno. Glavni uvjet je imati korisnički račun s administratorskim ovlastima na vašem Macu , budući da samo administrator može uključiti ili isključiti šifriranje pokretačkog diska.
Nadalje, preporučuje se da imate nedavnu sigurnosnu kopiju podataka prije početka procesa šifriranja , na primjer pomoću Time Machinea ili drugog alata za sigurnosnu kopiju poput Carbon Copy Clonera (CCC). To nije zato što je FileVault nestabilan, već zato što svaka operacija s velikim diskom uvijek nosi određeni rizik.
Još jedna važna točka: tijekom procesa šifriranja diska preporučuje se da vaš Mac bude priključen na izvor napajanja , posebno prijenosna računala. To će spriječiti pauziranje ili prekid procesa zbog naglog gašenja.
U nekim slučajevima, posebno ako pripremate vanjski disk s mogućnošću šifriranog pokretanja, morat ćete ispravno formatirati volumen (na primjer, u APFS ako vaš Mac ima T2 čip ili Apple Silicon) prije pokretanja šifriranja pomoću FileVaulta ili iz Findera.
Kako korak po korak aktivirati FileVault na tvrdom disku vašeg Maca
Postavljanje FileVaulta je prilično jednostavno, iako tekst izbornika u početku može djelovati zastrašujuće. Sve se radi putem Postavke sustava (ili Postavke sustava u novijim verzijama macOS-a) , u odjeljku sigurnosti.
U klasičnim verzijama macOS-a, uobičajeni put je: Postavke sustava → Sigurnost i privatnost → kartica „FileVault” . U novijim verzijama macOS-a, put se može malo razlikovati, ali uvijek postoji odjeljak posvećen šifriranju diska.
U tom odjeljku vidjet ćete je li FileVault omogućen ili onemogućen. Da biste ga izmijenili, prvo morate kliknuti lokot u donjem kutu i unijeti administratorsku lozinku . Bez ovog koraka sustav vam neće dopustiti promjenu postavki.
Kada kliknete gumb za aktiviranje FileVaulta, čarobnjak će vas pitati kako želite otključati pogon ako zaboravite lozinku za prijavu . Ovdje dolaze u obzir dva glavna sustava oporavka.
Nakon što prihvatite postavke, macOS će početi šifrirati sadržaj vašeg pokretačkog diska. Taj proces može potrajati neko vrijeme, ovisno o kapacitetu i vrsti diska . U međuvremenu možete nastaviti koristiti računalo, iako ćete primijetiti povećanu aktivnost diska. Nije bitno čekati da se završi prije ponovnog pokretanja, ali najbolje ga je ne prekidati naglo.
Odaberite metodu oporavka: iCloud ili ključ za oporavak
Jedan od najtežih dijelova postavljanja FileVaulta je odlučiti kako ćete pristupiti svom disku ako zaboravite lozinku. macOS nudi barem dvije mogućnosti: korištenje vašeg iCloud računa ili generiranje ključa za oporavak.
Opcija "iCloud račun i lozinka" najpraktičnija je za mnoge korisnike. Ako već koristite iCloud ili ga planirate postaviti, možete dopustiti svom iCloud računu da otključa šifrirani disk u slučaju nužde. Na taj način ne morate brinuti o pohranjivanju zasebne, duge lozinke.
Alternativa je korištenje "ključa za oporavak". U tom slučaju sustav generira jedinstveni niz slova i brojeva koji djeluje kao glavni ključ za dešifriranje diska . Ovaj se ključ prikazuje samo jednom tijekom postavljanja i morate ga vrlo pažljivo zapisati.
Važno je da ključ za oporavak pohranite na sigurno mjesto odvojeno od Maca . To može biti u upravitelju lozinki, šifriranom dokumentu na drugom uređaju ili čak dobro zaštićenom komadu papira. Važno je da ga ne izgubite, ali i da mu nije lako pristupiti.
U poslovnim ili obrazovnim okruženjima uobičajeno je da sama organizacija upravlja institucionalnim ključem za oporavak . Na taj način, ako zaposlenik zaboravi lozinku, IT odjel može otključati računalo bez gubitka podataka, a istovremeno održava visoku razinu kontrole nad korporativnim podacima.
Korištenje FileVaulta s drugim korisnicima na istom Macu
Kada administrator omogući FileVault na Macu s više korisničkih računa, svaki korisnik s omogućenim FileVaultom na svom računu može pokrenuti Mac i prijaviti se vlastitom lozinkom . Drugim riječima, disk se dešifrira kada jedan od tih ovlaštenih korisnika unese svoje vjerodajnice prilikom pokretanja.
Ako na tom Macu postoji račun koji nema omogućen FileVault, taj korisnik neće moći sam pokrenuti Mac i otključati pogon . U tom scenariju, netko tko ima omogućen FileVault prvo se mora prijaviti; zatim se taj korisnik može odjaviti bez ponovnog pokretanja, a drugi korisnik će se moći normalno prijaviti.
Ova metoda osigurava da samo izričito ovlašteni računi mogu otključati šifrirani disk . Važno je provjeriti koji korisnici imaju ovu privilegiju, posebno ako dijelite svoj Mac s drugima ili ga koristite u obiteljskom okruženju s više računa.
FileVault i sigurnosne kopije: korištenje s Carbon Copy Clonerom (CCC)
Šifriranje diska ne završava s vašim primarnim Macom: također je dobra ideja šifrirati sigurnosne kopije, posebno ako su pohranjene na vanjskim diskovima koji se često premještaju . Alati poput Carbon Copy Clonera (CCC) omogućuju vam rad s volumenima zaštićenim FileVaultom, u HFS+ i APFS formatima.
Ako želite stvoriti sigurnosnu kopiju za pokretanje, šifriranu pomoću FileVaulta , preporučuje se sljedeći postupak. Prvo formatirajte odredišni volumen slijedeći CCC upute, bez označavanja kao šifriranog za pokretanje. Ako vaš Mac ima T2 čip, preporučuje se korištenje APFS-a.
Zatim koristite CCC za kloniranje trenutnog boot diska na nešifrirani odredišni volumen . Na sustavima starijim od macOS Mojave obično morate stvoriti volumen za oporavak na tom disku (CCC uključuje opciju za to), a da biste to učinili, morate biti prijavljeni s administratorskim računom. Na modernim APFS volumenima ovaj korak obično nije potreban.
Zatim, u Postavkama sustava (System Preferences), odaberite disk za sigurnosnu kopiju kao disk za pokretanje i ponovno pokrenite računalo s njega. Nakon pokretanja s ovog kloniranog volumena, omogućite FileVault na ploči Sigurnost i privatnost za šifriranje diska za sigurnosnu kopiju.
Nakon što se FileVault aktivira (ne morate čekati da se proces šifriranja potpuno završi), možete se vratiti na ploču Boot Disk, ponovno odabrati primarni volumen kao boot disk i ponovno pokrenuti računalo . Nakon toga, samo trebate konfigurirati CCC da redovito izrađuje sigurnosne kopije na taj sada šifrirani volumen.
Napredni aspekti i mjere opreza prilikom šifriranja sigurnosnih kopija
Postoje neki napredni detalji koje treba uzeti u obzir prilikom omogućavanja šifriranja na sigurnosnom disku koji je inicijalno nešifriran . Dok se volumen pretvara u šifrirani, podaci se prepisuju i na kraju procesa, u načelu, ne bi trebao ostati nikakav dostupan trag nešifriranih informacija.
Međutim, postoje nijanse. Na primjer, na SSD-ovima, ako ste izbrisali datoteke prije omogućavanja enkripcije , sam SSD je možda odbacio neke nešifrirane blokove podataka (zbog vlastitog internog upravljanja trošenjem). U vrlo tehnički zahtjevnom scenariju, stručnjak bi mogao oporaviti neke od tih preostalih podataka.
Slično tome, ako se proces šifriranja prekine ili ne uspije iz bilo kojeg razloga, neki se podaci potencijalno mogu oporaviti . Ako su vam ove pretpostavke neprihvatljive zbog osjetljivosti vaših podataka, možete odabrati da ne uključite svoje najosjetljivije podatke u prvu sigurnosnu kopiju na taj disk ili slijedite protokol sigurnog brisanja podataka.
Ideja bi bila isključiti određene direktorije tijekom početnog procesa kloniranja, pokrenuti sustav s diska za sigurnosnu kopiju, aktivirati FileVault na njemu i, nakon šifriranja, ponovno pokrenuti zadatak kopiranja, ovaj put uključujući sve podatke. Na taj način, svaka datoteka kopirana dok se volumen šifrira bit će šifrirana od samog početka.
Ako vaša sigurnosna kopija ne mora biti pokretačka (samo želite šifrirani vanjski disk za pohranu podataka), postupak je još jednostavniji : samo kliknite desnom tipkom miša na volumen u Finderu i odaberite opciju za šifriranje volumena. Međutim, u macOS High Sierra i novijim verzijama, omogućavanje šifriranja na ovaj način na HFS+ volumenu vjerojatno će uzrokovati da ga sustav automatski pretvori u APFS.
Praktične preporuke i uobičajeni problemi tijekom šifriranja
Tijekom procesa pretvaranja u šifrirani disk, posebno na macOS Catalina sustavu, neki su korisnici primijetili da se šifriranje pauzira na neodređeno vrijeme ako se Mac isključi iz struje na pola procesa . Iako se to ne događa uvijek, dovoljno je čest problem da zahtijeva poduzimanje mjera opreza.
Kako biste izbjegli glavobolje, najbolje je ostaviti Mac uključen tijekom cijelog procesa pretvorbe , posebno ako je volumen koji se šifrira velika sigurnosna kopija. Ako vidite da sustav pokazuje da je šifriranje pauzirano, ostavite ga uključenog i prijavljenog, idealno preko noći.
macOS ne nudi baš jednostavan način pregleda detaljnog napretka šifriranja, ali možete koristiti aplikaciju Terminal i pokrenuti naredbe poput "diskutil apfs list" ili "diskutil cs list" (ovisno o tome je li volumen APFS ili HFS+) za provjeru internog statusa pretvorbe.
U nekim slučajevima, šifriranje se nastavlja tek nakon prijave s administratorskim računom na glavni sustav . Ako primijetite da je pretvorba zapela, pokušajte pokrenuti sustav s uobičajenog pogona, prijaviti se s administratorskim računom i ostaviti računalo da radi neko vrijeme s priključenim diskom za sigurnosnu kopiju.
Kao opće pravilo, nemojte naglo isključivati vanjske pogone dok se šifriraju , niti prisilno isključivati sustav ako to možete izbjeći. Iako je proces osmišljen da bude robustan, svaki neočekivani prekid povećava vjerojatnost da se nešto neće ispravno dovršiti.
U konačnici, omogućavanje i korištenje FileVaulta dodaje vrlo snažnu barijeru protiv neovlaštenog pristupa, kako vašem primarnom Macu, tako i vašim sigurnosnim kopijama. S dobrom sigurnosnom kopijom, sigurnim ključem za oporavak i malo strpljenja tijekom šifriranja, možete postići vrlo visoku razinu zaštite podataka bez prevelikog kompliciranja stvari.
