Ako svakodnevno koristite Mac, pohranjujete poslovne dokumente, lične fotografije, finansijske podatke ili informacije o kompaniji, vjerovatno već imate lozinku za prijavu i mislite da je to dovoljno. Stvarnost je da, bez enkripcije, svako ko dobije fizički pristup vašem računaru može čitati vaš tvrdi disk kao da je u pitanju običan USB fleš disk , čak i bez poznavanja vaše korisničke lozinke.
Tu nastupa FileVault, Appleova tehnologija šifriranja za macOS. FileVault štiti sadržaj vašeg tvrdog diska ili SSD-a tako da se može dešifrirati samo unosom ispravne lozinke ili korištenjem ključa za oporavak . Pogledajmo detaljnije šta je to tačno, kako funkcioniše na različitim tipovima Mac računara i kako ga možete aktivirati korak po korak bez zbunjenosti, koristeći u potpunosti njegov sigurnosni potencijal.
Šta je FileVault na Macu i zašto je toliko važan?
FileVault je, ukratko, sistem za potpuno šifriranje diska ugrađen u macOS . Koristi Advanced Encryption Standard (AES), istu vrstu tehnologije koju koriste vlade i preduzeća za zaštitu vrlo osjetljivih informacija.
U praksi, to znači da se svi podaci pohranjeni na disku spremaju u nečitljivom formatu bez ispravne lozinke . Čak i ako neko ukrade vaš Mac, ukloni disk i poveže ga s drugim računarom, sve što će vidjeti su šifrirani podaci, koje je nemoguće interpretirati bez lozinke ili ključa za oporavak.
FileVault je bio dio macOS-a (ranije Mac OS X) od vrlo ranih verzija, kao što je 10.3, i vremenom se razvijao. Moderne verzije FileVaulta šifriraju cijeli boot disk, ne samo startup folder , nudeći mnogo sveobuhvatniji nivo zaštite nego u ranijim verzijama.
Što se tiče jačine enkripcije, macOS obično koristi 128-bitni AES za FileVault, koji pruža vrlo visok nivo sigurnosti i dovoljan je za veliku većinu korisnika i preduzeća . Za napadača, probijanje ove enkripcije grubom silom je praktično nemoguće.
Zato je FileVault posebno namijenjen korisnicima koji rukuju povjerljivim informacijama : freelancerima s financijskim podacima, profesionalcima koji nose dokumente klijenata, kompanijama s mobilnim laptopima ili bilo kome tko jednostavno ne želi da njihovi podaci budu izloženi u slučaju krađe ili gubitka.
Kako FileVault funkcioniše u zavisnosti od tipa Mac računara koji imate
Jedna od ključnih tačaka u razumijevanju FileVaulta danas je razlikovanje različitih tipova Mac računara na osnovu njihovog sigurnosnog hardvera. Ne ponaša se potpuno isto na Mac računaru sa Apple čipom (M1, M2, itd.) ili T2 sigurnosnim čipom kao što se ponaša na starijem Mac računaru bez ovih čipova.
Mac sa Apple čipom (M1, M2, itd.) ili T2 sigurnosnim čipom
Ako je vaš Mac relativno noviji i ima čip M serije (Apple Silicon) ili uključuje sigurnosni čip T2 (koji se nalazi u mnogim Intel modelima iz posljednjih godina), šifriranje pohrane je već automatski omogućeno na hardverskom nivou . Ovi čipovi integrišu mehanizam za šifriranje koji uvijek šifrira sadržaj diska, bez obzira na to da li ste omogućili FileVault ili ne.
Pa koja je onda poenta FileVaulta u ovim slučajevima? Na ovim Mac računarima, omogućavanje FileVaulta dodaje dodatni sloj sigurnosti povezivanjem hardverske enkripcije s vašom korisničkom lozinkom i/ili ključem za oporavak . Na ovaj način, niko ne može dešifrirati sadržaj bez unosa ispravne lozinke prilikom pokretanja ili otključavanja računara.
Osim toga, aktiviranje FileVaulta na ovim modelima automatski pojačava druge sigurnosne mjere : na primjer, sistem će zahtijevati lozinku pri izlasku iz stanja mirovanja ili čuvara ekrana, a sigurno upravljanje pokretanjem integrirano je s tom enkripcijom kako bi se smanjile šanse za neovlašteni pristup.
Mac bez Apple čipa ili T2 čipa
Na starijim Mac računarima koji nemaju Apple čip ili T2 čip, enkripcija nije omogućena prema zadanim postavkama . Na ovim mašinama, ako ručno ne omogućite FileVault, vaši podaci se pohranjuju na tvrdom disku ili SSD-u u čitljivom formatu (osim standardnih zaštita dozvola macOS-a, koje nisu dovoljne protiv direktnog fizičkog pristupa disku).
Stoga je na ovoj vrsti Maca omogućavanje FileVaulta neophodno ako želite da vaši podaci budu zaista šifrirani . Kada to učinite, macOS pokreće proces konverzije koji šifrira sav sadržaj pokretačkog diska, zadatak koji može trajati od nekoliko sati do znatno duže, ovisno o veličini i brzini diska.
Šta FileVault štiti, a šta ne.
FileVault je prvenstveno dizajniran da spriječi neovlašteni pristup vašim podacima ako se ne mogu prijaviti na vašu sesiju i nemaju vaše pristupne podatke . Njegova snaga leži u situacijama kada je vaš računar izgubljen ili ukraden, ili kada neko pokuša pristupiti vašim podacima uklanjanjem diska i povezivanjem s drugim računarom.
Kada je FileVault aktivan, sadržaj vašeg diska je šifriran "u stanju mirovanja ". To znači da su sve pohranjene informacije šifrirane dok je računar isključen ili zaključan. Čim unesete lozinku i sistem se pokrene, macOS dešifrira podatke koji su mu potrebni za funkcioniranje u hodu i ponovo ih šifrira prilikom spremanja.
Međutim, važno je shvatiti da FileVault ne zamjenjuje druge sigurnosne mjere . Ako je vaša sesija otvorena i ostavite svoj Mac bez nadzora bez automatskog zaključavanja, neko s fizičkim pristupom mogao bi ga koristiti kao da ste vi, jer je u tom trenutku disk već dešifriran za sistem.
Stoga je, pored enkripcije, preporučljivo implementirati robusnu politiku za zaključavanje datoteka nakon buđenja iz stanja mirovanja ili nakon perioda neaktivnosti, te koristiti jake lozinke . FileVault je ključna komponenta, ali je dio sveobuhvatnog skupa mjera.
Prave prednosti aktiviranja FileVault-a
Osim teorije, prirodno je zapitati se koje konkretne prednosti FileVault nudi u svakodnevnoj upotrebi. Prva velika prednost je da ako vam Mac bude ukraden ili izgubljen, vaši podaci postaju praktično nedostupni svima bez vaše lozinke ili ključa za oporavak.
Zamislite da na laptopu nosite računovodstvene zapise, interne izvještaje, podatke o klijentima ili neobjavljene projekte vašeg preduzeća. Bez enkripcije, lopov bi lako mogao ukloniti disk, povezati ga s drugim računarom i pregledavati ga . S FileVaultom, ostat će im potpuno enkriptovani disk, bez realne mogućnosti oporavka informacija.
Još jedna prednost je što enkripcija pomaže u usklađivanju s internim politikama kompanije i zakonskim zahtjevima za zaštitu podataka . U korporativnim ili obrazovnim okruženjima, IT odjeli obično zahtijevaju enkripciju diska za sve laptope, upravo kako bi ublažili rizike u slučaju gubitka podataka.
Nadalje, na novijim Mac računarima s Apple ili T2 čipovima, utjecaj na performanse je obično vrlo nizak, praktično neprimjetan za većinu korisnika . Hardver je optimiziran za šifriranje i dešifriranje u stvarnom vremenu, tako da sistem nastavlja raditi glatko.
Konačno, FileVault jača i druge slojeve sigurnosti sistema. Kada je omogućen, macOS pooštrava način na koji obrađuje prijavu, otključavanje nakon spavanja i određene postavke sigurnog pokretanja , dodatno smanjujući šanse za neovlašteni pristup.
Nedostaci i ograničenja FileVaulta
Iako se FileVault toplo preporučuje, on nije čarobni štapić bez nedostataka. Glavni historijski nedostatak je bio potencijalni utjecaj na performanse, posebno na starijim Mac računarima ili onima s mehaničkim tvrdim diskovima . Budući da sistem mora stalno šifrirati i dešifrirati podatke prilikom čitanja i pisanja, može doći do blagog usporavanja.
Na modernim računarima sa brzim SSD diskovima i hardverskom enkripcijom, ovaj uticaj je mnogo manje primjetan, ali na starijim mašinama možete primijetiti da su određene operacije s diskom nešto sporije . To neće učiniti vaš Mac neupotrebljivim, ali je nešto što treba imati na umu.
Još jedan veliki nedostatak je to što ako izgubite lozinku za prijavu i pridruženi ključ za oporavak, pristup vašim podacima postaje nemoguć . Šifriranje služi upravo toj svrsi: niko, pa ni Apple, neće moći pristupiti vašem disku bez ispravnih podataka za prijavu.
Zbog toga je ključ za oporavak ključa ključ za oporavak ključa čuvati na sigurnom i lako pamtljivom mjestu , ali nikada uz sam Mac. Možete koristiti upravitelj lozinki, sačuvati ga u šifriranom dokumentu ili ga zapisati na papir i čuvati na diskretnom mjestu.
Što se tiče razloga zašto FileVault nije omogućen po zadanim postavkama na svim Mac računarima, nekoliko faktora dolazi u obzir: kompatibilnost s različitim korisničkim scenarijima, potencijalni utjecaji na performanse na starijim mašinama i potreba za jasnim objašnjenjem implikacija gubitka lozinke . Apple preferira da korisnik (ili kompanija) donese informiranu odluku o njegovom omogućavanju.
Tipični slučajevi upotrebe u kojima FileVault pravi razliku
Za neke korisnike, FileVault je praktično neophodan. Ako radite s finansijskim informacijama vaše kompanije na Mac laptopu koji često iznosite iz kancelarije , ostavljanje diska nešifrovanim predstavlja nepotreban rizik. Jednostavan propust u vozu ili kafiću može dovesti do ozbiljnog kršenja podataka.
Još jedan klasičan primjer: profesionalci koji rukuju podacima klijenata, medicinskim kartonima, pravnim dokumentima, istraživačkim projektima ili povjerljivim nacrtima . Šifriranje diska je ključno za poštivanje obaveza povjerljivosti i propisa o zaštiti podataka.
Čak i kao privatni korisnik, ako pohranjujete privatne fotografije, lične dokumente, kopije ličnih karata, ugovora ili bilo koju datoteku koju ne želite da cirkuliše , FileVault vam nudi mir znajući da će, ako vaš Mac padne u pogrešne ruke, sadržaj ostati zaštićen.
Također je vrlo korisno za timove koji dijele radne prostore, kao što su laptopi koje koriste studenti u studentskim domovima, coworking prostorima ili zajedničkim kancelarijama . U tim kontekstima, rizik od krađe ili gubitka je veći, te se posebno preporučuje enkripcija.
Zahtjevi za aktivaciju FileVaulta na vašem Macu
Prije nego što počnete aktivirati FileVault, važno je razumjeti šta vam je potrebno. Glavni zahtjev je imati korisnički račun s administratorskim privilegijama na vašem Macu , budući da samo administrator može uključiti ili isključiti šifriranje pokretačkog diska.
Nadalje, toplo se preporučuje da napravite nedavnu sigurnosnu kopiju podataka prije početka procesa šifriranja , na primjer, korištenjem Time Machinea ili nekog drugog alata za sigurnosno kopiranje poput Carbon Copy Clonera (CCC). To nije zato što je FileVault nestabilan, već zato što svaka operacija s velikim diskom uvijek nosi određeni rizik.
Još jedna važna stvar: tokom procesa šifriranja diska, preporučuje se da vaš Mac bude priključen na izvor napajanja , posebno laptopi. Ovo će spriječiti pauziranje ili prekid procesa zbog naglog gašenja.
U nekim slučajevima, posebno ako pripremate eksterni disk sa mogućnošću šifriranog pokretanja, morat ćete pravilno formatirati volumen (na primjer, u APFS ako vaš Mac ima T2 čip ili Apple Silicon) prije pokretanja šifriranja pomoću FileVaulta ili iz Findera.
Kako korak po korak aktivirati FileVault na tvrdom disku vašeg Mac računara
Podešavanje FileVaulta je prilično jednostavno, iako tekst menija u početku može djelovati zastrašujuće. Sve se radi putem Sistemskih postavki (ili Sistemskih postavki u novijim verzijama macOS-a) , u odjeljku za sigurnost.
U klasičnim verzijama macOS-a, uobičajena putanja je: Sistemske postavke → Sigurnost i privatnost → kartica „FileVault“ . U novijim verzijama macOS-a, putanja se može malo razlikovati, ali uvijek postoji odjeljak posvećen šifriranju diska.
Kada uđete u taj odjeljak, vidjet ćete da li je FileVault omogućen ili onemogućen. Da biste ga izmijenili, prvo morate kliknuti na katanac u donjem uglu i unijeti administratorsku lozinku . Bez ovog koraka, sistem vam neće dozvoliti da promijenite postavke.
Kada kliknete na dugme za aktiviranje FileVault-a, čarobnjak će vas pitati da odaberete kako želite da otključate disk ako zaboravite lozinku za prijavu . Ovdje dolaze u obzir dva glavna sistema za oporavak.
Nakon što prihvatite postavke, macOS će početi šifrirati sadržaj vašeg pokretačkog diska. Ovaj proces može potrajati neko vrijeme, ovisno o kapacitetu i vrsti diska . U međuvremenu možete nastaviti koristiti računar, iako ćete primijetiti povećanu aktivnost diska. Nije neophodno čekati da se završi prije ponovnog pokretanja, ali je najbolje da ga ne prekidate naglo.
Odaberite metodu oporavka: iCloud ili ključ za oporavak
Jedan od najtežih dijelova postavljanja FileVaulta je odlučivanje kako ćete pristupiti svom disku ako zaboravite lozinku. macOS nudi najmanje dvije opcije: korištenje vašeg iCloud računa ili generiranje ključa za oporavak.
Opcija "iCloud račun i lozinka" je najpraktičnija za mnoge korisnike. Ako već koristite iCloud ili planirate da ga postavite, možete dozvoliti svom iCloud računu da otključa šifrovani disk u slučaju nužde. Na ovaj način, ne morate brinuti o pohranjivanju zasebne, duge lozinke.
Alternativa je korištenje "Ključa za oporavak". U ovom slučaju, sistem generira jedinstveni niz slova i brojeva koji djeluje kao glavni ključ za dešifriranje diska . Ovaj ključ se prikazuje samo jednom tokom podešavanja i morate ga vrlo pažljivo zapisati.
Veoma je važno da svoj ključ za oporavak pohranite na sigurno mjesto odvojeno od vašeg Mac računara . To može biti u upravitelju lozinki, šifriranom dokumentu na drugom uređaju ili čak dobro zaštićenom komadu papira. Važno je da ga ne izgubite, ali i da mu nije lako pristupiti.
U poslovnim ili obrazovnim okruženjima, uobičajeno je da sama organizacija upravlja institucionalnim ključem za oporavak . Na ovaj način, ako zaposlenik zaboravi lozinku, IT odjel može otključati računar bez gubitka informacija, uz održavanje visokog nivoa kontrole nad korporativnim podacima.
Korištenje FileVaulta s drugim korisnicima na istom Macu
Kada administrator omogući FileVault na Mac računaru s više korisničkih računa, svaki korisnik s omogućenim FileVaultom na svom računu može pokrenuti Mac i prijaviti se sa svojom lozinkom . Drugim riječima, disk se dešifrira kada jedan od tih ovlaštenih korisnika unese svoje vjerodajnice prilikom pokretanja.
Ako na tom Mac računaru postoji račun koji nema omogućen FileVault, taj korisnik neće moći sam pokrenuti Mac i otključati disk . U tom slučaju, neko ko ima omogućen FileVault prvo se mora prijaviti; zatim se taj korisnik može odjaviti bez ponovnog pokretanja, a drugi korisnik će se moći normalno prijaviti.
Ova metoda osigurava da samo izričito ovlašteni računi mogu otključati šifrirani disk . Važno je provjeriti koji korisnici imaju ovu privilegiju, posebno ako dijelite svoj Mac s drugima ili ga koristite u porodičnom okruženju s više računa.
FileVault i sigurnosne kopije: korištenje s Carbon Copy Clonerom (CCC)
Šifriranje diska ne završava se na vašem primarnom Macu: također je dobra ideja šifrirati sigurnosne kopije, posebno ako su pohranjene na vanjskim diskovima koji se često premještaju . Alati poput Carbon Copy Clonera (CCC) omogućuju vam rad s volumenima zaštićenim FileVaultom, i u HFS+ i u APFS formatima.
Ako želite kreirati bootabilnu, šifriranu sigurnosnu kopiju pomoću FileVault-a , postoji preporučeni postupak. Prvo, formatirajte odredišni volumen slijedeći CCC upute, bez označavanja kao boot-encrypted. Ako vaš Mac ima T2 čip, preporučuje se korištenje APFS-a.
Zatim koristite CCC za kloniranje trenutnog boot diska na nešifrirani odredišni volumen . Na sistemima starijim od macOS Mojave, obično je potrebno kreirati volumen za oporavak na tom disku (CCC uključuje opciju za ovo), a da biste to učinili, morate biti prijavljeni s administratorskim računom. Na modernim APFS volumenima, ovaj korak obično nije potreban.
Zatim, u Sistemskim postavkama (System Preferences), odaberite disk za sigurnosnu kopiju kao disk za pokretanje i ponovo pokrenite sistem s njega. Nakon pokretanja s ovog kloniranog volumena, omogućite FileVault na panelu Sigurnost i privatnost (Security & Privacy) za šifriranje diska za sigurnosnu kopiju.
Nakon što se FileVault aktivira (ne morate čekati da se proces šifriranja potpuno završi), možete se vratiti na panel Boot Disk, ponovo odabrati primarni volumen kao boot disk i ponovo pokrenuti računar . Nakon toga, samo trebate konfigurirati CCC da redovno pravi sigurnosne kopije na taj sada šifrirani volumen.
Napredni aspekti i mjere opreza prilikom šifriranja sigurnosnih kopija
Postoje neki napredni detalji koje treba uzeti u obzir prilikom omogućavanja šifriranja na sigurnosnom disku koji je inicijalno nešifriran . Dok se volumen pretvara u šifrirani, podaci se prepisuju i na kraju procesa, u principu, ne bi trebao ostati nikakav dostupan trag nešifriranih informacija.
Međutim, postoje nijanse. Na primjer, na SSD-ovima, ako ste izbrisali datoteke prije omogućavanja enkripcije , sam SSD je možda odbacio neke nešifrirane blokove podataka (zbog vlastitog internog upravljanja habanjem). U vrlo tehnički zahtjevnom scenariju, stručnjak bi mogao oporaviti neke od tih preostalih podataka.
Slično tome, ako se proces šifriranja prekine ili ne uspije iz bilo kojeg razloga, neki podaci bi potencijalno mogli biti oporavljeni . Ako su vam ove pretpostavke neprihvatljive zbog osjetljivosti vaših informacija, možete odabrati da ne uključite svoje najosjetljivije podatke u prvu sigurnosnu kopiju na taj disk ili da slijedite protokol sigurnog brisanja podataka.
Ideja bi bila isključiti određene direktorije tokom početnog procesa kloniranja, pokrenuti sistem sa sigurnosne kopije diska, aktivirati FileVault na njemu i, nakon šifriranja, ponovo pokrenuti zadatak kopiranja, ovaj put uključujući sve podatke. Na ovaj način, svaka datoteka kopirana dok se volumen šifrira bit će šifrirana od samog početka.
Ako vaša sigurnosna kopija ne mora biti pokretačka (samo želite šifrirani eksterni disk za pohranu podataka), postupak je još jednostavniji : samo kliknite desnim tasterom miša na volumen u Finderu i odaberite opciju za šifriranje volumena. Međutim, u macOS High Sierra i novijim verzijama, omogućavanje šifriranja na ovaj način na HFS+ volumenu vjerovatno će uzrokovati da sistem automatski pretvori taj volumen u APFS.
Praktične preporuke i uobičajeni problemi tokom šifriranja
Tokom procesa pretvaranja u šifrirani disk, posebno na macOS Catalina, neki korisnici su primijetili da se šifriranje pauzira na neodređeno vrijeme ako se Mac isključi iz struje na pola procesa . Iako se to ne događa uvijek, dovoljno je čest problem da zahtijeva poduzimanje mjera opreza.
Da biste izbjegli glavobolje, najbolje je da ostavite Mac priključen na struju tokom cijelog procesa konverzije , posebno ako je volumen koji se šifrira velika sigurnosna kopija. Ako vidite da sistem pokazuje da je šifriranje pauzirano, ostavite ga priključenog i prijavljenog, idealno preko noći.
macOS ne nudi baš jednostavan način za pregled detaljnog napretka šifriranja, ali možete koristiti aplikaciju Terminal i pokrenuti naredbe poput "diskutil apfs list" ili "diskutil cs list" (ovisno o tome je li volumen APFS ili HFS+) da biste provjerili interni status konverzije.
U nekim slučajevima, šifriranje se nastavlja tek nakon prijave s administratorskim računom na glavni sistem . Ako primijetite da je konverzija zaglavljena, pokušajte pokrenuti sistem s uobičajenog diska, prijaviti se s administratorskim računom i ostaviti računar da radi neko vrijeme s priključenim diskom za sigurnosnu kopiju.
Kao opšte pravilo, nemojte naglo isključivati eksterne diskove dok se šifriraju , niti prisilno gasiti sistem ako to možete izbjeći. Iako je proces dizajniran da bude robustan, svaki neočekivani prekid povećava vjerovatnoću da se nešto neće završiti bez problema.
U konačnici, omogućavanje i korištenje FileVaulta dodaje vrlo snažnu barijeru protiv neovlaštenog pristupa, kako vašem primarnom Macu, tako i vašim sigurnosnim kopijama. Uz dobru sigurnosnu kopiju, siguran ključ za oporavak i malo strpljenja tokom šifriranja, možete postići vrlo visok nivo zaštite podataka bez prevelikog kompliciranja stvari.
