Повысьте уровень безопасности FileVault, уничтожив хранилище ключей в режиме ожидания

Режим ожидания – это функция энергосбережения, которая автоматически переводит Mac в спящий режим после того, как он некоторое время находится в спящем режиме, что позволяет еще больше снизить расход заряда батареи. Когда Mac, использующий шифрование FileVault, переводится в режим ожидания, ключ FileVault (да, этот ключ зашифрован) сохраняется в EFI (прошивке), так что он может быстро выйти из режима ожидания при выходе из глубокого сна. Для 99% пользователей это вряд ли имеет значение, и это не проблема безопасности, но для тех, кто обеспокоен максимальной безопасностью и защитой Mac от некоторых необычно агрессивных атак (например, уровня шпионажа), вы можете настроить OS X на автоматическое уничтожение этого Ключ FileVault, когда он находится в энергосберегающем режиме ожидания, предотвращая превращение сохраненного ключа в потенциальное слабое место или цель атаки.

Включив этот параметр, пользователи FileVault должны ввести свой пароль FileVault, когда Mac выходит из режима ожидания, поскольку ключ FV больше не сохраняется для быстрого пробуждения. Вряд ли это неудобство, но это немного замедляет пробуждение от глубокого сна и требует, чтобы пользователь задействовал дополнительный уровень аутентификации, помимо стандартных функций блокировки и входа в систему, прежде чем Mac снова станет пригодным для использования.

Повысьте безопасность FileVault, уничтожив ключи FileVault в режиме ожидания

Эту команду необходимо ввести в Терминал, находящийся в / Applications / Utilities /

pmset -a destroyfvkeyonstandby 1

Флаг -a применяет настройку ко всем профилям мощности, то есть как к батарее, так и к зарядному устройству.

Если вы считаете эту функцию ненужной или разочаровывающей, ее можно легко отменить, установив 1 на 0 и снова используя команду следующим образом:

pmset -a destroyfvkeyonstandby 0

Обратите внимание, что в зависимости от привилегий активной учетной записи пользователя вам может потребоваться префикс sudo к обеим этим командам для их выполнения от суперпользователя, поэтому команды будут следующими:

Включение уничтожения ключа FileVault

sudo pmset -a destroyfvkeyonstandby 1

Отключение уничтожения ключа FileVault

sudo pmset -a destroyfvkeyonstandby 0

Вы всегда можете проверить настройки pmset, чтобы узнать, включен ли он в настоящее время или нет, используя следующую команду:

pmset -g

По общему признанию, это немного технически и немного экстремально, и поэтому не применимо к подавляющему большинству пользователей Mac. Тем не менее, для тех, кто находится в чувствительной среде безопасности, для тех, у кого на компьютерах хранятся очень конфиденциальные данные, или даже для людей, которые стремятся к максимальной личной безопасности, это очень ценный вариант, и его следует рассмотреть, если компромисс более медленного время пробуждения стоит дополнительных преимуществ безопасности.

Как всегда с FileVault, не забывайте пароль, иначе весь контент на Mac станет навсегда недоступным, поскольку уровень шифрования настолько высок, что практически ничто не сможет преодолеть его в человеческом масштабе времени. Если вы плохо знакомы с FileVault и концепцией полного шифрования диска, обязательно настройте его правильно и никогда не теряйте ключ восстановления FileVault.

Для получения более подробной технической информации по этой теме у Apple есть отличное руководство по развертыванию FileVault. доступно в формате PDF.