Enkripsi volume dengan FileVault di macOS
Komputer Mac menawarkan FileVault, kemampuan enkripsi internal untuk mengamankan semua data pada saat disimpan. FileVault menggunakan algoritme enkripsi data AES-XTS untuk melindungi volume lengkap di perangkat penyimpan internal dan eksternal.
FileVault di Mac dengan Apple silicon diimplementasikan menggunakan Perlindungan Data Kelas C dengan kunci volume. Di Mac dengan Apple silicon serta Mac dengan Keping Keamanan T2 Apple, perangkat penyimpanan internal terenkripsi yang tersambung secara langsung ke Secure Enclave memanfaatkan kemampuan keamanan perangkat kerasnya serta kemampuan mesin AES. Setelah pengguna menyalakan FileVault di Mac, info pengesahannya diperlukan selama proses boot.
Catatan: Untuk komputer Mac (1) yang lebih lama dari yang menggunakan keping T2, atau (2) penyimpanan internal yang aslinya tidak disertakan dengan Mac, atau (3) dengan penyimpanan eksternal yang terpasang: Setelah FileVault dinyalakan, semua file yang ada dan data lanjutan apa pun yang ditulis dienkripsi. Data yang telah ditambahkan lalu dihapus sebelum menyalakan FileVault tidak dienkripsi dan mungkin dapat dipulihkan dengan alat pemulihan data forensik.
Penyimpanan internal dengan FileVault dinyalakan
Tanpa info pengesahan masuk yang valid atau kunci pemulihan kriptografis, volume APFS internal tetap terenkripsi dan dilindungi dari akses yang tidak sah, bahkan jika perangkat penyimpanan fisik dilepas dan disambungkan ke komputer lain. Di macOS 10.15, ini termasuk volume sistem dan volume data. Dimulai dari macOS 11, volume sistem dilindungi oleh fitur volume sistem yang ditandatangani (SSV), tetapi volume data tetap dilindungi oleh enkripsi. Enkripsi volume internal di Mac dengan Apple silicon serta komputer Mac dengan keping T2 diterapkan dengan mengonstruksi dan mengelola hierarki kunci, dan memanfaatkan teknologi enkripsi perangkat keras yang terdapat dalam keping. Hierarki kunci ini dirancang untuk mencapai empat target secara bersamaan:
Mengharuskan kata sandi pengguna untuk dekripsi
Melindungi sistem dari serangan brute-force secara langsung terhadap media penyimpanan yang dilepas dari Mac
Menyediakan metode yang cepat dan aman untuk menghapus konten dengan menghapus materi kriptografis yang diperlukan
Memungkinkan pengguna untuk mengubah kata sandi mereka (dan pada gilirannya kunci kriptografis yang digunakan untuk melindungi file mereka) tanpa mengharuskan seluruh volume untuk dienkripsi ulang
Di Mac dengan Apple silicon dan Mac dengan keping T2, semua penanganan kunci FileVault berlangsung di Secure Enclave; kunci enkripsi tidak pernah terpapar secara langsung ke CPU Intel. Secara default, semua volume APFS dibuat dengan kunci enkripsi volume. Konten volume dan metadata dienkripsi dengan kunci enkripsi volume ini, yang dibungkus dengan kunci enkripsi utama (KEK). KEK dilindungi oleh kombinasi kata sandi pengguna dan UID perangkat keras saat FileVault dinyalakan.
Penyimpanan internal dengan FileVault dimatikan
Jika FileVault tidak dinyalakan di Mac dengan Apple silicon atau Mac dengan keping T2 selama proses Asisten Pengaturan awal, volume tetap terenkripsi tapi kunci enkripsi volume hanya dilindungi oleh UID perangkat keras di Secure Enclave.
Jika FileVault dinyalakan di kesempatan berikutnya—proses yang berlangsung karena data telah dienkripsi—mekanisme anti-pemutaran ulang membantu menghalangi kunci lama (hanya berbasis UID perangkat keras) sehingga tidak dapat digunakan untuk mendekripsi volume. Volume kemudian dilindungi oleh kombinasi kata sandi pengguna dan UID perangkat keras sebagaimana dijelaskan berikutnya.
Menghapus volume FileVault
Saat menghapus volume, kunci enkripsi volumenya dihapus dengan aman oleh Secure Enclave. Ini membantu mencegah akses di masa mendatang dengan kunci ini bahkan oleh Secure Enclave. Selain itu, semua kunci enkripsi volume dibungkus dengan kunci media. Kunci media tidak menyediakan kerahasiaan tambahan untuk data; tapi sebagai gantinya, dirancang untuk memungkinkan penghapusan data dengan cepat dan aman karena tanpanya, dekripsi tidak akan memungkinkan.
Di Mac dengan Apple silicon dan Mac dengan keping T2, kunci media akan dihapus oleh teknologi dukungan Secure Enclave—misalnya oleh perintah MDM jarak jauh. Jika kunci media dihapus dengan cara ini, volume akan menjadi tidak dapat diakses secara kriptografis.
Perangkat penyimpanan yang dapat dilepas
Enkripsi perangkat penyimpanan yang dapat dilepas tidak menggunakan kemampuan keamanan Secure Enclave, dan enkripsinya dijalankan dengan cara yang sama dengan Mac berbasis Intel tanpa keping T2.