Além de poder codificar um volume inteiro, quais são as outras diferenças do FileVault 2 sobre o FileVault?

17

O FileVault 2 no Lion tem outras diferenças em comparação com a versão antiga, o FileVault em versões anteriores do sistema? Existem benefícios adicionais no uso da nova versão?

Aron Rotteveel
fonte

Respostas:

7

Emprestando-se pesadamente da revisão do leão de John Siracusa

O FileVault 2 é um sistema de criptografia de disco inteiro, em vez de apenas uma solução 'armazenar sua pasta pessoal em uma imagem de disco criptografada'. Ele é implementado como uma camada do sistema de arquivos abaixo do volume real que você desbloqueia no momento da inicialização do sistema. Se você conhece o LVM , é da mesma maneira. Sempre que você ultrapassa o bloqueio de senha, tudo fica igual para o resto do sistema.

Como Steve mencionou, o trabalho de criptografia pode ser auxiliado por instruções especializadas do processador e é executado inteiramente em segundo plano. O interessante é que você pode ativar a criptografia de disco em uma unidade completa e tudo será feito à vontade (você pode desligá-lo, trazê-lo de volta etc.) e tudo continuará.

yuriismaster
fonte
9

Contas com menos senha 'Convidado' não podem mais ser criadas, pois todo o disco está criptografado do que apenas o diretório inicial do Usuário. É triste que eu não tenha encontrado nenhuma informação no artigo da kb na Apple sobre isso.

Sairam
fonte
3
Uau, essa é uma grande diferença que passou despercebida para mim! Isso realmente tem um grande impacto nas estratégias de recuperação de roubo que recomendam a configuração de uma conta de convidado sem senha.
Aron Rotteveel
@Aron Mas você ainda pode configurar uma conta de convidado com uma dica de senha de texto não criptografado.
Asmus
2
@ Asmus, é claro, mas isso tornaria praticamente inútil o Filevault.
Aron Rotteveel
@ Aron, mas como isso é mais inseguro do que o "método antigo" costumava ser? Uma conta de convidado "sem senha" ainda é a mesma de quando você informa a senha ao convidado ?!
quer
2
Obviamente, o fato de o disco ser criptografado no total por qualquer login de usuário torna um login de convidado inútil quando você o usa como uma ferramenta de recuperação de roubo. Na maioria dos casos, FileVault 1 seria uma solução melhor
Aron Rotteveel
7

O novo Filevault parece colocar muito menos restrições sobre você do que a versão antiga. Você não precisa fazer logout para que o time machine funcione, por exemplo, e todos os daemons de compartilhamento parecem funcionar bem (alguns deles foram desativados quando a falha de arquivo foi ativada, se bem me lembro corretamente. Acho que o compartilhamento na Web estava entre eles, tornei meu laptop um pouco inútil como plataforma de desenvolvimento para aplicativos da web :)).

Um problema com o Filevault 2 é que você não pode transferir ssh para uma máquina até inserir uma senha localmente, pois o processo de inicialização não pode começar até que a unidade criptografada tenha sido desbloqueada.

GordonM
fonte
"Você não precisa fazer logout para que o time machine funcione, por exemplo, e todos os daemons de compartilhamento parecem funcionar bem": OTOH, isso provavelmente significa que os backups do Time Machine não estão mais criptografados agora e compartilhando daemons (e malware) agora também pode acessar os arquivos.
Thilo 22/07
Os backups do Time Machine precisam ser criptografados separadamente, mas ainda é possível. Isso pode ser feito a partir de Preferências Time Machine> Select Disk> Marque a caixa para disco criptografar,
Gauzy
4
  • Ele suporta o AES-NI, que transfere criptografia e descriptografia em CPUs suportadas (alguns dos principais i5 e i7).
  • Você pode armazenar sua chave de criptografia na Apple.

Tenho certeza que existem alguns outros. Este artigo de suporte da Apple deve responder ao restante de suas perguntas.

http://support.apple.com/kb/HT4790

Steve Moser
fonte
Caso alguém não saiba por que é útil, o suporte à AES-NI significa menor utilização da CPU para melhor desempenho e duração da bateria.
jmk
4

Falhas no FileVault 2 LVG podem ser irreparáveis

Na página de manual parafsck_cs :

O utilitário fsck_cs verifica e repara os metadados do grupo de volumes lógicos do CoreStorage.

...

INSETOS

O fsck_cs não executa uma validação exaustiva, nem é capaz de corrigir muitas das inconsistências detectadas.

Problemas com o FileVault 1

O fsck_hfs (usado pelo Disk Utility) foi desenvolvido por mais de dez anos e é capaz de reparar a maioria dos problemas com o JHFS +, conforme usado pelo FileVault 1.

Se você encontrar um problema que fsck_hfsnão pode ser reparado, existem vários utilitários alternativos de terceiros.

Problemas de armazenamento principal com o FileVault 2

fsck_cs(também usado pelo Disk Utility) apareceu pela primeira vez junto com o CoreStorage no Mac OS X 10.7.0. Inconsistências podem ser irreparáveis.

Na ausência de alternativas para fsck_cs

Se ocorrer uma falha no LVG e fsck_csnão for possível fazer os reparos necessários, o volume de inicialização não será montado. Nessa situação, você pode reformatar destrutivamente o disco e reinstalar o Mac OS X. (Usar o Recovery OS Time Machine sozinho não fornecerá o Apple_Boot Recovery HD necessário para o FileVault 2.)

Graham Perrin
fonte
3

Uma desvantagem que vejo é que antes era possível criptografar contas de usuários individuais, enquanto agora você só pode criptografar todo o disco. Se você criptografar o disco inteiro, também precisará descriptografar o disco inteiro toda vez que usar o computador. Isso significa que, assim que o computador é inicializado, todo o disco fica acessível a malware, enquanto antes você pode fazer login (e logo sair novamente) das contas críticas à segurança separadamente.

Suponho que você ainda possa usar imagens de disco criptografadas em cima do FileVault para dados realmente importantes.

Outro problema pode ser o Time Machine. Enquanto antes os diretórios dos usuários do FileVault também eram armazenados criptografados no volume de backup, isso não parece mais ser o caso.

Alguém sabe se o Time Machine agora também suporta criptografia de disco inteiro (dos relatórios até agora parece que não está habilitado para unidades externas, pelo menos não por meio da GUI)?

Atualização: Aparentemente, o Time Machine não suporta criptografia de disco inteiro: os volumes do Time Machine podem ser facilmente criptografados com o FileVault 2?

Thilo
fonte
1
Se fizermos distinção entre um disco e um volume lógico : Time Machine pode não usar todo disco criptografia, mas para criptografia Time Machine não aplicar Núcleo de armazenamento criptografia completa de disco (FDE) (como é descrito na página do manual para diskutil) para o todo do volume de backup.
Graham Perrin
2

Para vários administradores: o FileVault 2 sozinho é menos seguro que o FileVault 1 

Semelhante à resposta oferecida por Thilo. Essa lógica se aplica a qualquer computador com dois ou mais administradores.

FileVault 1 no Snow Leopard e no Lion

Há um bom nível de segurança para impedir que uma pessoa sem a senha mestre acesse os dados de qualquer outra pessoa.

FileVault 2 sozinho

Qualquer administrador pode visualizar, copiar, editar os dados de todos os outros usuários.

Exemplo

Dois parceiros de negócios compartilham um computador, ambos administradores. Um dos dois parceiros pode querer manter algo privado. O parceiro que possui a senha mestra, que deseja manter algo particular, não fornece essa senha ao outro parceiro.

Com o FileVault 2 sozinho nesses cenários, a segurança e a privacidade são facilmente ignoradas - o sudo vem imediatamente à mente.

Comparação

Criptografia ZFS no Oracle Solaris , que pode ser aplicada aos diretórios pessoais dos usuários.


Gambiarra

Se um usuário do FileVault 2 na situação acima exigir segurança extra, essa pessoa poderá:

  1. adicione um disco separado, interno ou externo
  2. nesse disco, tenha um volume lógico criptografado (LV) com uma senha de disco diferente de (a) a senha de disco para o volume de inicialização do SO e (b) todas as senhas de usuário para o volume de inicialização
  3. armazena seu diretório inicial no LV no disco separado
  4. combine a senha da conta de usuário com a senha do disco do LV.

Como alternativa, essa pessoa pode usar apenas uma parte de um disco existente ... mas o gerenciamento de partições no mundo coreStorage é difícil , portanto, para simplificar a longo prazo: eu recomendaria o investimento em um disco adicional / separado.


/ var / folders

Espere que alguns dados do usuário sejam gravados em um subdiretório /private/var/folders- todos os administradores terão acesso a esses dados. Uma solução para isso está além do escopo desta questão.

Graham Perrin
fonte
Concordo que o FileVault 1 foi melhor para um computador multiusuário onde você queria separá-los um do outro, mas acho que mesmo com o FileVault 1 o administrador do sistema sempre pode descriptografar o cofre de qualquer outro usuário.
Thilo
@Thilo no FileVault 1, a única maneira aceita de desbloquear o cofre de outra pessoa era com uma senha mestra, que nunca era automaticamente atribuída a todos os administradores. Eu editei minha resposta para deixar isso mais claro. Obrigado pelo aviso.
Graham Perrin
1
Para maior segurança: uma partição para o diretório inicial de um usuário pode ser gravada no disco a ser usado na instalação do OS X - antes da instalação do SO. Veja, por exemplo, Criptografar o volume de inicialização com o Core Storage sem o FileVault . No entanto, isso não pode ser realizado com a interface de Preferências do sistema da Apple para o FileVault 2, e criticamente: se mais tarde descobrirmos que uma partição é muito pequena, será impossível reduzir ou aumentar qualquer partição criptografada .
Graham Perrin
1

O gerenciamento de partições dentro e fora do coreStorage world é difícil

Para um disco que usa o FileVault 2 - ou qualquer outro aplicativo do Core Storage - pode ser impossível adicionar ou redimensionar partições usando o Utilitário de Disco.

No Superusuário:

  • uma resposta em Como redimensiono uma partição criptografada do FileVault 2?
  • uma resposta em Criar nova partição no volume criptografado no OS X Lion .

Espere que a página de manual do Mac OS X da diskutil (8) da Apple seja atualizada para 10.7 em devido tempo. Enquanto isso, se você já instalou o Lion, leia a página do manual no Terminal.

Graham Perrin
fonte
1

O FileVault 1 pode ser desativado para indivíduos

Para qualquer usuário que usa o FileVault 1:

  • As Preferências do sistema permitem desativar o FileVault somente para esse usuário, desde que haja espaço livre suficiente.

Usuários habilitados do FileVault 2 não podem ser desativados

No Mac OS X 10.7 (Build 11A511), você pode permitir que um usuário desbloqueie o volume de inicialização, mas uma vez ativado:

  • esse usuário sozinho não pode ser desativado
  • somente o FileVault 2 em sua totalidade pode ser desativado.

Desabilitar a capacidade do usuário de desbloquear um volume do FileVault 2 no momento da inicialização / login

Graham Perrin
fonte
1

O Lion Recovery Disk Assistant não possui suporte para o FileVault 2

A versão 1.0 do assistente usada com o FileVault 2 no Mac OS X 10.7 (Build 11A511) produz um OS de recuperação em uma unidade flash USB. Contudo:

  • o computador não pode inicializar a partir desse SO de recuperação.

Encontrei esse problema com dois computadores diferentes.

Graham Perrin
fonte
0

Impacto do FileVault 1 no desempenho

Na minha experiência, o impacto é geralmente aceitável. Eu gostaria de ver referências relevantes.

Comparações de desempenho

Em Ask Different: Velocidade do antigo Filevault vs. o novo Lion, criptografia de disco completo

  • minha resposta (trabalho em andamento) inclui alguns dados técnicos.

Impacto do FileVault 2 no desempenho

A Apple sugere:

O FileVault 2 criptografa e descriptografa seus dados rapidamente, com um impacto imperceptível no desempenho.

- página em cache 28/07/2011 .

AnandTech - De volta ao Mac: OS X 10.7 Lion review: O desempenho do FileVault observa:

… No geral, o impacto no desempenho puro de E / S está na faixa de 20 a 30% . É perceptível, mas não é grande o suficiente para compensar os benefícios da criptografia de disco completo. ...

Eu gostaria que os revisores da AnandTech pesassem as coisas novamente de forma mais ampla, incluindo pelo menos:

  • FileVault 1 em vez do FileVault 2.

Mais observações sobre CPU, kernel_task e outros em Re: [Fed-Talk] Lion FileVault (2011-07-22) ( destaques ).

Graham Perrin
fonte
0

O FileVault 2 impede a reinicialização remota

Não espere acesso remoto à janela de login da EFI.

Graham Perrin
fonte
Mudei seu estilo para algo mais legível.
Loïc Wolff
@ Os níveis 1, 2 e 3 da posição Loïc parecem a norma, por exemplo: Que coisinha no Lion faz você sorrir ou o pegou desprevenido? - existe uma meta pergunta para uma resposta sobre o uso do estilo? Enquanto isso, evite editar os outros - obrigado.
Graham Perrin
1
Isso foi apenas para tornar a resposta mais legível, h1 é bom para títulos curtos, mas não para frases longas, IMO. Sinta-se livre para reverter se você preferir o estilo antigo.
Loïc Wolff
3
@Graham, este é um site voltado para a comunidade, baseado na edição de postagens de outros. Não há nada de errado com os cabeçalhos, mas, para ser sincero, acho as postagens muito difíceis de ler.
Aron Rotteveel
@ Aron, fique à vontade para editar o conteúdo, melhorar a legibilidade. Eu posso reverter ou reeditar consideravelmente. Deixarei os três níveis de título em pelo menos uma das respostas. Migrando atualmente para pedir informações diferentes que foi originalmente elaborado em torno identi.ca/conversation/77065575#notice-79879336 ...
Graham Perrin
0

Desativar o FileVault 1 pode piorar o desempenho

Dois volumes de tamanho razoável (um diretório inicial), com um bom conjunto de árvores B, são provavelmente mais fáceis para o sistema gerenciar - e quase certamente têm um desempenho melhor - do que um único volume colossal com atributos e árvores B de catálogo que são superdimensionada e fragmentada.

Explicação

O FileVault 1 usa faixas de tamanho otimizado.

Dependendo do conteúdo de um diretório inicial, o abandono dessas bandas em favor de um número maior de arquivos menores pode aumentar significativamente os tamanhos e a fragmentação das seguintes áreas críticas do volume de inicialização:

  • atributos árvore B
  • árvore B do catálogo
  • extensões B-tree.

Árvores B ampliadas podem ser inesperadamente problemáticas

O que segue está além do escopo da questão inicial e é relativamente técnico, mas para qualquer usuário de um computador com (a) memória limitada eb) um número considerável de arquivos dentro e fora do diretório inicial, vale a pena pensar antes abandonando o FileVault 1.

Se a soma dos tamanhos das árvores B for muito alta e se for necessário reparo, utilitários de terceiros no seu computador podem não conseguir reparar os danos.

Se um volume for irreparável pelo fsck_hfs - mais obviamente usando o Utilitário de Disco, menos obviamente sempre que o sistema encontrar um sistema de arquivos que está sujo - um usuário pode recorrer a um utilitário de terceiros respeitado.

Exemplo

Eu encontrei uma situação em que a soma dos tamanhos das árvores B - em relação à memória física - era muito grande para um utilitário de terceiros funcionar conforme necessário para um volume de backup criptografado do Core Storage que era irreparável fsck_hfs. Como o meu MacBookPro5,2 não pode levar mais que 8 GB, por algum tempo esse volume foi somente leitura.

Talvez eu tenha levado o volume, com ou sem o computador, a um provedor de serviços para obter atenção em um ambiente com mais memória. No entanto, por segurança, não devo fornecer a terceiros - por mais confiáveis ​​que sejam - a senha ou a chave de alguns tipos de volume.

Eventualmente e inesperadamente, o fsck_hfsin Lion reparou o volume sem eu usar o Disk Utility, possivelmente graças a mim experimentalmente (arriscado?) Removendo o volume do mundo coreStorage (revertendo, convertendo completamente para trás) enquanto estava no estado irreparável e de fácil leitura . Esse foi um resultado agradável para mim e um sinal de positivo para a Apple pelas qualidades e capacidades do 10.7 (Build 11A511), mas isso deve servir de cautela para outros leitores.

Graham Perrin
fonte
Eu não entendo a parte de "abandonar bandas versus muitos arquivos pequenos". Embora a criptografia do File Vault 2 ocorra abaixo do nível do sistema de arquivos, no nível do bloco, não deva se comportar de maneira diferente do HFS + não criptografado em relação às árvores B.
Thilo
@ Thilo sem pensar em níveis ou criptografia: pense no número de arquivos . Um exemplo extremo: adicione um milhão de arquivos de 80 KB a um volume e remova 10.000 faixas de 8 MB. Adicionar um milhão de arquivos provavelmente aumentará o tamanho dos atributos e catalogar as árvores B, talvez coincidindo com a fragmentação de um ou de ambos, o que nunca é bom para o desempenho. A remoção subsequente de um número menor de arquivos não pode ser seguida por uma redução no tamanho para uma árvore B.
Graham Perrin
Mas você não teria o mesmo milhão de arquivos na árvore B no HFS + dentro da sua imagem de disco? Talvez eu esteja entendendo mal alguma coisa. Enfim, acho que sei o que você quer dizer. Não se trata de criptografia ou do FileVault, mas de "particionar" seu sistema de arquivos usando imagens de disco, porque você não confia no HFS + para gerenciar milhões de arquivos, certo?
Thilo
Eu faço confiança JHFS + (com journalling) com muitos milhões de arquivos - atualmente 4.062.789 arquivos e 438,294 pastas no volume de inicialização do meu MacBook Pro 5,2 - 3,151,819 arquivos em um PowerPC Xserve, partes dos quais servem um grupo de trabalho - e assim por diante. Minhas respostas nesta pergunta se originaram de um trabalho não colaborativo em andamento em outro lugar; Essa resposta, em particular, precisa de alguma atenção , provavelmente abaixo do título de abertura. Assista a este espaço e junte-se a mim na edição. Obrigado novamente para o prompt ...
Graham Perrin
0

Algumas instalações não podem usar o FileVault 2

Nem todas as instalações do Lion obtêm o Apple_Boot HD de recuperação oculto necessário para o FileVault 2 - OS X Lion: "Alguns recursos do Mac OS X Lion não são suportados pelo disco (nome do volume)" aparece durante a instalação (21/07/2011) .

… Você não poderá usar o FileVault…

Se isso acontecer - e se você abandonou o FileVault 1 antes da atualização para o Lion - seu Mac com Lion será menos seguro .

Os conselhos publicados pela Macworld antes do lançamento do Lion continuam aconselhando os usuários a desativar o FileVault 1  antes de instalar o Lion. É incomum que a Macworld dê conselhos controversos, mas, neste caso, discordo totalmente.

Graham Perrin
fonte
0

Ao combinar o FileVault 2 com o FileVault 1, você pode ter segurança de dupla camada. Observe que isso causará problemas com o TimeMachine e o compartilhamento. Portanto, essa segurança de camada dupla é aconselhável apenas para uma conta em que o TimeMachine esteja desativado!

No meu computador, tenho uma conta de trabalho todos os dias, uma conta do FileVault 1 (excluída do TimeMachine) e uma conta de administrador. Quando eu ativei o FileVault 2 da minha conta de trabalho todos os dias (usando a senha da conta de administrador), esperava que o FileVault 1 desaparecesse porque a Apple diz no OS X Lion: Sobre o FileVault 2 : «Se você desativar o FileVault herdado, a guia Legado FileVault desaparecerá e você pode optar por ativar o FileVault 2 do OS X Lion ».

Quando o FileVault 2 foi configurado, fiquei muito surpreso que meu FileVault 1 continuasse com a criptografia do FileVault 1. Então, eu tinha uma segurança de dupla camada: uma conta herdada do FileVault 1 em um computador FileVault 2. Tudo o que eu precisava era de uma conta que não fosse o FileVault 1, de onde ativar o FileVault 2.

Eventualmente, desliguei o FileVault 2 novamente. Eu gosto de poder acessar o sistema de arquivos OS X no sistema Bootcamp Windows. Com o FileVault 2, isso não era mais possível. Ainda mantenho a conta do FileVault 1 e ela continua funcionando bem, mesmo no 10.8.1.

mach
fonte
Você também obtém todas as desvantagens do FV1, como problemas do TimeMachine, acesso de compartilhamento (ou melhor, não acesso) etc. Uma solução melhor (se você realmente precisa do pequeno nível adicional de segurança) é provavelmente criptografar o disco com o FV2 e adicionar um pequeno image / dmg para as coisas realmente sensíveis.
nohillside
Isso certamente é verdade. Isso não me afeta, pois desliguei o TimeMachine para essa conta e não a compartilhei. Estou editando a resposta de acordo.
mach