Daniel Hruška Jak bylo uvedeno na domovských stránkách Apple, OS X Lion přichází s více než 200 novými funkcemi a vylepšeními. Zcela od píky by přepracován FileVault, který byl téměř beze změn přítomen v jablečných počítačích již od OS X Panther (10.3), proto bylo vydání nové verze přímo žádoucí.
Co vlastně onen Trezor souborů dělá? Jednoduše řečeno – šifruje celý pevný disk, aby každý kdo nezná příslušný klíč, nebyl schopen přečíst žádná data. Šifrování celého disku, tak aby bylo použitelné v praxi, není vůbec jednoduchý problém k implementaci. Musí splňovat následující tři kritéria.
- Uživatel by neměl nic nastavovat. Šifrování musí být transparentní a nezjistitelné během používání počítače. Jinými slovy – uživatel by neměl pocítit žádné zpomalení.
- Šifrování musí být odolné vůči neautorizovanému přístupu.
- Proces šifrování by neměl zpomalit či omezit základní funkce počítače.
Původní FileVault šifroval pouze domovský adresář. FileVault 2 obsažený v OS X Lion však přemění celý disk v zašifrovaný svazek (volume). Při zapnutí FileVaultu je vygenerován dlouhý klíč, který byste měli uložit někam mimo svůj pevný disk. Jako dobrá volba se jeví poslat si ho mailem, uložit do .txt souboru na webové/cloudové úložiště či staromódně opsat na papír a založit na důvěrné místo. Kdykoli svůj Mac vypnete, stane se z vašich dat jen jakási nečitelná změť bitů. Ty dostanou svůj pravý význam až při nabootování pod autorizovaným účtem.
Právě nutnost vypínat Mac je jeden z nedostatků FileVaultu. Pokud jej chcete účinně používat, musíte se svůj Mac naučit vypínat namísto uspávání. Jakmile svůj jablečný počítač nabootujete může se k datům dostat kdokoli s fyzickým přístupem. Při nutnosti vypínání počítače určitě přijde vhod funkce Resume, která patří k hlavním novinkám OS X Lion. Stav vašich aplikací je uložen a při nabootování systému je vše připraveno k použití přesně jako před vypnutím.
Možné problémy se svazky
I když je používání FileVaultu více než jednoduché, je před jeho zapnutím učinit jeden uživatelsky nepřívětivý úkon – restart. FileVault vyžaduje standardní konfiguraci svazků. Jeden je viditelný a používáte ho každý den. Druhý je naopak skrytý a nese název Recovery HD. Pokud jste s diskem nic neprováděli, můžete být s největší pravděpodobností v klidu. Pokud jste ovšem svůj disk rozdělili na více oddílů, můžete narazit na problémy. FileVault sice zapnete, ale váš disk nemusí být dále bootovatelný. Proto byste měli zvážit návrat k jedooddílovému svazku. Abyste zjistili vaši konfiguraci svazků, restartujete Mac a při bootování držte alt. Měl by se vám ukázat seznam všech svazků. Pokud mezi ně patří i Recovery HD, můžete FileVault spustit. Avšak jsou hlášeny případy, kdy i po splnění těchto požadavků vznikly jisté potíže. Proto ještě pro všechny případy zálohujte svá data prostřednictvím Time Machine či pomocí aplikací jako Super Duper, Carbon Copy Cloner nebo Disková utilita. Jistota je jistota.
Zapnutí FileVaultu
Otevřete Předvolby systému a klikněte na Zabezpečení a soukromí. V kartě FileVault klepněte na tlačítko zámku v levém dolním rohu. Budete dotázáni na své heslo.
- Pokud používáte ještě straší verzi FileVaultu, vyskočí na vás okno s upozorněním, zda chcete nadále šifrovat jen svůj domovský adresář nebo celý disk. Rozhodnete-li se pro druhou variantu, můžete ještě vybrat uživatele, kterým bude umožněno používat Mac chráněný FileVaultem. Klikněte na tlačítko Zapnout FileVault. Objeví se 24místný klíč, o kterém byla již řeč na začátku článku. Můžete s ním odemknou FileVaultem zašifrovaný disk, i když zapomenete heslo ke všem autorizovaným účtů, které mají právo nabootovat systém.
- Ani ztráta klíče však nemusí znamenat navěky zašifrovaný disk. V dalším okně máte možnost nechat si na servery Applu uchovat jeho kopii. V případě, že byste opravdu chtěli svůj klíč získat, musíte odpovědět na všechny tři otázky, které jste si zvolili. Obecně je doporučováno tyto otázky vyplňovat nepravdivě. Kdokoli s trochou snahy by mohl na odpovědi snadno přijít.
- Budete vyzváni k restartování vašeho Macu. Ještě než tak učiníte, ujistěte se, že k počítači nejsou přihlášení ještě další uživatelé. Jakmile kliknete na Restartovat budou všechny ostatní uživatelé nemilosrdně odhlášení bez uložení změn v rozpracovaných dokumentech.
- Po restartu a přihlášení pod svým účtem se ihned celý disk začne šifrovat. V závislosti na velikosti dat může tento proces trvat až několik hodin. Při vypnutí počítače před dokončením šifrování bude část dat stále čitelná. Je samozřejmě doporučeno nechat celý proces šifrování až do jeho dokončení.
Co se po zapnutí FileVaultu změnilo
Při bootování se musíte vždy přihlásit pod svým uživatelským jménem a heslem. Přihlášením přímo na vaši plochu by se úplně vytratil význam šifrování celého disku. První přihlášení po zapnutí Macu musí být provedeno pod autorizovaným účtem. Až poté se lze přihlásit pod kterýmkoli účtem.
S nutností přihlašování se také rapidně snižuje zneužití vašich dat při krádeži. Váš Mac již třeba nikdy neuvidíte, ale můžete být klidní, že se nikdo nebude probírat vašimi soukromými dokumenty. Pokud je náhodu nemáte zazálohovány, dostanete tvrdou lekci. V žádném případě nenechávejte důležité soubory pouze na jednom disku!
zdroj: MacWorld.com
Nesouhlasím s tvrzením, že je nutností počítač vypínat.
Když mac uspím a mám nastaveno požadování hesla po probuzení, bude po probuzení uzamčený. Bez hesla se do něj nikdo stejně nedostane. Pokud se bude chtít dostat k datům, musí disk vyndat a v tu chvíli mu je šifrovací klíč načtený v RAM už na nic.
Takže bych řekl, že z uspaného Macu stejně žádná data nedostane… :P
Tohle je pravda v případě, že zaheslovaný profil nelze prolomit. Tím jste si jistý jak moc? :-) Já si myslím, že ve chvíli, kdy už počítač běží, tj. někdo zadal šifrové heslo, tak už se ke všem datům dřív nebo později dostanu. Jediný způsob, jak mít opravdu solidní jistotu, že se k datům nikdo nedostane, je opravdu daný počítač vypnout, aby útočník musel luštit šifrové heslo, což půjde mnohem hůře. Tím se mi to celé zdá k ničemu, protože Macy se běžně nevypínají a skoro mi přijde lepší varianta se zašifrovanou domovskou složkou.
Asi bych i FileVault nebo něco podobného používal, ale odrazuje mě představa zpomalení systému. Při použití klasického HDD prý není efekt tak drastický, protože procesor je mnohem výkonější a vyplní tu propast mezi rychlostmi, ale jelikož používám SSD, tak tam by už to zpomalení bylo asi znát. Kdybych opravdu potřeboval šifrovat celý disk, tak bych do toho šel, ale 90% věci šifrovat nepotřebuju – aplikace, hry, filmy, písničky … ideální kompromis by bylo šifrování pouze vybraných složek, popř. vybraného systémového oddílu, kam bych ukládal osobní věci a důležité dokumenty. Škoda, že FileVault něco podobného neumožňuje.