Как включить FileVault на Mac и где хранить ключ восстановления

Ноутбуки теряют и крадут чаще, чем принято думать. Если данные на диске не зашифрованы, их можно прочитать мимо пароля учётной записи: достаточно подключить накопитель другим способом. FileVault превращает содержимое загрузочного диска в зашифрованный том, и прочесть его можно только после ввода пароля пользователя либо ключа восстановления.

Для современных компьютеров с собственными чипами шифрование накопителя по сути включено на аппаратном уровне всегда, но FileVault добавляет привязку ключа к паролю пользователя. Без включённого FileVault человек, знающий доступ к компьютеру, получит и данные. Поэтому включать его полезно на любом переносном устройстве.

Дополнительно включите запрос пароля сразу после засыпания экрана, иначе выигрыш от шифрования сильно уменьшится: открытый ноутбук в состоянии сна остаётся уязвимым, пока пароль не запрошен.

Откройте системные настройки, найдите раздел конфиденциальности и безопасности и в нём FileVault. Нажмите включение и подтвердите права администратора. Система спросит, разрешать ли сбросить пароль через учётную запись облачного сервиса Apple, либо создать ключ восстановления, который нужно записать.

Выберите способ, исходя из своих привычек. Привязка к облачной учётной записи удобна, но делает безопасность зависимой от защиты этой учётной записи, поэтому включите на ней двухфакторную проверку. Локальный ключ восстановления надёжнее с точки зрения независимости, но требует аккуратного хранения. После подтверждения шифрование запустится в фоне.

Ключ восстановления состоит из длинной последовательности букв и цифр. Запишите его на бумаге и положите в надёжное место отдельно от компьютера: сейф, папка с документами. Не храните ключ в файле на этом же Mac и не оставляйте фотографию в незащищённой галерее.

Если вы выбрали привязку к облачной учётной записи, проверьте, что доступ к ней надёжно защищён и у вас есть способ входа в неё без этого компьютера. Иначе потеря Mac сделает недоступными и данные, и способ их вернуть.

Если вы храните ключ в менеджере паролей, убедитесь, что доступ в сам менеджер не зависит от этого Mac. Иначе получится замкнутый круг: чтобы открыть менеджер, нужен компьютер, а чтобы открыть компьютер, нужен ключ из менеджера.

После включения при запуске компьютера система запрашивает пароль пользователя, а автоматический вход отключается. Если несколько человек пользуются устройством, каждому нужно разрешить снятие защиты с диска: пользователей, не включённых в список, потребуется добавить вручную, введя их пароли.

Производительность на современных компьютерах практически не меняется. Шифрование идёт фоновым процессом, и компьютером можно пользоваться. Процесс продолжится после перезагрузки, если вы его прервали, а статус можно проверить в том же разделе настроек.

Забытый пароль и потерянный ключ означают потерю данных, поэтому проверьте оба до того, как что-то случится. Убедитесь, что понимаете, как войти в режим восстановления и какие данные потребуются. Если вы сбрасываете пароль через облачную учётную запись, проверьте, что она доступна.

Перед продажей или передачей компьютера выйдите из облачной учётной записи и сотрите содержимое средствами системы: при включённом шифровании удаление ключа делает старые данные нечитаемыми, что упрощает безопасную подготовку устройства. Отдельно отключайте функцию поиска устройства, чтобы устройство не осталось привязанным к вашей учётной записи.

Если на Mac работают несколько человек, при первом включении система предложит разрешить каждому открывать диск. Пользователи, которых вы не добавили, не смогут запустить компьютер до тех пор, пока им не разрешат это, введя пароль. Добавьте всех нужных сразу, чтобы потом не разбираться.

После крупных обновлений системы иногда меняется порядок запуска, но данные остаются на месте. Тем не менее перед обновлением полезно убедиться, что резервная копия свежая. Проверьте и то, что у вас под рукой есть ключ восстановления, поскольку сбои при обновлении случаются редко, но неприятно.