![](https://help.apple.com/assets/664256E0F9FFA26F690A0B01/664256E3F9FFA26F690A0B07/fi_FI/312766e3df7f57c1f549da2dab216b36.png)
Johdanto FileVaultiin
Mac-tietokoneet tarjoavat FileVaultin, joka on sisäinen salausominaisuus, levossa olevan datan suojaamiseen. FileVault suojaa AES-XTS-tietojensalausalgoritmilla koko taltiot sisäisillä ja ulkoisilla tallennuslaitteilla.
Applen sirulla varustetun Macin FileVault toteutetaan tiedonsuojausluokalla C ja taltioavaimella. Applen sirulla varustetuissa Mac-tietokoneissa ja Apple T2 Security -sirulla varustetuissa Mac-tietokoneissa suoraan Secure Enclaveen yhteydessä olevat sisäiset tallennuslaitteet käyttävät sillä olevia laitteiston suojausominaisuuksia sekä AES-komponentin suojausominaisuuksia. Kun käyttäjä on laittanut FileVaultin päälle Macilla, käyttäjän kirjautumistietoja tarvitaan käynnistysprosessissa.
Sisäinen tallennustila, kun FileVault on päällä
Ilman sisäänkirjautumistietoja tai kryptografista palautusavainta sisäiset APFS-taltiot on salattu ja suojattu luvattomalta käytöltä, vaikka fyysinen tallennuslaite irrotettaisiin ja yhdistettäisiin toiseen tietokoneeseen. macOS 10.15:ssä tämä koskee sekä järjestelmä- että datataltiota. macOS 11:ssä tai uudemmassa järjestelmätaltiota suojaa ominaisuus nimeltä allekirjoitettu järjestelmätaltio (SSV), mutta datataltio suojataan edelleen salaamalla. Joko Applen sirulla tai T2-sirulla varustetuissa Mac-tietokoneissa sisäisen taltion salaus toteutetaan muodostamalla avainhierarkia ja hallitsemalla sitä. Salauksessa hyödynnetään myös kuhunkin siruun sisältyviä laitteiston salausteknologioita. Tämä avainhierarkia on suunniteltu saavuttamaan samanaikaisesti neljä tavoitetta:
käyttäjän salasanan vaatiminen salauksen purkamista varten
järjestelmän suojaaminen suoraan Macista irrotettuun tallennuslaitteeseen kohdistuvalta brute-force-hyökkäykseltä
sujuvan ja turvallisen menetelmän tarjoaminen sisällön tyhjentämiseen poistamalla tarvittavat kryptografiset materiaalit
käyttäjien salasanan vaihtomahdollisuus (ja salausavaimien käyttö tiedostojen suojaamiseen) edellyttämättä koko taltion salaamista uudelleen
Mac-tietokoneissa, joissa on Applen siru tai T2-siru, kaikki FileVault-avainten käsittelyt tehdään Secure Enclavessa. Salausavaimia ei koskaan paljasteta suoraan Intel-prosessorille. Kaikkiin APFS-taltioihin luodaan oletuksena taltionsalausavain. Taltion ja metatietojen sisältö salataan tällä taltionsalausavaimella, joka on salattu luokka-avaimella. Luokka-avainta suojataan käyttäjän salasanan ja laitteiston UID:n yhdistelmällä, kun FileVault on päällä.
Sisäinen tallennustila, kun FileVault on pois päältä
Jos FileVaultia ei laiteta päälle Applen sirulla tai T2-sirulla varustetussa Macissa ensimmäisen käyttöönottoapuriprosessin aikana, taltio salataan silti, mutta taltionsalausavainta suojaa vain laitteiston UID Secure Enclavessa.
Jos FileVault laitetaan päälle myöhemmin (välitön prosessi, sillä tiedot on jo salattu), toiston estävä mekanismi estää vanhan avaimen (joka perustuu vain laitteiston UID:hen) käytön taltion salauksen purkamiseen. Taltiota suojataan sen jälkeen käyttäjän salasanan ja laitteiston UID:n yhdistelmällä aiemmin kuvatulla tavalla.
FileVault-taltioiden poistaminen
Kun taltio poistetaan, Secure Enclave poistaa sen taltionsalausavaimen turvallisesti. Tämä estää avaimen käytön jatkossa, myös Secure Enclavelta. Lisäksi kaikki taltionsalausavaimet salataan tallennuslaiteavaimella. Tallennuslaiteavain ei tarjoa tiedoille lisäsuojausta, mutta sen sijaan se mahdollistaa tietojen sujuvan ja turvallisen poistamisen, sillä ilman sitä salauksen purkaminen on mahdotonta.
Mac-tietokoneissa, joissa on Applen siru tai T2-siru, tallennuslaiteavain poistetaan varmasti Secure Enclaven tukemalla teknologialla, kuten MDM-etäkomennoilla. Tallennusvälineavaimen poistaminen tällä tavalla tekee taltiosta kryptografisesti mahdottoman käyttää.
Irrotettavat tallennuslaitteet
Ulkoisen tallennuslaitteen salaus ei käytä Secure Enclaven suojausominaisuuksia, ja sen suojaus tehdään samalla tavalla kuin Intel-pohjaisissa Mac-tietokoneissa, joissa ei ole T2-sirua.