Es posible hacer esto usando hdiutil y openssl. La esencia de la solución es usar la opción -certificate de hdiutil . Este campo espera un certificado con formato DER que se utilizará durante el cifrado. El certificado se puede usar más adelante para descifrar el volumen a través de la opción -recover de hdutil .
La duración de 10 años se usa en los certificados a continuación, puede usar términos más largos si lo desea. No he probado el efecto de un certificado caducado en la capacidad de descifrar el volumen.
¡Pruebe completamente que puede descifrar usando el certificado de recuperación antes de confiar el volumen cifrado con sus datos!
Los pasos son:
-
Cree una Autoridad de certificación (CA) que se utilizará para firmar su certificado de recuperación. Se le pedirá una contraseña. Esto debería ser único para esta clave de firma. La CA creada puede utilizarse para firmar muchos certificados.
% openssl genrsa -des3 -out ca.key 4096
% openssl req -new x509 -days 3650 -key ca.key -out ca.crt
-
Crear una solicitud de firma de certificado protegida por contraseña (csr). La contraseña solicitada en este paso es su "clave de recuperación".
% openssl genrsa -des3 -out recovery.key 4096
% openssl req -new -key recovery.key -out recovery.csr
-
Cree el certificado firmado en formato PEM.
% openssl x509 -req -days 3650 -in recovery.csr \
-CA ca.crt -CAkey ca.key -set_serial 01 -out recovery.crt
-
Convierta el certificado firmado al formato DER
% openssl x509 -in recovery.crt -inform pem \
-out recovery.der -outform der
-
Agrupe el certificado PEM y la clave privada en un paquete PKCS # 12. Este paquete se puede importar posteriormente al llavero en una Mac donde se necesita recuperar un volumen. Proteja este paquete, ya que se puede usar para acceder a cualquier volumen cifrado utilizando el certificado contenido. Por ejemplo, póngalo en una unidad de disco USB que se guarda en un lugar seguro.
% openssl pkcs12 -export -in recovery.crt -inkey recovery.key -out recovery.p12
-
Use hdiutil con las opciones -agentpass y -certificate para crear el volumen cifrado.
% hdiutil create -type SPARSE -encryption aes-256 \
-certificate ~/recovery.der -agentpass -fs HFS+J \
-volname "Secure Docs" -size 20g ~/Secure
Puede encontrar más información sobre este tema en: enlace
Las instrucciones anteriores son una combinación de mis propias notas sobre la creación de certificados para sitios web más instrucciones en el sitio anterior.