Cifre el volumen de inicio con Core Storage sin FileVault
Dos días después de agregar esta respuesta, Apple publicó un informe técnico: Mejores prácticas para implementar FileVault 2 - Implementación de la tecnología de cifrado de disco completo OS X (PDF). De un vistazo, algo de lo que describo a continuación parece ser descrito por Apple como:
-
Contraseña de disco: DEK .
Preparación
- Copia de seguridad
- iniciar el sistema operativo de recuperación
- use la Utilidad de Discos para borrar el volumen de inicio - Mac OS Extended (Journaled, Encrypted)
- restaurar
- proporcione la frase de contraseña para el volumen a AdminGuy.
Sugerencia
En el paso 4 anterior, use un método que conserve la porción Apple_Boot (a veces llamada Boot OS X, a veces llamada Recovery HD) mientras restaura el volumen de inicio de JHFS +.
Para validar esta respuesta, usé la Utilidad de Disco para ese paso. (Estoy menos familiarizado con las capacidades de restauración de Time Machine).
La EfiLoginUI resultante:
Como la contraseña del disco tiene un avatar / ícono, está claro que Apple considera escenarios como este.
Uso normal a partir de entonces
- Junto con los usuarios nombrados, EfiLoginUI presenta Contraseña de disco
- AdminGuy puede seleccionar la contraseña del disco
- AdminGuy puede ingresar la frase de contraseña para desbloquear el volumen de inicio protegido por CoreStorage
- cuando aparezca loginwindow, seleccione el usuario requerido.
Los usuarios pueden cambiar sus contraseñas de inicio de sesión. La frase para la contraseña del disco se mantendrá sin cambios.
No necesita usar las áreas de FileVault de las Preferencias del Sistema, pero si lo hace, la mayoría de las cosas funcionan como se espera.
La máquina que se muestra arriba está perfectamente limpia, se restaura desde una plantilla Mountain Lion que creé luego de la instalación del sistema operativo (en la pantalla de bienvenida, apagué y luego utilicé la Utilidad de Discos para crear imágenes de todas las particiones / rebanadas del disco). Procedí a crear un usuario, luego habilité ese usuario para FileVault:
La EfiLoginUI resultante: un usuario con nombre junto con la opción Contraseña de disco:
Error de apariencia
Las Preferencias del sistema en la compilación 12A269 de OS X 10.8 pueden indicar que FileVault está habilitado, con una clave de recuperación establecida , cuando la clave ya no es aplicable . (Suponga que un volumen borrado, con una contraseña posiblemente diferente, no aceptará una clave de recuperación que se configuró antes de borrar . Se puede obtener una opinión más definida de Infiltrarse en la bóveda: análisis de seguridad y descifrado del cifrado de disco completo de Lion (2012). He reportado errores a Apple.
Las fotografías de arriba son de la unidad flash USB que usé para validar esta respuesta.
Las fotografías a continuación son de la unidad interna que uso todos los días.
EfiLoginUI: dos usuarios con nombre habilitados para FileVault, la opción Contraseña de disco y el Usuario invitado:
loginwindow - todos los usuarios con nombre:
