正直言って、これまでのユーザーには即座に影響はありませんが、最終的にはすべてのユーザーが新しい方式を使用する必要があります。今回の変更は、セキュリティの向上を図る一方で、ユーザーの責任が増す側面もあります。

FileVaultとは何でしょうか

基本的な仕組み

FileVaultは、Macのディスクを暗号化し、データを保護する機能です。現在のFileVaultは、Mac OS X 10.7 Lionで初めて登場しました。ちなみに、最初のFileVaultはホームフォルダだけを保護していました。

FileVaultが動作している場合、以下のような保護を提供します。まず起動時の保護では、Macが立ち上がる前にパスワードの入力が必要になります。さらにデータの保護により、正しいパスワードなしではデータボリューム（ハードディスク）の中身を見ることができません。

Apple Silicon MacでのFileVault

Apple Silicon Macでは、FileVaultは特別な仕組みで動作します。やはりFileVaultが動作していると、実際にはmacOSではなく、コンピューターの奥深くにあるプログラムがログイン画面とそっくりな画面を表示するのです。

動作の流れは次のようになります。まずパスワードを入力し、次にMacのブートプログラム（起動システム）が、保存されているパスワードと入力されたパスワードが一致するかをチェックします。その後、ユーザーのデータにアクセスできるようにロックを解除して、最後にシステムをスムーズに起動します。

復旧キーの重要性

復旧キーとは

FileVaultを設定すると、macOSが特別な復旧キー（緊急用パスワード）を自動で作ります。普段はいつものパスワードでログインしてデータにアクセスしますが、ログイン情報が壊れてしまった場合、この復旧キーが唯一の救済手段となります。

正直言ってめったに起こらない故障ですが、万が一の場合に備えた重要な安全装置なのです。

これまでの保存方法

これまでは2つの選択肢がありました。まず自分で記録では、復旧キーを一度だけ表示し、ユーザーが紙に書き留めたり、パスワード管理アプリに保存する方法がありました。一方、iCloudに保存では、復旧キーをAppleのサーバーに預けていましたが、十分な保護がない状態でした。

とはいえ、iCloudに保存する方法では、Apple IDにログインできる人なら誰でも、ロックされたMacから復旧キーを取り出せるという問題がありました。

macOS Tahoeでの変更点

新しい保存方式

Apple TahoeでのFileVaultは、以下の重要な変更を行いました。まずiCloudキーチェーンを使用することで、エンドツーエンド暗号化（強力な暗号化）で復旧キーを保護ます。さらにパスワードアプリからアクセスすることで、他のiPhoneやiPadからも安全にアクセス可能になりました。またいつでもアクセスにより、「表示」ボタンでいつでも復旧キーを確認できるようになったのです。

既存ユーザーへの影響

今使っている設定はそのまま使えます。ただし、新しいMac、macOSの再インストール、FileVaultの再設定時は新しい方法を使うことになります。これまでのiCloudに保存する方法は段階的になくなる予定です。

セキュリティの向上点

エンドツーエンド暗号化

新しい方式では、復旧キーがiCloudキーチェーンでエンドツーエンド暗号化（強力に暗号化）されます。これにより、Apple IDだけでは復旧キーにアクセスできません。信頼できるデバイスからのみアクセス可能になり、Touch ID、Face ID、またはパスワードによる追加の本人確認が必要になります。

管理方法の改善

パスワードアプリでの管理により、使いやすくなりました。Mac版では、シリアル番号を含む詳しい情報が保存されます。一方、iPhone/iPad版では基本的な情報として、復旧キーのみが表示されます。そして複数のデバイス間での同期が可能になったのです。

ユーザーが注意すべき点

責任の増加

新しい方式では、ユーザーの責任が増します。まずアクセスできるかの確認では、Macが起動しない場合でも復旧キーにアクセスできるか確認が必要です。さらにバックアップの重要性として、iCloudキーチェーンが使えない場合に備えて、パスワード管理アプリへの保存や紙に書いて安全な場所に保管することが求められます。

おすすめの対策

まず複数の保存方法として、iCloudキーチェーンとパスワード管理アプリの両方を使うことをお勧めします。次に定期的な確認では、時々復旧キーが取得できるかチェックすることが大切です。最後に安全な場所への保管として、金庫などの安全な場所に紙で保管することも検討しましょう。

変更への対応

既存ユーザー

現在の設定は続けて使えます。ただし、FileVaultをオフからオンにすると新しい方法に変わります。段階的な変更なので、慌てる必要はありません。

1. [システム設定] > [プライバシーとセキュリティー]を選択します
2. [復旧キー]の表示をクリックします



3. このMacでのログインキーを入力し{OK}をクリックします



4. 復旧キーが表示されます

新規ユーザー

自動的に新しい方法を使うことになります。設定時に復旧キーの保管場所をよく考えて、複数の安全な保管方法を組み合わせることをお勧めします。

技術的な詳細

暗号化の仕組み

Apple Silicon Macでは、ハードウェアレベルでの暗号化が常に動作しています。FileVaultは起動時の保護システムとして機能し、T2セキュリティチップやM-seriesチップによる高速処理を実現しています。

速度への影響

現代のCPUに内蔵された暗号化回路により高速処理が可能です。SSDとの組み合わせで、暗号化による速度低下はほぼありません。つまり、普段使いでの速度への影響はほとんどないのです。

まとめ

macOS TahoeでのFileVaultの変更は、セキュリティの大幅な向上をもたらします。エンドツーエンド暗号化（強力な暗号化）により、これまでのiCloudに保存する方法の弱点を解決し、より安全な復旧キー管理を実現しています。

一方で、ユーザーはより積極的に復旧キーの管理に関わる必要があります。複数の安全な保管方法を用意し、万が一の際にアクセスできることを確認することが重要でしょう。

この変更は、プライバシーとセキュリティを重視するAppleの姿勢を示すものであり、長期的にはユーザーにとってより安全な環境を提供するものと言えるでしょう。

出典: FileVault on macOS Tahoe uses iCloud Keychain to store its Recovery Key – Six Colors

FileVaultは、保存されたデータを暗号化し、他のユーザーがアクセスできないようにするAppleの機能です

T2チップを搭載しないIntel Mac

AppleがFileVaultの最初のバージョンをリリースしたMac OS X 10.3以降、内部ストレージのコンテンツの一部を暗号化できます

現在ではFileVault 1またはレガシーFileVaultと呼ばれている製品では、ホームフォルダのみが暗号化されてsparsebundleになりました、これらはTime Machineバックアップで問題を引き起こし、比較的簡単にクラックできることがわかっています

古いMacでも、FileVault 1によってデータが大幅に保護されるとは思わないほうが良いでしょう

FileVault 2はMac OS X 10.7で導入され、ユーザーパスワードに基づいてボリューム全体を暗号化します

暗号化は、AESのXTS-AESモードと256ビットキーを使用してCPUによって実行されます、最近のすべてのインテル・プロセッサーには、これを簡単かつ迅速に行うための命令が用意されていますが、暗号化されたボリュームに書き込まれたすべてのデータは、ディスクに書き込まれる前に暗号化する必要があります

また、暗号化されたボリュームから読み取られたすべてのデータは、使用される前に復号化する必要があります

このため、約3%という大きなオーバーヘッドが発生します。これは、ハードディスクなどの低速のストレージや、低速のMacで顕著になります

FileVaultをオンまたはオフにするのは非常に面倒です、ボリューム全体をバックグラウンドで暗号化または復号化する必要があり、そのプロセスには数時間または数日かかります

ほとんどのユーザーはこのようなことをあまり頻繁に行わないようにしているため、FileVaultは安全で効果的ですが、広く使用されているわけではありません

T2とM1のハードウェア暗号化

Intel MacにT2チップを追加し、M1シリーズのようなApple Siliconチップの設計におけるAppleの目標の1つは、暗号化ボリュームをデフォルトにすることです

そのために、T2チップとM1チップはセキュアエンクレーブ（TouchIDのMacに搭載されているセキュリティコプロセッサ）を組み込み、暗号化と復号化をCPUサイクルではなく、ハードウェアで行います

T2チップは内蔵SSDのストレージコントローラとして機能するため、IntelプロセッサとSSD間で転送されるすべてのデータは、T2のハードウェアの暗号化段階を通過します

T2チップを搭載したMacは、Mac Pro 2019を除くすべてのモデルに内蔵ストレージがはんだ付けされているため、取り外しが難しいです、Mac Pro 2019は内部SSDを交換できますが、交換後に新しい内部ストレージをApple Configurator 2を使ってMacのT2チップに対して初期化する必要があります

FileVaultが無効な場合でも、保護されたボリューム上のデータは、ハードウェアキーとリプレイ攻撃から保護するためのxARTキーで保護されたボリューム暗号化キー（VEK）を使用して暗号化されます

FileVaultが有効な場合、同じVEKが使用されますが、それは鍵暗号化キー（KEK）で保護され、そのKEKを解くためにユーザーパスワードが必要となり、暗号化/復号化の実行に使用されるVEKを保護することになります

これにより、ユーザーはボリュームを再暗号化することなくパスワードを変更することができ、ユーザーパスワードの紛失や忘却に備え、特別なリカバリーキーを使用することが可能になります、これらの鍵は、T2およびM1チップ内の安全なエンクレーブで処理されます

Intel Macでは、鍵はT2チップから離れることがないため、MacのIntelプロセッサにさらされることはありません

暗号化されたボリュームを安全に消去すると (「すべてのコンテンツと設定を消去する」場合にも実行されます) 、安全なエンクレーブによってVEKとxARTキーが削除され、安全なエンクレーブ自体からも残りのボリュームデータにアクセスできなくなります

これにより、暗号化されたボリュームの残りのデータを削除または上書きする必要がなくなります、ボリュームの暗号化キーが削除されると、以前の内容はすぐに回復できなくなります

暗号化によるブートボリュームの範囲は、macOSのバージョンによって異なります

macOS Catalinaより前は、macOSには1つのシステムボリュームがあり、その全体が暗号化されていました

Catalinaでは、システムボリュームとデータボリュームの両方が暗号化されます

Big Sur以降では、Signed and Sealed System Volume (SSV) は暗号化されず、Recoveryボリュームも暗号化されませんが、Dataボリュームは暗号化されます

外部ディスク

ハードウェア暗号化とFileVaultの巧妙なトリックは外付けディスクでは利用できませんが、APFSは最初からソフトウェア暗号化を組み込むように設計されています

内部SSDと同様に、ボリュームコンテンツの暗号化に使用されるキーは公開されませんが、一連のラッパーを介してアクセスされます、これにより、ユーザーパスワードを紛失したり忘れたりした場合に回復キーを使用できます

これには、内部SSDのFileVaultと同様の方法でKEKとVEKが含まれます、ボリューム上のファイルシステムも暗号化されるため、KEKとVEKがアンラップされた後、暗号化されたボリュームにアクセスする次のタスクは、VEKを使用してファイルシステムBツリーを復号化することです

さまざまなメーカーやモデルの外部ストレージが、独自のハードウェア暗号化を提供しています

たとえば、多くのSSDにはディスク全体の暗号化オプションがありますが、macOSにはこのようなデバイス固有の機能へのアクセスは用意されていません、一般的なセキュリティ基準を満たすように特別に設計されていないストレージは、疑いの目で見てください

汎用SSDのいくつかの専門家による評価で、暗号化に脆弱性が見つかっています、iStorage製品など、堅牢なハードウェア暗号化を提供するように設計および認定された外部ストレージを購入する準備が整っていない場合は、暗号化されたAPFSボリュームでFileVaultを使用することをお勧めします

概要

• T2およびM1 Macでは、パフォーマンスを低下させることなく、内部ストレージ上のデータボリュームの堅牢な保護を提供するFileVaultを有効にします
• T2チップを搭載していないIntel Macでは、FileVaultに関する情報に基づいた判断を行ってください
• 必要に応じて、外部ストレージでFileVaultを使用することを忘れないでください
• 堅牢なハードウェア暗号化を提供するように設計および認定されている場合を除き、外部ディスク上のディスク全体の暗号化を信頼しないでください
• FileVaultは、データを安全に消去するための非常に効果的な方法を提供します

(Via The Eclectic Light Company.)

外に持ち出すMacBookは是非に

クラウドベースの暗号化会社であるAlertSecは、スマートフォンよりも機密性の高い個人データを含むが、他のモバイルデバイスよりも暗号化頻度が低いことを明らかにした新しいサイバーセキュリティ調査の結果を発表しました

AlertSecは、800人以上の米国の消費者を対象に、MacBookの様なラップトップとiPhone等のスマートフォン、モバイルデバイスの暗号化の現在の状態、ユーザーが抱える可能性のあるさまざまなサイバーセキュリティリスクを調査しました

全体的に、この調査では、ほとんどの人が使用しているセキュリティツールについて多くの知識を持っておらず、自分のラップトップにどのような種類のセキュリティソフトウェアがインストールされているかを理解していませんでした

事実、機密データを保護するために設計された暗号化ソフトウェアがコンピュータにインストールされていて保証されると言うことより、広告ブロッカーとアンチウイルス保護ソフトウェアの使用をより多くの人が保証されると思っていることがわかりました





全体的に、46％の人々の中には、ラップトップを使用している間に彼らがサイバーセキュリティの脅威にさらされていることを認めています

• ラップトップを無人で放置する（13.2％）
• ラップトップを車に乗せたまま（13.1％）
• 定期的なセキュリティアップデートの減少（10.4％）
• デバイスにログイン情報を添付する（5.4％）
• チェック済みの荷物にラップトップを持って搭乗する（4.3％）

さらに、米国人はラップトップは機密性の高い情報があることを認識していますが、スマートフォンやモバイルデバイスの暗号化はラップトップの暗号化よりも必要だと考えています

AlertSecの調査データによれば、ラップトップはスマートフォンよりも機密性の高いデータを持っているため、ラップトップのセキュリティリスクはさらに高くなります

AlertSecのCEO、Ebba Blitz氏は次のように述べています

調査データによると、ラップトップユーザーには複数の脆弱性が存在することが示されています
ハッカーやサイバー犯罪者は、保護されていないラップトップで自由に入手できる情報を利用するのを待っているだけです
そのため、私たちはマシンレベルの暗号化を強く主張しています

画像元：AppleWorld.Today
(Via AppleWorld.Today.)


Macの場合に暗号化するには

1. 「システム環境設定」で「セキュリティとプライバシー」をクリックします



2. 「FileVault」タブをクリックします



3. 「FileVaultを入りする…」をクリックします

ただし、最初に設定する時は暗号化に時間がかかるので十分に時間がとれる時におこなう必要が在ります

私は最初は、寝る前にスタートさせました


では、では・・・