Het is een prachtig voorbeeld van defense in depth (gelaagde beveiliging): het gebruik van FileVault in combinatie met de moderne hardware-architectuur van een Mac (voorzien van een T2-chip of Apple Silicon). Hoewel moderne Macs hun interne opslag standaard al op hardwareniveau versleutelen, voegt FileVault een onmisbare extra laag toe: pre-boot authenticatie.
Zonder FileVault geeft de Secure Enclave de ontsleutelingssleutel automatisch en ongemerkt vrij zodra de Mac aangaat. Met FileVault aan heeft Apple een cruciale tussenstap ingebouwd vóórdat macOS überhaupt laadt. Zodra je de Mac aanzet, krijg je een sober, minimalistisch pre-boot wachtwoordscherm te zien.
Wat is hier het voordeel van? Wel, zolang dat wachtwoord niet is ingevoerd, is de systeemschijf hermetisch vergrendeld. Mocht de Mac fysiek in handen vallen van kwaadwillenden terwijl deze uitstaat, dan kunnen ze er helemaal niets mee; de data blijft ontoegankelijk omdat de sleutel ontbreekt.
Dit brengt ons op een ander cruciaal onderscheid: de slaapstand versus een volledige uitschakeling (de koude start). Veel gebruikers laten hun Mac uit gemak maandenlang in de slaapstand staan. In de slaapstand blijft het RAM-geheugen echter onder stroom staan om de actieve sessie te onthouden. Hoewel de architectuur van moderne Macs (met vastgesoldeerd geheugen) fysiek erg sterk is, blijft een systeem in slaapstand theoretisch kwetsbaarder omdat de sleutels nog in het geheugen aanwezig zijn.
Een volledig uitgezette Mac met FileVault daarentegen wist bij het afsluiten alle sleutels uit het vluchtige geheugen. Voor forensisch onderzoekers of onbevoegden is een dergelijke uitgeschakelde Mac zo ongeveer een nutteloze "baksteen". Dit is precies waarom security-professionals, die juist erg te spreken zijn over de robuuste out-of-the-box beveiliging van macOS (zoals Secure Boot en de Secure Enclave), altijd benadrukken hoe belangrijk het is om apparaten daadwerkelijk uit te schakelen of te herstarten wanneer ze niet in gebruik zijn.
Het is dus een ijzersterk samenspel van hardware-encryptie, een veilige pre-boot omgeving en jouw eigen wachtwoord dat een uitgeschakelde Mac tot een nagenoeg ondoordringbare vesting maakt.
Gast
