ボリューム全体を暗号化できることに加えて、FileVault 2とFileVaultの違いは何ですか?


17

LionのFileVault 2には、旧バージョンのシステムの以前のリリースのFileVaultと比較して、他の違いがありますか?新しいバージョンを使用することで追加の利点はありますか?

回答:


7

ジョン・シラクーサのライオンのレビューから多くを借りて...

FileVault 2は、「ホームフォルダを暗号化されたディスクイメージに保存する」ソリューションとは異なり、Whole Disk Encryptionシステムです。これは、システムのブート時にロック解除する実際のボリュームの下のファイルシステム層として実装されます。LVMに精通している場合は、ほぼ同じ方法です。パスワードロックを超えると、システムの他の部分から見るとすべてが同じように見えます。

スティーブが述べたように、暗号化作業は専用のプロセッサ命令によって支援され、完全にバックグラウンドで実行されます。良い点は、フルドライブでディスク暗号化を有効にできることです。そして、すべてがゆっくりと行われます(シャットダウン、再起動などができ、すべてが続行されます)。


9

パスワードなしの「ゲスト」アカウントは、ユーザーのホームディレクトリよりもディスク全体が暗号化されるため、作成できなくなりました。これについてAppleのkb記事に情報が見つからなかったのは悲しいことです。


3
うわー、これは私に気づかなかったかなり大きな違いです!これは、パスワードなしのゲストアカウントのセットアップを推奨する盗難復旧戦略に非常に大きな影響を与えます。
アロンロットベール

@Aronただし、ゲストアカウントをクリアテキストのパスワードヒントでセットアップすることもできます。
アスマス

2
@Asmusはもちろんですが、それはFilevaultをまったく役に立たなくするでしょう。
アロンロットベール

@Aronしかし、「古い方法」が以前より安全でないのはどうしてですか?「パスワードなし」のゲストアカウントは、ゲストにパスワードを伝えるときと同じです。
アスマス

2
明らかに、ディスクはユーザーログインによって合計で暗号化されるため、盗難回復ツールとして使用する場合、ゲストログインは役に立たなくなります。ほとんどの場合、Filevault 1がより優れたソリューションになります。
Aron Rotteveel

7

新しいFilevaultは、古いバージョンよりもはるかに少ない制約をあなたに課しているようです。たとえば、タイムマシンを動作させるためにログアウトする必要はなく、すべての共有デーモンは正​​常に動作しているように見えます(正しく思い出すと、filefaultが有効になっている場合、それらの一部は無効になりました。ラップトップをWebアプリケーションの開発プラットフォームとして少し役に立たなくしました:))。

Filevault 2の1つの問題は、暗号化されたドライブのロックが解除されるまでスタートアッププロセスを開始できないため、ローカルでパスワードを入力するまでマシンにsshできないことです。


「たとえば、タイムマシンを動作させるためにログアウトする必要はなく、すべての共有デーモンは正​​常に動作しているように見えます。」また、ファイルにアクセスできます。
ティロ

Time Machineバックアップは個別に暗号化する必要がありますが、それでも可能です。これは、暗号化ディスクへのTime Machineの環境設定> [ディスク]> [チェックボックスから行うことができます

4
  • サポートされているCPU(一部のコアi5およびi7)で暗号化および復号化をオフロードするAES-NIをサポートしています。
  • Appleで暗号化キーを保存できます。

他にもいくつかあると思います。このAppleサポート記事は、残りの質問に答えるはずです。

http://support.apple.com/kb/HT4790


誰かがそれが有用である理由を知らない場合、AES-NIサポートはより良いパフォーマンスとバッテリー寿命のための低いCPU使用率を意味します。
jmk

4

FileVault 2 LVGの障害は修復できない場合があります

マニュアルページからfsck_cs

fsck_csユーティリティは、CoreStorage論理ボリュームグループメタデータを検証および修復します。

...

バグ

fsck_csは徹底的な検証を実行せず、検出する多くの不整合を修正することもできません。

FileVault 1の問題

fsck_hfs(Disk Utilityで使用)は10年以上開発されており、FileVault 1で使用されているJHFS +のほとんどの問題を修復できます。

fsck_hfs修復できない問題が発生した場合は、複数の代替サードパーティユーティリティがあります。

FileVault 2のコアストレージの問題

fsck_cs(Disk Utilityでも使用されます)は、Mac OS X 10.7.0でCoreStorageとともに最初に登場しました。矛盾は取り返しのつかないことがあります。

fsck_csに代わるものがない場合

LVG障害が発生し、fsck_cs必要な修復を行えない場合、起動ボリュームはマウントされません。この状況では、ディスクを破壊的に再フォーマットし、Mac OS Xを再インストールできます(Recovery OS Time Machineのみを使用しても、FileVault 2に必要なApple_Boot Recovery HDは提供されません)。


3

欠点の1つは、個々のユーザーアカウントを暗号化する前に、ディスク全体しか暗号化できないことです。ディスク全体を暗号化する場合は、コンピューターを使用するたびにディスク全体を復号化する必要もあります。これは、コンピューターを起動すると、ディスク全体がマルウェアにアクセスできるのに対し、セキュリティが重要なアカウントに個別にログインする(すぐに再びログアウトする)ことができることを意味します。

本当に重要なデータには、FileVaultの上で暗号化されたディスクイメージを引き続き使用できると思います。

もう1つの問題はTime Machineです。FileVaultユーザーのディレクトリも暗号化されてバックアップボリュームに保存されていましたが、それはもはや事実ではないようです。

Time Machineがディスク全体の暗号化もサポートするようになったことを誰もが知っていますか?

更新:どうやら、Time Machineはディスク全体の暗号化をサポートしていないようです:Time MachineボリュームはFileVault 2で簡単に暗号化できますか?


1
ディスク論理ボリュームを区別する場合:Time Machineはディスク全体の暗号化を使用しない場合がありますが、暗号化のために、Time Machine Core Storage フルディスク暗号化(FDE)(diskutilのマニュアルページで説明)を全体に適用しますバックアップボリュームの。
グラハムペリン

2

複数の管理者の場合:FileVault 2単独ではFileVault 1より安全性が低くなります 

ティロが提供する答えに似ています。このロジックは、2人以上の管理者がいるコンピューターに適用されます。

Snow LeopardおよびLionのFileVault 1

マスターパスワードを持たない人が他の人のデータにアクセスするのを防ぐための適切なレベルのセキュリティがあります。

FileVault 2のみ

すべての管理者は、他のすべてのユーザーのデータを表示、コピー、編集できます。

2人のビジネスパートナーがコンピューターを共有し、両方の管理者がいます。2人のパートナーのうちの1人は、何かを秘密にしておきたいと思うかもしれません。マスターパスワードを保持しているパートナーは、何かを非公開にしたいため、そのパスワードを他のパートナーに提供しません。

このようなシナリオでFileVault 2を単独で使用すると、セキュリティとプライバシーは簡単に無視されます。sudoはすぐに頭に浮かびます。

比較

Oracle SolarisのZFS暗号化。ユーザーのホームディレクトリに適用できます。


回避策

上記の状況でFileVault 2のユーザーが追加のセキュリティを必要とする場合、そのユーザーは次のことができます。

  1. 内部ディスクまたは外部ディスクを追加します
  2. そのディスク上に、(a)OS起動ボリュームのディスクパスワードと(b)起動ボリュームのすべてのユーザーパスワードの両方と異なるディスクパスワードを持つCore Storage暗号化論理ボリューム(LV)があります
  3. ホームディレクトリを別のディスクのLVに保存する
  4. ユーザーアカウントのパスワードをLVのディスクパスワードに一致させます。

あるいは、その人は既存のディスクの一部だけを使用するかもしれませんが、coreStorageの世界とその周辺でのパーティション管理は難しいので、長期的な単純化のために、追加/別のディスクへの投資をお勧めします。


/ var / folders

一部のユーザーデータがサブディレクトリに書き込まれることを期待し /private/var/foldersてください。すべての管理者がこのデータにアクセスできます。これに対する解決策は、この質問の範囲外です。


FileVault 1は、ユーザーを互いに分離したいマルチユーザーコンピューターに適していると思いますが、FileVault 1を使用しても、システム管理者は他のユーザーの格納域をいつでも復号化できると思います。
ティロ

FileVault 1の@Thiloは、他の誰かのボールトのロックを解除する唯一の受け入れられた方法は、すべての管理者に自動的に与えられるマスターパスワードを使用することでした。これを明確にするために回答を編集しました。プロンプトをありがとう。
グラハムペリン

1
セキュリティを強化するために、OSをインストールする前に、OS Xのインストールに使用するディスクから、あるユーザーのホームディレクトリのパーティションを切り分けることができます。たとえば、FileVaultを使用しないCore Storageで起動ボリュームを暗号化するをご覧ください。ただし、これはAppleのFileVault 2のシステム環境設定インターフェイスでは実行できません。また、パーティションが小さすぎることが後で判明した場合、暗号化されたパーティションを縮小または拡大することはできません
グラハムペリン

1

coreStorageの世界とその周辺でのパーティション管理は難しい

FileVault 2を使用するディスク、またはCore Storageのその他のアプリケーションの場合、ディスクユーティリティを使用してパーティションを追加またはサイズ変更することは不可能です。

スーパーユーザーの場合:

  • 答えの下で、私はFileVaultの2暗号化されたパーティションのサイズを変更するにはどうすればよいですか?
  • 答えは下のOS Xのライオンで暗号化されたボリュームに新しいパーティションを作成します

Appleを期待する diskutil(8)Mac OS Xマニュアルページ間もなく 10.7に更新されることを。それまでの間、Lionを既にインストールしている場合は、ターミナルのmanページを読んでください。


1

FileVault 1は個人用に無効にできます

FileVault 1を使用するユーザーの場合:

  • システム環境設定では、十分な空き容量がある場合に、そのユーザーだけでFileVaultを無効にできます。

FileVault 2の有効なユーザーは無効にできません

Mac OS X 10.7(ビルド11A511)では、ユーザーに起動ボリュームのロック解除を許可することができますが、一度有効にすると:

  • そのユーザーだけを無効にすることはできません
  • FileVault 2全体のみを無効にできます。

起動/ログイン時にFileVault 2ボリュームのロックを解除するユーザーの機能を無効にします


1

Lion Recovery Disk AssistantにはFileVault 2のサポートがありません

Mac OS X 10.7(ビルド11A511)のFileVault 2で使用されるバージョン1.0のアシスタントは、USBフラッシュドライブにリカバリOSを作成します。しかしながら:

  • コンピューターはその回復OSから起動できません。

2台の異なるコンピューターでこの問題を発見しました。


0

FileVault 1のパフォーマンスへの影響

私の経験では、影響は通常許容されます。関連するベンチマークをご覧ください。

性能比較

In Ask Different:古いFilevaultと新しいLionフルディスク暗号化の速度

FileVault 2のパフォーマンスへの影響

Appleの提案:

FileVault 2は、データをその場で暗号化および復号化し、パフォーマンスにほとんど影響を与えません。

- ページには、2011年7月28日にキャッシュされました

AnandTech — Macに戻る:OS X 10.7 Lionレビュー:FileVaultのパフォーマンスは以下を観察します:

…全体的に、純粋なI / Oパフォーマンスのヒットは20〜30%の範囲です。注目に値しますが、フルディスク暗号化の利点を上回るほど大きくはありません。…

AnandTechのレビュアーに、少なくとも次のものを含めて、より広く物事を再検討してほしい。

  • FileVault 2の代わりにFileVault 1。

Re:[Fed-Talk] Lion FileVault(2011-07-22)(ハイライト)のCPU、kernel_taskなどの詳細な観察結果。


0

FileVault 2はリモート再起動を防ぎます

EFI loginwindowへのリモートアクセスを期待しないでください。


あなたのスタイルをより読みやすいものに変更しました。
ロイックウルフ

@Loïcの見出しレベル1、2、および3は普通のように見えます。たとえば、Lionのどんな小さなことで笑顔になったり、不意を突かれたりしましたか。—スタイルの使用に関する回答にメタ質問がありますか?それまでの間、他の編集はご遠慮ください。ありがとうございます。
グラハムペリン

1
それは答えをより読みやすくするためでした。h1は短いタイトルには適していますが、長いフレーズには適していません。IMO。古いスタイルを好む場合は、気軽にロールバックしてください。
ロイックウルフ

3
@Graham、これは、お互いの投稿の編集に基づいたコミュニティ主導のウェブサイトです。見出しには何も問題はありませんが、正直なところ、あなたの投稿は非常に読みにくいと思います。
アロンロットベール

@Aronは、読みやすくするためにコンテンツを自由に編集してください。慎重にロールバックまたは再編集する場合があります。少なくとも1つの答えに3つの見出しレベルを残します。現在
グラハムペリン

0

FileVault 1を無効にするとパフォーマンスが低下する場合があります

適切なBツリーのセットを備えた2つの適度なサイズのボリューム(1つはホームディレクトリ)は、属性とカタログBツリーを持つ単一の巨大なボリュームよりもシステムの管理が容易であり、ほぼ確実にパフォーマンスが向上します。特大および断片化。

説明

FileVault 1は、最適化されたサイズのバンドを使用します。

ホームディレクトリのコンテンツによっては、これらのバンドを放棄してより多くの小さなファイルを優先することにより、起動ボリュームの次の重要な領域のサイズと断片化が大幅に増加する場合があります。

  • 属性Bツリー
  • カタログBツリー
  • エクステントBツリー。

拡大されたBツリーは予想外に問題になる可能性があります

以下は議論の余地なく最初の質問の範囲を超えており、比較的技術的ですが、(a)限られたメモリと(b)ホームディレクトリ内外のかなりの数のファイルを持つコンピューターのユーザーにとっては、前に考える価値がありますFileVaultの放棄1。

Bツリーのサイズの合計が大きすぎる場合、および修復が必要な場合、コンピューター上のサードパーティのユーティリティは損傷を修復できない可能性があります。

ボリュームがfsck_hfsによって修復できない場合最も明らかにディスクユーティリティを使用し、システムがダーティなファイルシステムに遭遇するたびにはっきりしない)、ユーザーは尊敬されるサードパーティのユーティリティを使用できます。

物理メモリに関連するBツリーのサイズの合計が、で回復できないCore Storage暗号化バックアップボリュームに必要なサードパーティのユーティリティとして機能するに大きすぎる状況に遭遇しましたfsck_hfs。私のMacBookPro5,2は8 GB以下しか使用できないため、しばらくの間、このボリュームは読み取り専用でした。

メモリの多い環境で注意を払うために、コンピューターの有無にかかわらず、ボリュームをサービスプロバイダーに提供した可能性があります。ただし、セキュリティのために、一部の種類のボリュームのパスフレーズまたはキーをサードパーティに提供することはお勧めしません。

最終的に、そして予期せず、fsck_hfsLionでディスクユーティリティを使用せずにボリュームを修復しました。おそらく、回復不能で読み取り専用の状態で、coreStorageの世界からボリュームを(危険にさらして)実験的に削除(元に戻し、完全に逆変換)したおかげです。それは私にとっては喜ばしい結果であり、10.7(Build 11A511)の品質と機能についてはAppleに賛成でしたが、これは他の読者への注意として役立つはずです。


「バンドを放棄することと多くの小さなファイル」の一部がわかりません。File Vault 2の暗号化は、ファイルシステムのレベルより下のブロックレベルで行われるため、Bツリーに関して暗号化されていないHFS +と異なる動作をするべきではありません。
ティロ

レベルや暗号化について考えずに@Thilo:ファイル数を考えます。極端な例:100 KBの80 KBファイルをボリュームに追加し、10,000 MBの8 MBバンドを削除します。百万のファイルを追加すると、多分1かではありませんこれは、両方の断片化と一致する、属性やカタログBツリーのサイズを増加させる可能性が高い決してパフォーマンスのために良いです。少数のファイルをその後削除しても、どちらのBツリーでもサイズが縮小されない場合があります。
グラハムペリン

しかし、ディスクイメージのHFS +のBツリーに同じ100万個のファイルがありませんか?たぶん私は何かを誤解しています。とにかく、私はあなたの意味を知っていると思います。これは暗号化やFileVaultに関するものではなく、何百万ものファイルを管理するためにHFS +を信頼していないため、ディスクイメージを使用してファイルシステムを「パーティション分割」するのですか?
ティロ

JHFS +(ジャーナリングを含む)で何百万ものファイルを信頼しています。現在、MacBookPro 5,2の起動ボリューム上の4,062,789個のファイルと438,294個のフォルダー— PowerPC Xserveの3,151,819個のファイル。この質問に対する私の答えは、他の場所で進行中の非共同作業から生じました。特にこの回答には、おそらく冒頭の見出しの下に注意が必要です。このスペースを見て、編集に参加してください。プロンプトを再度ありがとう…
グレアムペリン

0

一部のインストールではFileVault 2を使用できません

LionのすべてのインストールがFileVault 2に必要な非表示のApple_Boot Recovery HDを取得するわけではありません— OS X Lion:「Mac OS X Lionの一部の機能はディスク(ボリューム名)でサポートされていません」がインストール中に表示されます(2011-07-21) 。

…FileVaultを使用できなくなります…

これが発生した場合、およびLionへのアップグレード前にFileVault 1を放棄した場合、Lionを搭載したMacは安全性低下します。

ライオンのリリース前のMacworldで発表されアドバイスに利用者に助言し続け無効FileVaultの1  の前にライオンをインストールします。Macworldが異議を唱えるアドバイスを与えることは最も珍しいことですが、この場合、私は強く反対します。



0

FileVault 2とFileVault 1を組み合わせることで、二重層セキュリティを実現できます。これはTimeMachineと共有で問題を引き起こすことに注意してください。したがって、この二重層セキュリティは、TimeMachineがオフになっているアカウントにのみお勧めします!

私のコンピューターには、毎日の仕事用アカウント、FileVault 1アカウント(TimeMachineから除外)、および管理者アカウントがあります。(管理者アカウントのパスワードを使用して)日常の仕事用アカウントからFileVault 2をアクティブにしたとき、AppleがOS X Lionで次のように言っているため、FileVault 1が消えることを期待していました:FileVault 2について:そして、OS X LionのFileVault 2を有効にすることを選択できます。

FileVault 2がすべてセットアップされたとき、FileVault 1がFileVault 1暗号化を保持し続けていることに非常に驚きました。だから私は二重層のセキュリティを持っていた:FileVault 2コンピュータ内のレガシーFileVault 1アカウント。必要なのは、FileVault 2を有効にする場所であるFileVault 1以外のアカウントだけでした。

最終的に、FileVault 2を再びオフにしました。Bootcamp WindowsシステムからOS Xファイルシステムにアクセスできるのが好きです。FileVault 2では、それはもはや不可能でした。私はまだFileVault 1アカウントを保持しており、10.8.1でも引き続き機能します。


また、TimeMachineの問題、アクセスの共有(または非アクセス)など、FV1のすべての欠点があります。より優れた解決策(本当に小さな追加のセキュリティレベルが必要な場合)は、おそらくFV2でディスクを暗号化し、 image / dmgは本当に繊細なものです。
nohillside

確かにそうです。そのアカウントのTimeMachineをオフにし、共有しないので、影響はありません。それに応じて答えを編集しています。
マッハ
弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.