Recientemente aprendí que es posible encriptar un volumen APFS dentro de un contenedor desde la CLI usando el diskutil comando así:
diskutil apfs encrypt -user disk disk3s1donde disk3s1 es el único volumen en el contenedor APFS de mi disco externo.
El disk usuario se menciona en el diskutil página man, pero no entiendo lo que es. Además, si he entendido bien, cifrar el disco de inicio de MacOS utilizando el típico botón "Preferencias del Sistema" -> "Seguridad y Privacidad" -> "FileVault" -> "Activar FileVault" consigue esencialmente lo mismo. Por lo que veo, la diferencia entre los dos enfoques tiene que ver con los usuarios que pueden desencriptar el disco. Usando el enfoque de "Preferencias del Sistema", mi usuario ( BBBBBBBB-BBBB-BBBB-BBBB-BBBBBBBBBBBB abajo) tiene permiso para descifrar el disco al igual que la clave de recuperación (usuario CCCCCCCC-CCCC-CCCC-CCCC-CCCCCCCCCCCC abajo) que se generó cuando pulsé el botón "Activar FileVault". Las diferencias se pueden ver usando diskutil una vez más:
# Volume on the external drive:
diskutil apfs listkeys disk3s1
# Cryptographic user for disk3s1 (1 found)
# |
# +-- AAAAAAAA-AAAA-AAAA-AAAA-AAAAAAAAAAAA
# Type: Disk User
# Data volume on my MacBook's internal drive:
diskutil apfs listkeys disk1s2
# Cryptographic users for disk1s2 (2 found)
# |
# +-- BBBBBBBB-BBBB-BBBB-BBBB-BBBBBBBBBBBB
# | Type: Local Open Directory User
# |
# +-- CCCCCCCC-CCCC-CCCC-CCCC-CCCCCCCCCCCC
# Type: Personal Recovery UserHe buscado un poco en internet pero no he podido encontrar respuestas satisfactorias a las siguientes preguntas; se agradece cualquier ayuda. Gracias de antemano.
- ¿Qué es el usuario "disco"? ¿Es especial? ¿Es universal entre todas las instalaciones de MacOS?
- ¿Puedo añadir usuarios criptográficos adicionales a
disk3s1a través dediskutilo algún otro comando CLI? - ¿Puedo añadir un usuario/clave de recuperación personal a posteriori (por ejemplo, a
disk3s1como se muestra arriba) a través dediskutilu otro comando CLI? - ¿Puedo eliminar a los usuarios de criptografía a posteriori?
Referencias
Aquí hay algunos artículos que leí antes de crear este post, listados sin ningún orden en particular, algunos más relevantes que otros.
- Documentación técnica de APFS
- Desencriptación de un volumen encriptado en APFS usando diskutil en MacOS 10.13.2
- Diapositivas de la sesión "Gestión de FileVault 2 en MacOS High Sierra" en la Conferencia MacAD UK 2018
- Encriptación APFS, usuarios invitados fantasmas y UUIDs extraños
- Cómo entender la Utilidad de Discos y la estructura del disco en MacOS 10.13-10.15
- Trabajar con FileVault Encryption
- Preguntas frecuentes sobre el cifrado del volumen de copia de seguridad
