Cuando instalé MacOS pude hacerlo en un disco recién formateado y cifrado con APFS.
Eso funcionó bien.
Luego la instalación siguió adelante y al reiniciar se me pidió un CONTRASEÑA DEL DISCO .
La instalación se reinició un par de veces y cada vez se pedía la contraseña del disco.
Hasta que se añada un usuario. Entonces esa contraseña de usuario básicamente será capaz de leer automáticamente la clave de descifrado parece que es realmente NO ACEPTABLE en una Apple no infiltrada.
La clave original debe ser la única capaz de descifrar el disco y esa clave no debe ser almacenada en ningún lugar del sistema.
No obstante, procedí a crear un usuario secundario que será capaz de desencriptar también y He revocado la capacidad de los primeros usuarios para desbloquear FileVault porque deseo minimizar la exposición original de la contraseña que escribo 5000 veces al día.
La contraseña de descifrado del disco debe introducirse realmente sólo una vez. Cuando el sistema se inicia.
¿Cómo puedo evitar un inicio de sesión completo del usuario habilitado para FileVault? ¿Es hay manera de que la contraseña de la cuenta se introduzca una vez y luego nunca se inicie una sesión completa?
Preguntas al margen:
-
¿Cómo se puede acceder a la contraseña del disco (en diskutil) desde cualquier usuario añadido al sistema? Para que el sistema pueda hacer eso, la clave de descifrado original, que está sólo en mi memoria, tiene que ser encriptada con una contraseña de usuario, y luego cuando el usuario proporciona una contraseña es descifrada y utilizada para abrir el disco. Lo que significa que la contraseña está en el disco de una manera u otra una vez que el disco está desbloqueado.
-
Cuando añado un nuevo usuario, esa contraseña original que puede estar en la memoria o en el disco se encripta de nuevo con la contraseña del usuario y luego se desencripta para revelar la contraseña real que se utiliza para desbloquear el disco.
-
¿No sería mejor que Apple sólo permitiera el acceso al DISCO? ¿Por qué introducir esta vulnerabilidad que permite acceder al disco principal con sólo introducir un nuevo usuario en el sistema? Al crear un nuevo usuario, Apple está accediendo a la contraseña de texto claro del disco y la vuelve a encriptar. Eso es un problema, ya que debe ser que Apple es capaz de leer la clave de descifrado mientras el sistema está funcionando, y realmente permite a cualquier persona la capacidad de que gana el acceso a cualquier usuario en el sistema capaz de añadir usuarios para conceder el acceso al disco.
-
¿Apple almacena aquí realmente la contraseña original del disco en texto claro en la memoria/disco o en alguna forma encriptada con la clave de descifrado fácilmente disponible cuando se va a añadir un nuevo usuario?
En fin. La pregunta principal es cómo evitar el inicio de sesión completo.
