Saya ingin mengatur server Mac Mini dengan drive eksternal yang dienkripsi. Di Finder, saya dapat menggunakan opsi enkripsi disk penuh. Namun, untuk banyak pengguna, ini bisa menjadi rumit.
Yang ingin saya lakukan adalah mengenkripsi volume eksternal, kemudian mengatur semuanya sehingga ketika mesin melakukan boot, disk tidak terkunci sehingga semua pengguna dapat mengaksesnya. Tentu saja izin perlu dipertahankan, tetapi itu tidak perlu dikatakan.
Apa yang saya pikirkan lakukan adalah menyiapkan skrip launchd tingkat root yang berjalan sekali saat boot dan membuka kunci disk. Kunci enkripsi mungkin akan disimpan di gantungan kunci root.
Jadi, inilah daftar kekhawatiran saya:
- Jika saya menyimpan kunci enkripsi di gantungan kunci sistem, maka file di
/private/var/db/SystemKeydalamnya dapat digunakan untuk membuka kunci rantai kunci jika penyerang mendapatkan akses fisik ke server. ini buruk. - Jika saya menyimpan kunci enkripsi di gantungan kunci pengguna saya, saya harus menjalankan perintah secara manual dengan kata sandi saya. Ini tidak diinginkan. Jika saya menjalankan skrip launchd dengan kredensial pengguna saya, skrip tersebut akan berjalan di bawah akun pengguna saya tetapi tidak akan memiliki akses ke rantai kunci, mengalahkan tujuannya.
- Jika root memiliki gantungan kunci (bukan?) Lalu bagaimana cara mendekripsi? Apakah akan tetap terkunci sampai kata sandi dimasukkan (seperti gantungan kunci pengguna) atau akankah ia memiliki masalah yang sama dengan gantungan kunci sistem, dengan kunci yang disimpan di drive dan dapat diakses dengan akses fisik?
Dengan asumsi semua pekerjaan di atas, saya telah menemukan diskutil coreStorage unlockVolumeyang tampaknya menjadi perintah yang sesuai, tetapi detail tempat untuk menyimpan kunci enkripsi adalah masalah terbesar. Jika gantungan kunci sistem tidak cukup aman, dan gantungan kunci pengguna memerlukan kata sandi, apa pilihan terbaik?