Comment chiffrer une sauvegarde sur Mac

En bref : pour un disque qui reste à la maison, cochez Chiffrer la sauvegarde dans Time Machine. Pour tout ce qui quitte le bâtiment ou va sur le stockage de quelqu'un d'autre, chiffrez avant que les octets ne soient écrits.

La différence tient à qui doit être digne de confiance : le disque, ou personne.

Quatre choses différentes, souvent confondues

FileVault chiffre le disque interne de votre Mac. Il protège la machine, et ne fait absolument rien pour la sauvegarde que vous écrivez sur un disque externe.
Time Machine chiffré chiffre le volume de sauvegarde. Quelqu'un qui emporte le disque n'obtient rien sans le mot de passe. Tout ce qui a accès au Mac pendant que le disque est monté le lit normalement.
Une image disque chiffrée est un fichier que vous déverrouillez et montez. Son contenu est protégé tant qu'elle est verrouillée, et lisible par tout le Mac tant qu'elle est ouverte.
Chiffrer avant l'écriture signifie que les données sont déjà chiffrées avant d'atteindre la destination. La destination ne détient jamais rien de lisible, elle n'a donc pas du tout besoin d'être digne de confiance.

Les trois premiers protègent contre la perte du disque. Seul le quatrième protège contre le stockage lui-même, ce qui devient la vraie question dès que la sauvegarde se trouve dans un compte cloud ou sur un NAS.

Chiffrer une sauvegarde Time Machine

Réglages Système, Général, Time Machine.
Ajouter un disque de sauvegarde, ou sélectionnez le disque existant et choisissez de le chiffrer.
Cochez Chiffrer la sauvegarde et définissez un mot de passe.

Chiffrer une sauvegarde existante rechiffre tout le disque en arrière-plan, ce qui prend des heures et parfois des jours. Faites-le si possible dès l'ajout du disque.

Le mot de passe est enregistré dans le trousseau de votre Mac, ce qui est pratique et c'est aussi le piège : si le Mac meurt, le trousseau meurt avec lui, et le mot de passe est le seul accès à la sauvegarde. Notez-le ailleurs.

Une image disque chiffrée, à la main

hdiutil create -encryption AES-256 -stdinpass -size 200g \
  -volname Backup -fs APFS ~/backup.dmg

Montez-la, copiez-y vos fichiers, démontez-la. C'est un conteneur raisonnable pour un disque qui voyage. Elle convient mal à un dossier cloud, parce que l'image est un seul fichier énorme et que chaque modification de son contenu oblige à renvoyer bien plus que ce que vous avez changé.

Chiffrer avant l'écriture

À la main, c'est une archive passée par openssl :

tar -cJf - ~/Documents | openssl enc -aes-256-cbc -pbkdf2 -out ~/Dropbox/documents.tar.xz.enc

La destination ne voit jamais de données en clair, ce qui est exactement ce qu'il faut. En échange, vous obtenez un seul bloc opaque : pas de mises à jour incrémentielles, impossible de restaurer un fichier sans tout décompresser, et une seule phrase secrète entre vous et l'ensemble.

Faire cela correctement, avec un chiffrement fichier par fichier pour qu'un document puisse revenir seul, est la partie difficile à bricoler soi-même. Copy Shelter chiffre tout sur votre Mac avant que quoi que ce soit soit écrit ailleurs, et aucun réglage ne permet de le désactiver. La clé est générée sur votre machine et n'est jamais transmise : la destination n'est qu'un espace de stockage, pas un tiers auquel vous devez faire confiance.

Où se trouve la clé

C'est la partie qui fait réellement perdre des données, plus souvent que n'importe quelle attaque.

Ailleurs que sur le Mac sauvegardé. Une clé rangée sur la machine qui a lâché, c'est un coffre fermé avec la clé à l'intérieur.
Hors d'un gestionnaire de mots de passe synchronisé avec ce Mac, sauf si vous pouvez aussi accéder à ce gestionnaire depuis ailleurs, sans le Mac.
Le papier est une réponse légitime. Il résiste moins bien au feu qu'un cloud, et parfaitement aux ransomwares.
Testez-la. Une fois, restaurez quelque chose en utilisant uniquement la clé et une autre machine. Découvrir que la clé est fausse, c'est un petit souci un mardi ou une catastrophe, selon le moment où vous le découvrez.

Questions fréquentes

FileVault couvre-t-il mon disque Time Machine ?

Non. FileVault chiffre uniquement le disque interne. Le disque de sauvegarde est un volume séparé avec son propre réglage de chiffrement.

Puis-je chiffrer une sauvegarde Time Machine après coup ?

Oui, et macOS rechiffre tout le disque en arrière-plan. Ça marche, c'est long, et la sauvegarde n'est entièrement protégée qu'une fois l'opération terminée.

Le chiffrement ralentit-il les sauvegardes ?

Pas de façon perceptible sur un Mac de la dernière décennie. AES est accéléré par le matériel, et le disque ou le réseau limite bien avant le chiffrement.

Que se passe-t-il si je perds le mot de passe ?

La sauvegarde ne peut pas être ouverte, ni par vous ni par personne. C'est exactement ce pour quoi vous payiez. C'est pour ça que la clé doit être ailleurs que sur le Mac, notée par écrit.

Est-il sûr de mettre une sauvegarde chiffrée dans le cloud ?

S'il a été chiffré avant de quitter votre Mac, oui : le fournisseur détient des octets qu'il ne peut pas lire. Si vous comptez plutôt sur le chiffrement du fournisseur, vous faites confiance au fournisseur, ce qui est une affirmation différente et bien plus faible.