Cara mengenkripsi cadangan di Mac

Jawaban singkat: untuk drive yang tetap di rumah, centang Enkripsi Cadangan di Time Machine. Untuk apa pun yang keluar dari rumah atau masuk ke penyimpanan milik orang lain, enkripsi sebelum byte ditulis.

Perbedaannya adalah siapa yang harus dipercaya: drive, atau tidak seorang pun.

Empat hal berbeda, sering tertukar

FileVault mengenkripsi disk internal Mac Anda. FileVault melindungi mesin, dan sama sekali tidak melindungi cadangan yang Anda tulis ke drive eksternal.
Time Machine terenkripsi mengenkripsi volume cadangan. Orang yang mengambil drive tidak mendapat apa pun tanpa kata sandi. Apa pun yang punya akses ke Mac saat drive terpasang dapat membacanya seperti biasa.
Image disk terenkripsi adalah file yang Anda buka kuncinya lalu pasang. Isinya terlindungi saat terkunci, dan dapat dibaca oleh apa pun di Mac saat terbuka.
Mengenkripsi sebelum menulis berarti data sudah menjadi ciphertext sebelum mencapai tujuan. Tujuan tidak pernah menyimpan apa pun yang dapat dibaca, sehingga tidak perlu dipercaya sama sekali.

Tiga yang pertama melindungi dari kehilangan disk. Hanya yang keempat yang melindungi dari penyimpanan itu sendiri, dan itulah pertanyaan yang relevan begitu cadangan berada di akun cloud atau NAS.

Mengenkripsi cadangan Time Machine

Pengaturan Sistem, Umum, Time Machine.
Tambahkan Disk Cadangan, atau pilih yang sudah ada dan pilih untuk mengenkripsinya.
Centang Enkripsi Cadangan dan tetapkan kata sandi.

Mengenkripsi cadangan yang sudah ada akan mengenkripsi ulang seluruh disk di latar belakang, yang memakan waktu berjam-jam dan terkadang berhari-hari. Lakukan saat pertama kali menambahkan disk jika memungkinkan.

Kata sandi disimpan di keychain Mac Anda, dan itu praktis sekaligus jebakan: jika Mac mati, keychain ikut mati, dan kata sandi adalah satu-satunya jalan masuk ke cadangan. Catat di tempat lain.

Image disk terenkripsi, secara manual

hdiutil create -encryption AES-256 -stdinpass -size 200g \
  -volname Backup -fs APFS ~/backup.dmg

Pasang, salin ke dalamnya, lepas. Ini wadah yang masuk akal untuk drive yang dibawa bepergian. Kurang cocok untuk folder cloud, karena image adalah satu file yang sangat besar dan setiap perubahan isinya berarti mengunggah ulang jauh lebih banyak daripada yang Anda ubah.

Mengenkripsi sebelum menulis

Secara manual, ini adalah arsip melalui openssl:

tar -cJf - ~/Documents | openssl enc -aes-256-cbc -pbkdf2 -out ~/Dropbox/documents.tar.xz.enc

Tujuan tidak pernah melihat plaintext, dan itu memang benar. Gantinya, Anda mendapat satu blob buram: tanpa pembaruan inkremental, tanpa memulihkan satu file tanpa membongkar semuanya, dan satu passphrase yang memisahkan Anda dari semuanya.

Melakukannya dengan benar, dengan enkripsi per file agar satu dokumen bisa dipulihkan sendiri, adalah bagian yang sulit dibuat sendiri. Copy Shelter mengenkripsi semuanya di Mac Anda sebelum ditulis ke mana pun, dan tidak ada pengaturan untuk mematikannya. Kuncinya dibuat di komputer Anda dan tidak pernah dikirim, jadi tujuan backup hanyalah tempat penyimpanan, bukan pihak yang harus Anda percayai.

Tempat kunci disimpan

Inilah bagian yang sebenarnya paling sering membuat orang kehilangan data, lebih sering daripada serangan apa pun.

Di luar Mac yang dicadangkan. Kunci yang disimpan di mesin yang mati sama seperti kotak terkunci dengan kunci di dalamnya.
Di luar pengelola kata sandi yang tersinkron ke Mac itu, kecuali Anda juga dapat menjangkau pengelola tersebut dari tempat lain tanpa Mac itu.
Kertas adalah jawaban yang sah. Kertas kurang tahan kebakaran dibanding cloud, tetapi sepenuhnya kebal terhadap ransomware.
Uji. Sekali saja, pulihkan sesuatu hanya dengan kunci dan mesin lain. Mengetahui kuncinya salah bisa menjadi masalah kecil atau bencana, sepenuhnya tergantung kapan Anda mengetahuinya.

Pertanyaan umum

Apakah FileVault mencakup drive Time Machine saya?

Tidak. FileVault hanya mengenkripsi disk internal. Drive cadangan adalah volume terpisah dengan setelan enkripsinya sendiri.

Bisakah saya mengenkripsi cadangan Time Machine setelah dibuat?

Ya, dan macOS mengenkripsi ulang seluruh disk di latar belakang. Itu berhasil, butuh waktu lama, dan cadangan belum sepenuhnya terlindungi sampai selesai.

Apakah enkripsi memperlambat pencadangan?

Tidak terasa di Mac mana pun yang dibuat dalam satu dekade terakhir. AES dipercepat oleh perangkat keras, dan disk atau jaringan menjadi hambatan jauh sebelum enkripsinya.

Apa yang terjadi jika saya kehilangan kata sandi?

Cadangan tidak dapat dibuka, oleh Anda atau siapa pun. Itulah sifat yang Anda bayar. Itulah sebabnya kunci harus disimpan di tempat selain Mac, dalam bentuk tertulis.

Apakah aman menyimpan cadangan terenkripsi di cloud?

Jika dienkripsi sebelum meninggalkan Mac Anda, ya: penyedia menyimpan byte yang tidak dapat dibacanya. Jika Anda mengandalkan enkripsi milik penyedia, Anda memercayai penyedia, dan itu pernyataan yang berbeda dan jauh lebih lemah.

Terkait: menggunakan penyimpanan cloud yang sudah Anda bayar.