In breve: per un'unità che resta a casa, spunta Codifica backup in Time Machine. Per tutto ciò che esce dall'edificio o finisce sullo spazio di qualcun altro, cifra prima che i byte vengano scritti.
La differenza è di chi bisogna fidarsi: dell'unità, o di nessuno.
I primi tre proteggono dalla perdita del disco. Solo il quarto protegge dallo spazio di archiviazione stesso, che è la domanda che conta nel momento in cui il backup vive in un account cloud o su un NAS.
Cifrare un backup che esiste già ricodifica l'intero disco in background, il che richiede ore e a volte giorni. Se puoi, fallo quando aggiungi il disco la prima volta.
La password viene salvata nel portachiavi del Mac, il che è comodo ed è anche la trappola: se il Mac muore, il portachiavi muore con lui, e la password è l'unico modo per entrare nel backup. Scrivila da un'altra parte.
hdiutil create -encryption AES-256 -stdinpass -size 200g \
-volname Backup -fs APFS ~/backup.dmgLa monti, ci copi dentro, la smonti. È un contenitore ragionevole per un'unità che viaggia. Va male per una cartella cloud, perché l'immagine è un unico file enorme e qualsiasi modifica al contenuto significa ricaricare molto più di quanto hai cambiato.
A mano, è un archivio passato attraverso openssl:
tar -cJf - ~/Documents | openssl enc -aes-256-cbc -pbkdf2 -out ~/Dropbox/documents.tar.xz.encLa destinazione non vede mai il testo in chiaro, ed è esattamente giusto. In cambio ottieni un unico blocco opaco: niente aggiornamenti incrementali, niente ripristino di un solo file senza spacchettare tutto, e una sola passphrase tra te e tutto quanto.
Farlo bene, con la crittografia file per file così che un singolo documento possa tornare da solo, è la parte difficile da costruire a mano. Copy Shelter crittografa tutto sul tuo Mac prima che venga scritto altrove, e non c'è un'impostazione per disattivarlo. La chiave viene generata sul tuo computer e non viene mai trasmessa, quindi la destinazione è solo spazio di archiviazione, non qualcuno di cui ti devi fidare.
È questa la parte che fa davvero perdere i dati alle persone, più spesso di qualsiasi attacco.
No. FileVault cifra solo il disco interno. L'unità di backup è un volume separato con una propria impostazione di cifratura.
Sì, e macOS ricodifica l'intero disco in background. Funziona, richiede molto tempo, e il backup non è del tutto protetto finché non ha finito.
Non in modo percepibile su nessun Mac degli ultimi dieci anni. AES è accelerato in hardware e il collo di bottiglia è il disco o la rete, ben prima della cifratura.
Il backup non si può aprire, né da te né da nessun altro. È proprio la caratteristica per cui stavi pagando. Per questo la chiave va tenuta da un'altra parte rispetto al Mac, scritta.
Se è stato cifrato prima di lasciare il Mac, sì: il provider conserva byte che non può leggere. Se invece ti affidi alla cifratura del provider, ti stai fidando del provider, che è un'affermazione diversa e molto più debole.
Vedi anche: usare lo spazio cloud che paghi già.