Een backup versleutelen op een Mac

Kort antwoord: voor een schijf die thuis blijft, vink je Versleutel reservekopie aan in Time Machine. Voor alles wat het huis verlaat of naar opslag van een ander gaat, versleutel je voordat de bytes worden geschreven.

Het verschil is wie je moet vertrouwen: de schijf, of niemand.

Vier verschillende dingen, vaak door elkaar gehaald

FileVault versleutelt de interne schijf van je Mac. Het beschermt de machine, en doet helemaal niets voor de backup die je naar een externe schijf schrijft.
Versleutelde Time Machine versleutelt het backupvolume. Wie de schijf meeneemt, krijgt niets zonder het wachtwoord. Alles met toegang tot de Mac terwijl de schijf geactiveerd is, leest hem gewoon.
Een versleutelde schijfkopie is een bestand dat je ontgrendelt en activeert. De inhoud is beschermd zolang hij vergrendeld is, en leesbaar voor alles op de Mac zolang hij open is.
Versleutelen vóór het schrijven betekent dat de gegevens al versleuteld zijn voordat ze de bestemming bereiken. De bestemming bevat nooit iets leesbaars, dus hoeft helemaal niet te worden vertrouwd.

De eerste drie beschermen tegen het kwijtraken van de schijf. Alleen de vierde beschermt tegen de opslag zelf, en dat is de vraag die ertoe doet zodra de backup in een cloudaccount of op een NAS staat.

Een Time Machine-backup versleutelen

Systeeminstellingen, Algemeen, Time Machine.
Voeg reservekopieschijf toe, of selecteer de bestaande en kies ervoor om die te versleutelen.
Vink Versleutel reservekopie aan en stel een wachtwoord in.

Een bestaande backup versleutelen betekent dat de hele schijf op de achtergrond opnieuw wordt versleuteld, en dat kost uren en soms dagen. Doe het als je de schijf voor het eerst toevoegt, als dat kan.

Het wachtwoord wordt bewaard in de sleutelhanger van je Mac, wat handig is en ook de valkuil: als de Mac kapotgaat, gaat de sleutelhanger mee, en het wachtwoord is de enige toegang tot de backup. Schrijf het ergens anders op.

Een versleutelde schijfkopie, met de hand

hdiutil create -encryption AES-256 -stdinpass -size 200g \
  -volname Backup -fs APFS ~/backup.dmg

Activeer hem, kopieer erin en deactiveer hem. Het is een redelijke container voor een schijf die meereist. Het past slecht bij een cloudmap, omdat de schijfkopie één enorm bestand is en elke wijziging in de inhoud betekent dat je veel meer opnieuw uploadt dan je hebt gewijzigd.

Versleutelen vóór het schrijven

Met de hand is dit een archief via openssl:

tar -cJf - ~/Documents | openssl enc -aes-256-cbc -pbkdf2 -out ~/Dropbox/documents.tar.xz.enc

De bestemming ziet nooit leesbare tekst, en dat is precies goed. Wat je ervoor terugkrijgt is één ondoorzichtige klomp: geen incrementele updates, geen enkel bestand terugzetten zonder alles uit te pakken, en één wachtwoordzin tussen jou en alles.

Dat goed doen, met versleuteling per bestand zodat één document los terug kan komen, is het deel dat lastig zelf te bouwen is. Copy Shelter versleutelt alles op je Mac voordat het ergens wordt weggeschreven, en er is geen instelling om dat uit te zetten. De sleutel wordt op je computer gemaakt en nooit verstuurd, dus de bestemming is gewoon opslag, en geen partij die je hoeft te vertrouwen.

Waar de sleutel hoort

Dit is het deel waardoor mensen echt hun gegevens kwijtraken, vaker dan door welke aanval ook.

Niet op de Mac waarvan je de backup maakt. Een sleutel op de machine die kapot is gegaan, is een afgesloten kist met de sleutel erin.
Buiten een wachtwoordmanager die met die Mac synchroniseert, tenzij je die manager ook ergens anders kunt bereiken zonder de Mac.
Papier is een prima antwoord. Het overleeft brand minder goed dan een cloud, en ransomware perfect.
Test het. Zet één keer iets terug met alleen de sleutel en een andere machine. Ontdekken dat de sleutel niet klopt is een klein probleem of een ramp, helemaal afhankelijk van wanneer je het ontdekt.

Veelgestelde vragen

Dekt FileVault mijn Time Machine-schijf?

Nee. FileVault versleutelt alleen de interne schijf. De backupschijf is een apart volume met een eigen versleutelingsinstelling.

Kan ik een Time Machine-backup achteraf versleutelen?

Ja, en macOS versleutelt de hele schijf opnieuw op de achtergrond. Het werkt, het duurt lang, en de backup is pas volledig beschermd als het klaar is.

Vertraagt versleuteling backups?

Niet merkbaar op een Mac van de afgelopen tien jaar. AES wordt door hardware versneld, en de schijf of het netwerk is al lang de bottleneck voordat de versleuteling dat is.

Wat gebeurt er als ik het wachtwoord kwijtraak?

De backup kan niet worden geopend, niet door jou en niet door wie dan ook. Dat is precies waar je voor betaalde. Daarom hoort de sleutel ergens anders dan op de Mac, opgeschreven.

Is het veilig om een versleutelde backup in de cloud te zetten?

Als het versleuteld was voordat het je Mac verliet, ja: de aanbieder bewaart bytes die hij niet kan lezen. Vertrouw je in plaats daarvan op de versleuteling van de aanbieder zelf, dan vertrouw je de aanbieder, en dat is een andere en veel zwakkere bewering.

Gerelateerd: de cloudopslag gebruiken waar je al voor betaalt.