Jak zaszyfrować kopię zapasową na Macu

W skrócie: dla dysku, który zostaje w domu, zaznacz Szyfruj kopię zapasową w Time Machine. Dla wszystkiego, co opuszcza budynek lub trafia do cudzego miejsca, szyfruj, zanim bajty zostaną zapisane.

Różnica polega na tym, komu trzeba ufać: dyskowi albo nikomu.

Cztery różne rzeczy, często mylone

FileVault szyfruje wewnętrzny dysk Maca. Chroni komputer, ale nic nie robi dla kopii, którą zapisujesz na dysk zewnętrzny.
Zaszyfrowany Time Machine szyfruje wolumin kopii. Ktoś, kto zabierze dysk, bez hasła nic nie dostanie. Wszystko, co ma dostęp do Maca, gdy dysk jest zamontowany, czyta go normalnie.
Zaszyfrowany obraz dysku to plik, który odblokowujesz i montujesz. Zawartość jest chroniona, gdy jest zablokowany, i czytelna dla wszystkiego na Macu, gdy jest otwarty.
Szyfrowanie przed zapisem oznacza, że dane są już zaszyfrowane, zanim trafią do miejsca docelowego. Miejsce docelowe nigdy nie ma nic czytelnego, więc w ogóle nie trzeba mu ufać.

Pierwsze trzy chronią przed utratą dysku. Tylko czwarte chroni przed samym miejscem przechowywania, a to kluczowe pytanie, gdy kopia trafia na konto w chmurze lub NAS.

Szyfrowanie kopii Time Machine

Ustawienia systemowe, Ogólne, Time Machine.
Dodaj dysk kopii zapasowych albo wybierz istniejący i zdecyduj się go zaszyfrować.
Zaznacz Szyfruj kopię zapasową i ustaw hasło.

Zaszyfrowanie istniejącej kopii szyfruje cały dysk ponownie w tle, co trwa godziny, a czasem dni. Jeśli możesz, zrób to od razu przy dodawaniu dysku.

Hasło jest zapisane w pęku kluczy Twojego Maca, co jest wygodne, ale to też pułapka: jeśli Mac padnie, pęk kluczy padnie razem z nim, a hasło to jedyna droga do kopii. Zapisz je gdzie indziej.

Zaszyfrowany obraz dysku, ręcznie

hdiutil create -encryption AES-256 -stdinpass -size 200g \
  -volname Backup -fs APFS ~/backup.dmg

Zamontuj go, skopiuj do niego, odmontuj. To rozsądny pojemnik na dysk, który podróżuje. Słabo pasuje do folderu w chmurze, bo obraz to jeden ogromny plik i każda zmiana w środku oznacza ponowne wysłanie znacznie więcej, niż zmieniłeś.

Szyfrowanie przed zapisem

Ręcznie to archiwum przez openssl:

tar -cJf - ~/Documents | openssl enc -aes-256-cbc -pbkdf2 -out ~/Dropbox/documents.tar.xz.enc

Miejsce docelowe nigdy nie widzi jawnych danych, i dokładnie o to chodzi. W zamian dostajesz jeden nieprzejrzysty blok: bez przyrostowych aktualizacji, bez przywracania jednego pliku bez rozpakowania wszystkiego i z jednym hasłem między Tobą a całością.

Zrobienie tego porządnie, z szyfrowaniem każdego pliku osobno, żeby pojedynczy dokument dało się odzyskać samodzielnie, to część trudna do napisania samemu. Copy Shelter szyfruje wszystko na Twoim Macu, zanim cokolwiek zostanie gdziekolwiek zapisane, i nie ma ustawienia, które by to wyłączało. Klucz powstaje na Twoim komputerze i nigdy nie jest przesyłany, więc miejsce docelowe to tylko magazyn, a nie strona, której musisz ufać.

Gdzie jest klucz

To właśnie przez to ludzie tracą dane, częściej niż przez jakikolwiek atak.

Poza Makiem, którego kopię robisz. Klucz trzymany na komputerze, który padł, to zamknięta skrzynka z kluczem w środku.
Poza menedżerem haseł, który synchronizuje się z tym Makiem, chyba że możesz się do niego dostać skądinąd bez tego Maca.
Papier to dobra odpowiedź. Gorzej niż chmura znosi pożar, ale ransomware znosi doskonale.
Przetestuj to. Choć raz przywróć coś, używając tylko klucza i innego komputera. To, że klucz jest zły, to drobny kłopot albo katastrofa, zależnie wyłącznie od tego, kiedy to odkryjesz.

Częste pytania

Czy FileVault obejmuje mój dysk Time Machine?

Nie. FileVault szyfruje tylko dysk wewnętrzny. Dysk kopii to osobny wolumin z własnym ustawieniem szyfrowania.

Czy mogę zaszyfrować kopię Time Machine później?

Tak, a macOS szyfruje cały dysk ponownie w tle. To działa, trwa długo, a kopia nie jest w pełni chroniona, dopóki się nie skończy.

Czy szyfrowanie spowalnia kopie?

Nie w zauważalny sposób na żadnym Macu z ostatniej dekady. AES jest przyspieszany sprzętowo, a wąskim gardłem jest dysk lub sieć na długo przed szyfrem.

Co się stanie, jeśli zgubię hasło?

Kopii nie da się otworzyć, ani Tobie, ani nikomu. Za to właśnie płaciłeś. Dlatego klucz powinien być zapisany gdzieś poza Makiem.

Czy bezpiecznie jest trzymać zaszyfrowaną kopię w chmurze?

Jeśli była zaszyfrowana, zanim opuściła Twojego Maca, tak: dostawca trzyma bajty, których nie może odczytać. Jeśli zamiast tego polegasz na szyfrowaniu dostawcy, ufasz dostawcy, a to inne i znacznie słabsze stwierdzenie.

Zobacz też: korzystanie z miejsca w chmurze, za które już płacisz.