Så krypterar du en säkerhetskopia på en Mac

Kort svar: för en enhet som stannar hemma, markera Kryptera säkerhetskopia i Time Machine. För allt som lämnar huset eller hamnar i någon annans lagring, kryptera innan byten skrivs.

Skillnaden är vem som måste litas på: enheten eller ingen.

Fyra olika saker, som ofta blandas ihop

FileVault krypterar Macens interna disk. Det skyddar datorn och gör ingenting alls för säkerhetskopian du skriver till en extern enhet.
Krypterad Time Machine krypterar säkerhetskopievolymen. Den som tar enheten får ingenting utan lösenordet. Allt med åtkomst till Macen medan enheten är monterad läser den som vanligt.
En krypterad skivavbild är en fil som du låser upp och monterar. Innehållet är skyddat medan den är låst och läsbart för allt på Macen medan den är öppen.
Kryptering före skrivningen betyder att data redan är chiffertext innan den når målet. Målet har aldrig något läsbart, så det behöver inte vara betrott alls.

De tre första skyddar mot att disken försvinner. Bara den fjärde skyddar mot själva lagringen, och det är den relevanta frågan så fort säkerhetskopian finns i ett molnkonto eller på en NAS.

Kryptera en Time Machine-säkerhetskopia

Systeminställningar, Allmänt, Time Machine.
Lägg till säkerhetskopieringsskiva, eller välj den befintliga och välj att kryptera den.
Markera Kryptera säkerhetskopia och ange ett lösenord.

Att kryptera en säkerhetskopia som redan finns krypterar om hela disken i bakgrunden, vilket tar timmar och ibland dagar. Gör det när du först lägger till disken om du kan.

Lösenordet sparas i Macens nyckelring, vilket är bekvämt och också fällan: om Macen dör, dör nyckelringen med den, och lösenordet är enda vägen in i säkerhetskopian. Skriv ner det någon annanstans.

En krypterad skivavbild, för hand

hdiutil create -encryption AES-256 -stdinpass -size 200g \
  -volname Backup -fs APFS ~/backup.dmg

Montera den, kopiera in, mata ut den. Det är en rimlig behållare för en enhet som följer med på resor. Den passar dåligt för en molnmapp, eftersom avbilden är en enda enorm fil och varje ändring av innehållet betyder att mycket mer laddas upp igen än det du ändrade.

Kryptering före skrivningen

För hand är det här ett arkiv genom openssl:

tar -cJf - ~/Documents | openssl enc -aes-256-cbc -pbkdf2 -out ~/Dropbox/documents.tar.xz.enc

Målet ser aldrig klartext, vilket är helt rätt. Det du får i utbyte är en enda ogenomskinlig klump: inga stegvisa uppdateringar, ingen återställning av en fil utan att packa upp allt, och en lösenfras mellan dig och alltihop.

Att göra det ordentligt, med kryptering per fil så att ett enskilt dokument kan återställas för sig, är den del som är svår att bygga själv. Copy Shelter krypterar allt på din Mac innan det skrivs någonstans, och det finns ingen inställning för att stänga av det. Nyckeln skapas på din dator och skickas aldrig, så målet är bara lagring och inte en part du måste lita på.

Var nyckeln finns

Det är den här delen som faktiskt får folk att förlora sina data, oftare än någon attack.

Utanför den Mac som säkerhetskopieras. En nyckel som sparas på datorn som gick sönder är en låst låda med nyckeln inuti.
Utanför en lösenordshanterare som synkar till den Macen, om du inte också kan nå den hanteraren från någon annanstans utan Macen.
Papper är ett fullgott svar. Det klarar brand sämre än ett moln, och det klarar ransomware perfekt.
Testa det. Återställ något en gång med bara nyckeln och en annan dator. Att upptäcka att nyckeln är fel är ett vardagsproblem eller en katastrof, helt beroende på när du upptäcker det.

Vanliga frågor

Täcker FileVault min Time Machine-enhet?

Nej. FileVault krypterar bara den interna disken. Säkerhetskopieringsenheten är en separat volym med en egen krypteringsinställning.

Kan jag kryptera en Time Machine-säkerhetskopia i efterhand?

Ja, och macOS krypterar om hela disken i bakgrunden. Det fungerar, det tar lång tid, och säkerhetskopian är inte helt skyddad förrän det är klart.

Gör kryptering säkerhetskopieringen långsammare?

Inte märkbart på någon Mac från det senaste decenniet. AES accelereras i hårdvaran, och disken eller nätverket blir flaskhalsen långt innan chiffret gör det.

Vad händer om jag tappar bort lösenordet?

Säkerhetskopian kan inte öppnas, av dig eller av någon annan. Det är den egenskap du betalade för. Det är därför nyckeln hör hemma någon annanstans än på Macen, nedskriven.

Är det säkert att lägga en krypterad säkerhetskopia i molnet?

Om den krypterades innan den lämnade din Mac, ja: leverantören har byte som den inte kan läsa. Om du i stället förlitar dig på leverantörens egen kryptering litar du på leverantören, och det är ett annat och mycket svagare påstående.

Relaterat: använda molnlagringen du redan betalar för.