Come funziona la crittografia APFS?

Di recente ho aggiornato il mio MBP 2013 a High Sierra. Ciò ha cambiato il mio file system non crittografato in APFS crittografato.

Apple fornisce informazioni su come funziona la crittografia APFS? La password dell'account protegge la chiave privata? Allora come può esserci un utente guest? Quando la password del mio account era debole, cambiarla migliora la sicurezza della crittografia?

Qual è il metodo e la forza della crittografia?

Sono abituato a Windows BitLocker, in cui la partizione crittografata è bloccata o sbloccata e la password dell'account Windows è diversa dal passwort BitLocker che protegge la chiave privata. Il metodo e il livello di crittografia possono essere impostati tramite criteri di gruppo di Windows.

La crittografia APFS viene eseguita con l'algoritmo di crittografia AES in modalità XTS con una lunghezza chiave di 128 bit. Questo è lo stesso algoritmo, modalità e lunghezza chiave utilizzati anche dalle versioni precedenti di macOS (ovvero con file system HFS +).

Come dici di Windows BitLocker, questo è in realtà lo stesso metodo e la stessa forza che Windows ha recentemente iniziato a utilizzare nelle nuove versioni di Windows 10.

Per quanto riguarda le altre domande sugli utenti ospiti e le password degli account, ciò non ha nulla a che fare con la crittografia APFS. Questo è invece gestito da un livello sopra chiamato File Vault 2.

File Vault 2 con APFS è davvero lo stesso di HFS + con l'unica differenza che APFS ha il supporto di crittografia incorporato (ovvero AES-XTS-128 per crittografare i dati) in cui HFS + ha bisogno della crittografia aggiunta come layer sopra i file system (ad es. tramite Core Storage). In pratica non c'è alcuna differenza reale per la maggior parte degli utenti finali.

In ogni caso, tutta la gestione delle chiavi che fa funzionare la crittografia del disco completo affinché l'utente finale gestisca cose come l'avvio da un'unità crittografata, account utente, guest, chiavi di ripristino, ecc. Sono tutte gestite da File Vault 2, che è separato dal file system stesso.