Por que o FileVault não funciona em um volume RAID?


16

No trabalho, eu disse ao meu colega que não era possível ativar o Filevault em um volume RAID. Ele ficou surpreso e me perguntou o motivo técnico.

Então eu gostaria de saber. É estranho, porque o Filevault está no nível do software, enquanto o RAID está no nível do hardware.


Você está falando de um volume RAID criado pelo Disk Utility aqui, eu assumo?
nohillside

@patrix Sim, por exemplo, 2 HDD internos configurados no RAID-1 em um Mac Mini.
Benoit

Respostas:


2

Ambos usam a mesma estrutura de dados para criar um volume dentro de um volume.

Um cria um invólucro e os dados que estão no disco são embaralhados / mapeados através de uma função criptográfica para que os mesmos dados gravados em dois blocos diferentes acabem fisicamente diferentes na unidade. Esse é o FileVault 2.

O outro cria um invólucro e os dados no disco são espelhados em outro lugar ou mapeados através de uma função de soma de verificação dividida ou compartilhada, para que os dados na unidade façam fisicamente parte de uma soma de verificação ou parte de um bloco lógico no sistema de arquivos. Isso é RAID.

As ferramentas de RAID e criptografia da Apple não são as únicas que você pode usar, mas é assim que elas são projetadas atualmente - para serem mutuamente exclusivas. Espero que isso não mude nos sistemas baseados em HFS + desde que a Apple anunciou o novo APFS para Sierra (macOS 10.12), que permitirá criptografia de armazenamento significativamente mais robusta e opções de abrangência de volume físico como COW, instantâneos, por criptografia de arquivo, etc.


Você realmente deve excluir esta resposta, pois ela contém quase nenhum fato e é basicamente sem sentido. Não estou tentando ser rude, e peço desculpas se for tomada como tal, simplesmente não consigo pensar em uma maneira mais diplomática de colocar isso. Desculpe pela dureza.
DanielSmedegaardBuus

Não se preocupe @DanielSmedegaardBuus, já que o armazenamento principal está pronto e esgotado, e há uma boa resposta. Acho que isso pode permanecer enquanto o OP desejar. Não me sinto confortável mudando a resposta depois disso, a menos que cause danos e não vejo uma edição que possa corrigir a diferença de opinião. Acredito que ninguém deveria fazer isso, não naquele momento e certamente não agora. Também estou feliz com a resposta abrangente de Maynard sobre o que é possível, mesmo que seja de uso limitado ou algumas pessoas discordem que vale a pena fazer.
bmike

26

A resposta anterior que dei aqui estava errada (assim como a resposta de bmike).

A resposta anterior que dei foi que, se você tiver esse problema, uma solução alternativa é criar uma imagem de disco criptografada que cubra todo o conjunto AppleRaid. Isso funciona, em teoria, mas é tão terrivelmente lento (como 10 vezes mais lento que o acesso ao disco bruto) que é basicamente inutilizável, o que me levou a examinar o utilitário de linha de comando diskutil em mais detalhes. E o que você sabe - você PODE fazer o que é desejado, apenas leva algum trabalho. Você precisa fazer isso através da linha de comando e, mesmo assim, não pode fazê-lo com os comandos mais simples, mas isso pode ser feito e é 100% legítimo suportado pela Apple, não um truque estranho.

Portanto, vamos supor que você tenha o seu volume Apple Raid, que você criou de alguma forma, através do Disk Utility ou da linha de comando.

Nota: Este processo irá formatar seu RAID e criptografá-lo. Faça backup dos dados que você deseja manter (pelo menos duas vezes) antes de continuar.

A primeira coisa que precisamos é conhecer o identificador do sistema operacional de baixo nível para o volume de interesse do Apple Raid, então digite:

diskutil list

que fornecerá uma lista dos vários discos rígidos, partições e discos rígidos lógicos (por exemplo, volumes Apple RAID) em seu sistema. Veja a lista e descubra, com base no nome, tamanho, qualquer que seja o volume RAID da Apple que desejamos criptografar. Certifique-se de obter o identificador RIGHT, caso contrário você destruirá outro volume. É aconselhável, ao fazer isso, desconectar (manualmente --- puxe os cabos!) Todos os discos rígidos não relevantes para o problema, incluindo, obviamente, as unidades de backup!

Portanto, a lista nos diz que o dispositivo de interesse é, por exemplo, disk7

Em seguida, queremos criar um wrapper Core Storage LVG (Logical Volume Group) em torno do dispositivo. Não vou afirmar que entendo a terminologia do Core Storage e por que eles usam uma palavra diferente para tudo comparado ao Apple RAID, mas, até onde posso dizer, o LVG é essencialmente a versão do Core Storage de um disco rígido lógico. Então digite:

diskutil cs createLVG BackupImacLVG disk7

BackupImacLVG é o nome que estamos dando ao disco rígido lógico que estamos criando. Este comando levará alguns segundos e depois cuspirá uma string longa que é o "nome" (o UUID) do LVG que criamos. Nós o usamos na próxima etapa.

Nós não terminamos. Agora, precisamos criar o equivalente a uma partição (que o Core Storage chama de Volume Lógico) neste disco rígido lógico. Aqui está o próximo comando:

diskutil cs createLV 8C5AED3-0CCF-4155-8E3D-DF7D9E68EE7B JHFS+ BackupImac 100% -stdinpassphrase

No comando acima: 8C5AED3-0CCF-4155-8E3D-DF7D9E68EE7B é o LVG UUID que acabamos de informar (certifique-se de usar o seu próprio) e JHFS + é o sistema de arquivos que queremos criar na partição. BackupImac será o nome do volume criado nesta partição. 100% diz quanto espaço queremos dar a esta partição. (Existem algumas maneiras diferentes de especificar tamanhos, mas a maioria das pessoas provavelmente usará 100%). -stdinpassphrase diz que queremos usar criptografia.

A linha de comando exibirá um prompt de:

Passphrase for new volume:

Você digita a senha e está pronto. (Observe nenhuma das UI úteis do Apple FileVault aqui! Nenhuma oferta para salvar sua senha para você com a Apple, nenhuma segunda solicitação de senha para garantir que você a digitou corretamente!)

O resultado final de tudo isso é exatamente o que você esperaria e esperaria. Um volume criptografado com todo o desempenho do volume AppleRAID anterior. (E se você olhar a página de manual diskutil, verá que eles listam explicitamente os volumes Apple RAID como destinos suportados para diskutil cs createLVG, portanto, este não é um caso estranho que não é oficialmente suportado.)

O Disk Utility.app não atualiza sua interface do usuário (é muito ruim a esse respeito --- tem sido um problema contínuo no OSX), então saia e reinicie-o. Agora você verá, junto com suas fatias RAID, um novo "disco rígido" chamado BackupImacLVG (ou o que você chamou) junto com uma partição chamada BackupImac (ou o que você chamou), com um formato de "Partição lógica criptografada" .

Uma coisa para estar ciente. O disco é montado durante o processo de criação sem solicitar uma senha (você forneceu a senha na linha de comando).

Logo após terminar, desmonte o volume, desligue os discos rígidos do volume AppleRAID, ligue-os novamente e veja o que acontece. Se você tiver feito tudo corretamente, depois que todas as partes do Apple RAID aparecerem e forem detectadas pelo sistema operacional, uma janela deverá aparecer na tela solicitando a senha para que o disco possa ser montado.


Saliente que você identificou um método. Eu estou querendo isso há algum tempo. Não tenho certeza se estou disposta a criar uma imagem do meu conjunto RAID para que eu possa formatá-lo e depois copiá-lo, é um conjunto enorme. Hmmm ..
James T Snell

Ao digitar a senha na linha de comando, não há confirmação. Isso é um pouco preocupante, mas depois você pode acessar a GUI DiskUtility e clicar em "Apagar" na partição para obter o bom prompt de senha dupla com medidor de complexidade. Obrigado por documentar este processo!
dacc 31/01

@ Maynard Handley - isso funcionará para o RAID0 em Yosemite? Valeu.
thepen

Posso confirmar, para todos os interessados, que isso funciona em El Capitan (10.11) e nos volumes Time Machine.
Matt

3
Confirmo o sucesso do macOS 10.12 Sierra (testado em um Mac Pro). Criei um espelho AppleRAID, HFSX com diário criptografado (HFSX é HFS + com distinção entre maiúsculas e minúsculas). O Disk Utility seria interrompido logo após concluir essas etapas, então eu acabei: 1.) reinicializando o Mac, 2.) efetuando login no Finder, 3.) iniciando o Disk Utility com êxito. Também removi um membro (unidade física) do espelho RAID e testei para confirmar que o membro restante (unidade) se comportou conforme o esperado. Foi o que aconteceu: após a reinicialização do Mac e o login, o único membro não pôde ser montado até que eu inserisse a senha correta. Obrigado.
user3051849
Ao utilizar nosso site, você reconhece que leu e compreendeu nossa Política de Cookies e nossa Política de Privacidade.
Licensed under cc by-sa 3.0 with attribution required.