FileVaultの概要

概要

FileVault暗号化は、AppleのFIPS検証済み暗号化モジュールによって提供されます。AES-XTSデータ暗号化アルゴリズムを使用して、内部およびリムーバブルストレージデバイスのボリューム全体を保護することで、米国連邦政府の高保証基準への準拠を保証します。

Appleシリコンを搭載したMac上のFileVaultは、データ保護クラスCとボリュームキーを使用して実装されています。Appleシリコン搭載のMacコンピュータとApple T2セキュリティチップ搭載のMacコンピュータでは、Secure Enclaveに直接接続されている暗号化された内蔵ストレージデバイスは、そのハードウェアセキュリティ機能とAESエンジンのセキュリティ機能を利用します。

ユーザがMacでFileVaultを有効にすると、ブートプロセス中に資格情報が要求されます。Appleシリコンを搭載したmacOS 26以降のMacでは、リモートログインがオンかつネットワークに接続できる場合、再起動後にssh経由でFileVaultのロックを解除できます。

ネットワーク要件

SSHを使用したFileVaultのロック解除や、プラットフォームシングルサインオンでFileVaultPolicyを使用している特定の設定では、FileVaultのネットワーク接続が必要です。

AppleシリコンとmacOS 26以降を搭載したMacでは、FileVaultのネットワーク要件に以下のいずれかが含まれます:

Wi‑Fi: 以前に接続した公開ネットワーク（セキュリティなし）またはWPA2-PSK（パーソナル/事前共有キー）を使用するネットワーク。
Ethernet: 公開接続、または認証されていない接続。

FileVaultがオンになっている内蔵ストレージ

macOS 11以降を搭載したMacでは、システムボリュームはSSV（署名済みシステムボリューム）機能によって保護されますが、データボリュームは暗号化によって保護されたままになります。AppleシリコンまたはT2チップを搭載したMacコンピュータの場合、内部ボリュームの暗号化は、キーの階層を構築および管理することで実装されます。暗号化は、特定のチップに内蔵されたハードウェア暗号化テクノロジー上にも構築されます。このキーの階層構造は、同時に4つの目標を達成するよう設計されています:

復号化にユーザのパスワードを要求します
Macから取り外されたストレージメディアに対する直接の総当たり（ブルートフォース）攻撃からシステムを保護します
必要な暗号素材を削除することで内容をワイプする迅速かつ安全な方法を提供します
ボリューム全体の再暗号化を必要とせずに、ユーザが自分のパスワード（ひいては自分のファイルを保護するために使用される暗号化キー）を変更できるようにします

Appleシリコンを搭載したMacとT2チップ搭載のMacでは、すべてのFileVaultキー処理がSecure Enclave内で実行されます。暗号化鍵がCPUに直接公開されることはありません。すべてのAPFSボリュームは、デフォルトでボリューム暗号化鍵を使用して作成されます。ボリュームおよびメタデータの内容は、このボリューム暗号化鍵で暗号化され、ボリュームキーは鍵暗号化鍵でラップされます。FileVaultがオンの間は、KEKはユーザのパスワードとハードウェアUIDの組み合わせによって保護されます。

有効なログイン資格情報または暗号復旧キーが入力されないと、内蔵APFSボリュームが暗号化されたままになり、不正なアクセスから保護されます。これは物理ストレージデバイスを取り外して別のコンピュータに接続しても変わりません。macOS 10.15以降を搭載したMacでは、これにはシステムボリュームとデータボリュームの両方が含まれます。

FileVaultがオフになっている内蔵ストレージ

Appleシリコンを搭載したMacまたはT2チップ搭載のMacで最初の設定アシスタント処理中にFileVaultがオンになっていない場合でもボリュームは暗号化されますが、ボリューム暗号化鍵はSecure Enclave内のハードウェアUIDのみで保護されます。

FileVaultをあとからオンにする場合（これはデータがすでに暗号化されているためただちに実行される処理です）、アンチリプレイメカニズムによって、ボリュームを復号化するときに（ハードウェアUIDのみに基づいて）古い鍵の使用が防止されます。その後、前述の通り、ボリュームがユーザパスワードとハードウェアUIDの組み合わせによって保護されます。

FileVaultボリュームを削除する

ボリュームが削除されると、ボリューム暗号化鍵がSecure Enclave内で安全に削除されます。これにより、Secure Enclaveでさえこのキーを使用して今後アクセスできないようにします。また、すべてのボリューム暗号化鍵がメディアキーによってラップされます。メディアキーは、データの機密性を高めるものではありませんが、データを迅速かつ安全に削除できるよう設計されています。これは、メディアキーがないと復号化が不可能なためです。

Appleシリコンを搭載したMacとT2チップを搭載したMacでは、Secure Enclaveに対応しているテクノロジー（リモートデバイス管理のコマンドなど）によってメディアキーが消去されることがオペレーティングシステムで保証されています。この方法でメディアキーを消去すると、ボリュームが暗号化によってアクセス不能になります。

リムーバブルストレージデバイス

外部ストレージデバイスの暗号化では、Secure Enclaveのセキュリティ機能を利用せず、T2チップを搭載しないIntelプロセッサ搭載Macコンピュータと同じ方法で暗号化が実行されます。

役に立ちましたか？

Appleプラットフォーム導入