FileVault 2 – Une version totalement revue et corrigée

FileVault 2 – Une version totalement revue et corrigée

FileVault est une fonctionnalité de chiffrement (ou “cryptage”) de données qui a été introduite avec Mac OS X 10.3. Jusqu’à la version 10.6 incluse (Snow Leopard), FileVault ne cryptait que les dossiers utilisateurs, pas la totalité du disque. Cela laissait non seulement certaines données sensibles non chiffrées, mais permettait également un accès au système, qui pouvait être exploité.

De plus, il présentait des problèmes de performances et de fiabilité (risque de pertes de données), de fonctionnement avec Time Machine, en plus de nécessiter un espace disque supérieur à celui de l’espace occupé du dossier utilisateur ! Toutes ces raisons nous amenaient à plutôt déconseiller l’utilisation de FileVault “version 1″…

A partir de Mac OS X 10.7 (Lion), FileVault utilise une technologie totalement différente nommée FDE (Full Disk Encryption), utilisant le mode de chiffrement XTS-AES 128 bits. Bien qu’Apple ait conservé le nom de FileVault dans Mac OS X, on parle généralement de “FileVault 2” pour bien marquer cette différence importante.

Même si “Full Disk Encryption” signifie “Chiffrement Total de Disque”, il faut garder à l’esprit que cela ne désigne pas votre disque physique, mais votre disque (ou partition) de démarrage : si vous avez partitionné votre disque, seule la partition de démarrage sera chiffrée.

Lorsque vous activez FileVault 2, ce qui se fait en un clic, votre disque de démarrage est converti en un volume crypté. Il ne devient alors lisible que par les utilisateurs que vous avez autorisés à démarrer le système : la clé de chiffrement qui a été créée est associée à ces comptes utilisateurs seulement. Lorsque l’un d’eux démarre le système, cette clé est utilisée pour “déverrouiller” le disque. Quand le système est éteint, les données de votre disque sont “illisibles” ou plutôt elle n’ont aucune signification exploitable.

L’article de la base de connaissances d’Apple concernant FileVault 2 est suffisamment clair et détaillé pour que nous ne reprenions pas les explications qui y sont données. Nous traiterons seulement de quelques points qui nous semblent mériter un complément d’informations.

Tout le monde devrait-il activer FileVault 2 ?

FileVault 2 est destiné à protéger vos données sensibles, notamment en cas de perte ou de vol de votre Mac. Il intéressera donc particulièrement les utilisateurs stockant des informations strictement confidentielles, juridiques, médicales, ou plus généralement professionnelles.

Les utilisateurs de Macs portables sont bien sûr les plus concernés, les vols se comptant par milliers et ne cessant d’augmenter. Mais des utilisateurs de postes fixes peuvent bien sûr être concernés également, d’une part parce qu’ils ne sont pas à l’abri d’un cambriolage, d’autre part parce qu’un accès aux données par démontage du disque est toujours possible (en votre absence, sur votre lieu de travail, par exemple…).

Quels sont les inconvénients ou risques potentiels de FileVault 2 ?

Comme nous l’avons vu en introduction, ceux de la première version de FileVault sont nombreux. Ils ont, nous semble-t-il, pratiquement tous disparu avec FileVault 2, y-compris l’impact sur les performances, qui est négligeable, voire totalement imperceptible.

Cela dit, il est important de garder à l’esprit que :

  • En cas de perte de votre clé, vos données seront inaccessibles. Notez qu’il vous est possible de la stocker sur un serveur d’Apple, en plus de la copie que vous aurez gardée en lieu sûr (pas sur votre Mac…)
  • Il existe toujours un risque de corruption, non plus de l’image, comme c’était le cas avec la FieVault “1”, mais du volume crypté. De plus, tous les logiciels de réparation ou de récupération de données ne fonctionnent pas sur des volumes chiffrés. La seule “parade” à ce type de problèmes est bien sûr la sauvegarde régulière de vos données (si possible en temps réel). Nous vous recommandons également de réaliser un clone de votre système à l’aide de SuperDuper ou de Carbon Copy Cloner, avant d’activer FileVault, au cas où quelque chose se passerait mal durant le chiffrement.
  • FileVault 2 est bien sûr incompatible avec l’ouverture de session automatique, puisque c’est la saisie d’un mot de passe utilisateur qui rend le volume lisible.

Notez que depuis Mac OS X 10.7.2, la fonctionnalité “Localiser mon Mac” (en cas de vol) n’est plus incompatible avec FileVault 2 et que la simple mise sous tension de votre Mac suffit à le localiser (curieusement, l’utilisation du compte invité n’est pas indispensable).

Configuration disque nécessaire pour utiliser FileVault 2

FileVault 2 nécessite que la partition de récupération de Lion soit présente. Ce sera le cas si Lion était pré-installé sur votre Mac ou si vous l’avez installé sur un disque avec un partitionnement “standard”. Certains schémas de partitionnement ne permettent pas l’installation de la partition de récupération de Lion.

Pour rappel, la partition de récupération Lion n’est pas visible dans l’Utilitaire de disque. Vous y accédez en maintenant les touches Cmd et R enfoncées immédiatement au démarrage.

Si cette partition est absente, vous n’aurez malheureusement pas d’autre option que de ré-installer Lion, après avoir formaté votre disque en utilisant le schéma de partitionnement GUID. Le plus rapide est alors cloner votre système (et de tester le clone), de faire (si possible) une installation minimale de Lion sur votre disque fraichement formaté, et de restaurer le clone.

IMPORTANT  : dans l’immense majorité des cas, Mac OS X vous signale si l’activation de FileVault 2 n’est pas possible, du fait de l’absence de la partition de récupération. Mais certaines configurations (RAID, …) peuvent rendre l’activation possible sans que ce message apparaisse, mais aboutir à un système non-démarrable… Vérifiez donc bien la présence de la partition de récupération, comme indiqué ci-dessus et, encore une fois, clonez, sauvegardez absolument tout avant l’activation.