Gestionar FileVault con Sophos Fusion

Sophos Fusion Device Encryption gestiona FileVault de Apple y la Recovery Key personal. El cifrado, la autorización de usuarios en el prearranque y el desbloqueo del volumen de inicio siguen siendo funciones de macOS. Por lo tanto, un Mac solo se implementa por completo cuando la política, el estado de FileVault local, los usuarios autorizados y una Recovery Key realmente disponible coinciden.

Flujo rápido

1. Verifique las versiones compatibles de macOS y Sophos, los volúmenes APFS y el estado de administración y FileVault existente.
2. Asegúrese de que el usuario local activador tenga un Secure Token. En un Mac con chip Apple también debe ser Volume Owner.
3. Instale Sophos Endpoint y Device Encryption Agent.
4. Cree una política de cifrado de dispositivo en My Products > Encryption > Policies, habilite Device Encryption is on y asígnela a todos los usuarios previstos para el Mac.
5. Haga que el usuario inicie sesión localmente. En el cuadro de diálogo de Sophos, Encrypt inicia un nuevo cifrado; si FileVault ya está activo, Create key crea una nueva Recovery Key personal administrada por Sophos.
6. Verifique localmente y en My Products > Encryption > Computers: volúmenes esperados cifrados, cuentas previstas autorizadas antes del inicio, sincronización actual y Recovery Key disponible en Sophos Fusion.

Una política asignada o un “FileVault: activado” mostrado localmente no basta para validar el despliegue. Un volumen cifrado sin un procedimiento de recuperación fiable sigue siendo un caso operativo y de seguridad abierto.

Requisitos previos antes de la primera asignación

Plataforma y agentes compatibles

Las versiones compatibles de macOS y Sophos cambian con el tiempo. Antes de la prueba piloto y el despliegue general, se verifica el estado actual de acuerdo con requisitos del sistema de Sophos Endpoint y planificación del ciclo de vida. En el Mac deben estar instalados Sophos Endpoint y Device Encryption Agent por separado.

Sophos gestiona el volumen de inicio APFS y, si la política lo permite, los volúmenes de datos internos fijos. No se admiten medios extraíbles ni particiones de Windows creadas con Boot Camp. Antes de la asignación, todos los volúmenes internos se inventarian con Disk Utility o diskutil apfs list. Esto deja claro qué volúmenes deben protegerse y si un volumen adicional ya tiene su propia contraseña de disco.

Entender Secure Token y Volume Owner

Un usuario de FileVault necesita el permiso de Apple adecuado, no solo una cuenta local:

• El usuario que activa FileVault o desbloquea un volumen de inicio en el prearranque necesita un Secure Token.
• En los Mac con chip Apple, el usuario también debe ser Volume Owner para desbloquear el disco de inicio y autorizar operaciones de inicio relacionadas con la seguridad.
• Un nombre de administrador o una asignación de política no otorga automáticamente estos permisos de Apple.

Apple explica estas relaciones en Administrar FileVault con administración de dispositivos. Para una verificación preliminar local de solo lectura, se pueden usar los siguientes comandos en la terminal:

sysadminctl -secureTokenStatus <KURZNAME>
diskutil apfs listUsers /

<KURZNAME> se reemplaza con el nombre de la cuenta local. El primer comando debe indicar que el usuario activador tiene un Secure Token habilitado. La lista de usuarios de APFS se compara con los usuarios de FileVault previstos localmente; en los Mac con chip Apple, la autorización del propietario del volumen se confirma adicionalmente a través de la ruta de verificación Apple o MDM aprobada en la organización. Si falta un permiso, debe corregirse antes del despliegue utilizando el proceso de administración existente de Apple, sin activar y desactivar repetidamente la política de Sophos.

Aclarar las responsabilidades de gestión y recuperación

Antes del cambio, se documentan el estado actual de FileVault, las Recovery Keys personales existentes, los usuarios autorizados antes del inicio y la administración existente. No debe permitirse que dos sistemas apliquen al mismo tiempo políticas de FileVault contradictorias. Si se trata de un MDM o un producto de cifrado heredado, el estado objetivo y la responsabilidad sobre la clave deben establecerse antes del cambio.

El proceso común de asistencia técnica para recuperación, emisión y documentación está disponible en Recuperar Recovery Key de forma segura. Sophos no recomienda realizar una copia de seguridad de la Recovery Key de FileVault en iCloud Keychain.

Un grupo piloto representativo incluye al menos variantes de chips Intel y Apple, los métodos de inscripción utilizados, un Mac nuevo, un Mac con FileVault ya activo y, si está disponible, un Mac con volúmenes APFS internos adicionales.

Crear y asignar la política

La ruta central documentada es My Products > Encryption > Policies:

1. Seleccione Add Policy y cree una política de cifrado de dispositivo.
2. En la pestaña Settings, habilite la opción Device Encryption is on.
3. Decida si desea utilizar Encrypt boot volume only. Si la opción está activa, la política ignora los volúmenes de datos internos fijos. De lo contrario, Sophos también puede gestionar estos volúmenes después del volumen de inicio.
4. Habilite la política y asígnela a los usuarios previstos.

La asignación está basada en el usuario. Sophos recomienda asignar la política a todos los usuarios de un Mac específico. Esto evita que un Mac compartido quede fuera del alcance de protección deseado simplemente debido a una asignación incompleta. La autorización previa al arranque real todavía se verifica por separado; la asignación de políticas y el estado de usuario de FileVault no son lo mismo.

Si la política se desactiva o elimina, Sophos no realiza nuevas acciones de cifrado o descifrado. Un FileVault ya activado permanece activo. Una Recovery Key transferida anteriormente a Sophos Fusion puede seguir disponible; sin embargo, esto no demuestra que la custodia de claves siga funcionando ni que se registren cambios posteriores. Por lo tanto, «política desactivada, FileVault activado» no constituye un estado objetivo gestionado de forma centralizada y debidamente verificado.

Cifrar un Mac nuevo

Después del inicio de sesión local y la sincronización exitosa, Sophos muestra el cuadro de diálogo de activación:

1. El usuario introduce su contraseña de inicio de sesión de macOS. Esto autoriza a Sophos Device Encryption en el contexto de su cuenta local.
2. Con Encrypt inicia el cifrado. Postpone solo aplaza el inicio; el Mac aún no puede darse por validado.
3. El agente almacena la Recovery Key personal en el llavero local y la transfiere a Sophos Fusion.

Durante el despliegue inicial, Sophos agrega a FileVault los usuarios del endpoint que ya estaban autorizados. Si Encrypt boot volume only no está habilitado, al volumen de inicio le siguen los volúmenes de datos internos fijos sin cifrar. Los mensajes de estado muestran el progreso por volumen.

El usuario debe iniciar sesión localmente en el Mac para la activación y la migración. Simplemente iniciar sesión de forma remota no es suficiente. Si no se muestra ningún cuadro de diálogo, primero se verifican la sesión local, la asignación de políticas, la última sincronización, Secure Token y, en los Mac con chip Apple, el estado del propietario del volumen.

Adoptar una instalación existente de FileVault o SafeGuard

FileVault ya activo

No es necesario descifrar primero un Mac ya cifrado para que Sophos se haga cargo:

1. Documente el estado inicial, la ruta de recuperación existente y los usuarios de prearranque.
2. Instale Device Encryption Agent y asigne la política activa.
3. Haga que un usuario autorizado inicie sesión localmente.
4. En el cuadro de diálogo de Sophos, introduzca la contraseña de inicio de sesión de macOS y seleccione Create key.
5. Espere a que Sophos genere una nueva Recovery Key personal y la transfiera a Fusion.
6. Solo después de que el estado local y la comprobación en Central sean correctos, desactive la ruta de recuperación anterior de acuerdo con su propio proceso de almacenamiento.

Un volumen de datos interno ya cifrado con su propia contraseña requiere que esta se introduzca una vez. Después, Sophos puede administrar el volumen y desbloquearlo automáticamente al inicio. Si se desconoce la contraseña, se detiene la adopción de este volumen; poder iniciar sesión en el volumen de inicio no demuestra que el volumen de datos también pueda recuperarse.

Estado inicial de SafeGuard

En un Mac con SafeGuard, primero se registran claramente el producto, la versión, los módulos instalados, el estado de FileVault y la ruta de recuperación existente. La guía de migración de Sophos requiere eliminar el software de cifrado del dispositivo SafeGuard antes de su adopción; para SafeGuard Enterprise 8 o posterior, describe una adopción en la que FileVault puede permanecer cifrado.

Sin embargo, las notas de versiones antiguas de SafeGuard no son prueba de soporte actual para un módulo de SafeGuard que siga en uso o recién instalado. Si se desconoce la versión, los módulos están combinados o hay un plan para continuar usando un módulo de cifrado de archivos SafeGuard, se detendrá la migración y la combinación específica se aclarará con una declaración de soporte actual de Sophos. Se mantiene el principio de seguridad: nunca permita que dos sistemas de administración controlen FileVault o su Recovery Key al mismo tiempo, y solo abandone el método de recuperación anterior una vez que se haya confirmado la nueva clave.

Autorizar usuarios adicionales de FileVault

Todo usuario que deba desbloquear el Mac durante el prearranque debe estar autorizado como usuario de FileVault. Si los nuevos usuarios no se agregan automáticamente, Sophos describe el siguiente proceso:

1. El nuevo usuario inicia sesión localmente, introduce su contraseña de inicio de sesión de macOS en el cuadro de diálogo de Sophos y selecciona Proceed.
2. Si aún no se guarda ninguna Recovery Key en Fusion, también selecciona un usuario de FileVault ya autorizado.
3. Este usuario existente introduce su propia contraseña de inicio de sesión de macOS y selecciona Proceed.
4. Después de reiniciar, se verifica si el nuevo usuario puede iniciar sesión en FileVault durante el prearranque.

Las credenciales de otro administrador no pueden suplir la falta de un Secure Token ni, en los Mac con chip Apple, del estado de Volume Owner. En este caso, primero se corrige el permiso de Apple y luego se repite el proceso de Sophos.

Según Sophos, eliminar a un usuario de la política central no lo elimina automáticamente de FileVault. Por lo tanto, en Mac compartidos, la asignación de políticas, las cuentas locales y los permisos reales previos al arranque se mantienen por separado. Este comando muestra los usuarios de FileVault habilitados localmente:

sudo fdesetup list

Validar el estado y la preparación para la recuperación

Leer el estado de Central correctamente

En My Products > Encryption > Computers, se verifica el Mac con su último estado de comunicación y cifrado. Estos estados son particularmente relevantes para macOS:

• Encrypted: El cifrado está completo. La disponibilidad para la recuperación debe comprobarse por separado.
• Pending: La política está asignada, pero el cifrado o la acción del usuario aún no se ha completado.
• Plain: Al menos un volumen esperado no está cifrado o el cifrado aún no ha comenzado.
• Unmanaged: El agente existe, pero no hay ninguna política de cifrado de dispositivo vigente.
• Not supported: La plataforma o el modo operativo no son compatibles.
• Not available: Fusion no conoce el estado, por ejemplo, porque falta el componente o no hay ningún mensaje utilizable todavía.

Suspended es una condición de BitLocker y no un valor de validación o diagnóstico de FileVault. En cambio, en un Mac, la política, la autorización del usuario, el estado del volumen, la sincronización y la Recovery Key se evalúan juntas.

Para comprobar el despliegue y la operación, los cambios de estado y los eventos clave también se evalúan en Reports > General Logs > Events para el Mac afectado y el período de tiempo. Eventos como Device Encryption status changed, Received recovery keys, Key creation failed o Recovery key missing muestran el historial, pero no reemplazan la verificación actual en el dispositivo y en Encryption > Computers. El filtrado, la exportación y la conservación del informe se explican en Evaluar eventos e informes de endpoints de Sophos.

Verificar localmente

La aplicación Sophos Device Encryption se encuentra en la carpeta Applications y muestra la política, el usuario, el volumen y el estado de recuperación. Los símbolos de volumen significan:

• Verde: volumen completamente cifrado y Recovery Key almacenada en Fusion.
• Amarillo: completamente cifrado pero sin clave almacenada en Fusion; es posible que aún no exista una clave administrada para un volumen cifrado localmente fuera de Fusion.
• Amarillo con signo de exclamación: volumen completamente cifrado requerido por la política sin una Recovery Key disponible.
• Rojo: no cifrado, aunque la política requiere cifrado.
• Gris: no cifrado y no requerido por la política o no existe ninguna política.
• Barra de progreso: El volumen se está cifrando o descifrando actualmente.

Además, Sophos proporciona la herramienta /usr/local/bin/seadmin:

/usr/local/bin/seadmin help
/usr/local/bin/seadmin status
/usr/local/bin/seadmin --device-encryption

status muestra la última sincronización y el intervalo de sincronización. --device-encryption muestra la política actual, así como el estado de cifrado y recuperación de los volúmenes internos. Deben aportarse cuatro pruebas conjuntamente para validar el funcionamiento:

1. Los volúmenes previstos están completamente cifrados y son localmente verdes.
2. fdesetup status informa que FileVault está activo; sudo fdesetup list contiene los usuarios previstos antes del inicio.
3. El Mac se está sincronizando actualmente con Fusion e informa Encrypted.
4. El procedimiento de recuperación autorizado puede entregar la Recovery Key para el Mac correcto o la Recovery-Key-ID que se muestra allí; la validación local de FileVault permanece separada.

Recuperar el acceso a un Mac

Recuperar Recovery Key de forma segura proporciona la clave que ya se ha asignado correctamente. Este artículo comienza con su uso en FileVault.

Restablecer contraseña en la pantalla de inicio normal

1. Haga clic en el signo de interrogación del campo de contraseña y use la flecha para pasar al campo de Recovery Key.
2. Introduzca la Recovery Key proporcionada para este Mac.
3. Siga el cuadro de diálogo de macOS para crear una nueva contraseña de inicio de sesión.
4. Si se ofrece Create New Keychain, cree un nuevo clavero. Una Recovery Key de FileVault no desbloquea automáticamente el clavero antiguo.
5. Después de iniciar sesión, verifique nuevamente los usuarios de FileVault, la sincronización de Sophos y el estado de recuperación.

El Recovery-Key-ID solo se muestra brevemente al iniciar. Se debe reiniciar el Mac para que se muestre nuevamente. Para los usuarios importados desde Active Directory, la contraseña primero se restablece en AD y se asigna una contraseña temporal. En el cuadro de diálogo de macOS, el usuario selecciona Cancel y luego ingresa esta contraseña temporal.

Desbloquear el volumen APFS fuera del arranque normal

Este procedimiento alternativo se aplica a un volumen APFS cifrado cuando la pantalla de inicio normal no se puede utilizar. No reemplaza ni la verificación de identidad ni la asignación clara de la Recovery Key. Dependiendo del modelo de Mac y la versión de macOS, están disponibles macOS Recovery, un volumen de inicio externo compatible o el modo de conexión o de compartir disco que Apple ofrece con otro Mac.

1. Abra Utilities > Terminal en el entorno de recuperación seleccionado.

2. Muestre la estructura APFS como de solo lectura:

   diskutil apfs list
   

3. Identifique claramente el volumen de destino cifrado mediante el nombre, el rol y la APFS-Volume-ID. Cancele el proceso si la asignación no está clara; no deben confundirse los volúmenes de sistema, datos, prearranque y recuperación.

4. Desbloquee interactivamente el volumen de destino:

   diskutil apfs unlockVolume <VOLUME-ID>
   

   <VOLUME-ID> se reemplaza por el identificador obtenido. Introduzca la Recovery Key únicamente cuando se le solicite la contraseña interactiva; nunca lo escriba como argumento de comando o en un script.

5. Utilice diskutil apfs list y el Finder para comprobar si está montado el volumen correcto y si los datos esperados son legibles.

El desbloqueo exitoso solo prueba que esta clave coincide con este volumen APFS. No repara el agente de Sophos ni la transferencia de claves y no autoriza más cambios en el volumen. A continuación se realiza una copia de seguridad de los datos o se soluciona el fallo real de forma controlada.

Si la Recovery Key no se guarda

Si el agente no puede guardar la nueva Recovery Key ni en el Keychain de macOS ni en Sophos Fusion, Sophos se la muestra al usuario y le solicita que guarde una copia. Además, Sophos crea una copia de seguridad de emergencia a la que solo puede acceder root:

/Library/Application Support/Sophos Encryption/.RecoverykeyEmergencybackup

El agente vuelve a intentar la transferencia. Cuando la transferencia finaliza correctamente, informa al usuario de que Fusion administra una nueva clave y de que la copia manual puede destruirse. Hasta entonces, la clave se mantendrá en secreto y un estado amarillo no se considerará un despliegue correcto.

Si el estado permanece amarillo después del inicio de sesión local, la conexión de red y la resincronización, o si la aplicación, seadmin y Fusion se contradicen, se registran la fecha y hora, las versiones de macOS y del agente, la política, el Volume-ID afectado y los indicadores de estado sin Recovery Key. En Solucionar sistemáticamente errores de cifrado de dispositivos de Sophos se tratan otros diagnósticos y el proceso de escalado.

Estado objetivo controlado y retirada

Para macOS, no existe una secuencia general comprobada de Sophos del tipo “eliminar política, eliminar usuario, descifrar automáticamente”. Del mismo modo, desinstalar Endpoint Agent no transfiere una clave de FileVault a una nueva administración. Por lo tanto, se establece un estado objetivo controlado antes de la entrega, el cambio de tenant o la desinstalación del agente:

1. Determine si FileVault debe permanecer activo o ser deshabilitado deliberadamente por un administrador local autorizado.
2. Documente el último estado local con fdesetup status, los usuarios previos al arranque con sudo fdesetup list y los volúmenes internos afectados.
3. Si FileVault permanece activo, proporcione pruebas de la responsabilidad sobre la recuperación y un procedimiento de recuperación aprobado y adecuado para el dispositivo al futuro propietario. Una entrada antigua de Fusion por sí sola no es una transferencia.
4. Si desea desactivar FileVault localmente, primero asegúrese de que la política de cifrado del dispositivo para Mac ya no esté vigente. Eliminar o deshabilitar la política no descifra FileVault; impide que Sophos solicite la activación nuevamente. Luego asegure el procedimiento de recuperación y la ventana de mantenimiento, ejecute el descifrado en macOS y verifique que se haya completado localmente.
5. Solo cuando el estado de destino, la evidencia local y la responsabilidad de recuperación sean correctos, lleve a cabo la eliminación del agente local de acuerdo con Desinstalar Sophos Endpoint en macOS.
6. La limpieza del objeto del dispositivo en Fusion sigue siendo un paso administrativo independiente y no constituye descifrado ni transferencia de clave.

Al cambiar a otro sistema de gestión, sus funciones de FileVault y escrow se prueban primero en un grupo piloto. La antigua opción de recuperación permanece hasta que el nuevo sistema haya adoptado de manera verificable el estado objetivo previsto y una ruta de recuperación probada.

Delimitar las desviaciones habituales

No hay cuadro de diálogo de Sophos después de iniciar sesión

Primero verifique el inicio de sesión local en lugar del remoto, el Device Encryption Agent instalado, la asignación de usuarios y políticas y la última sincronización. A continuación, compruebe Secure Token y, para Mac con chip Apple, Volume Owner. Sin estos requisitos, los cambios repetidos de políticas no son una prueba útil.

El usuario puede iniciar macOS pero no puede iniciar sesión en FileVault antes del inicio

La cuenta local no convierte automáticamente a la persona en usuario de FileVault. Compare sudo fdesetup list con la lista de usuarios esperados, compruebe los permisos de Apple y siga el procedimiento documentado para agregar un usuario. Después, haga una prueba reiniciando el Mac; cerrar y volver a iniciar sesión en la sesión actual no es suficiente.

Fusion muestra Encrypted, localmente un volumen es amarillo

Encrypted por sí solo no demuestra un estado de recuperación total. Determine el volumen específico y el estado de su clave en la aplicación Sophos Device Encryption y con seadmin --device-encryption. Hasta que se pruebe una Recovery Key adecuada, el Mac no se dará por validado.

FileVault está activo, Fusion muestra Pending o Not available

Verifique la última sincronización, el componente, la acción del usuario local y la política. Si FileVault ya está activo, compruebe si el usuario ha completado Create key. Si los estados local y central siguen siendo contradictorios después de volver a sincronizar, no inicie la rotación de claves ni haga pruebas con las políticas; recopile las evidencias y entréguelas para el diagnóstico.

Preguntas frecuentes