Gestire FileVault con Sophos Central

Sophos Central Device Encryption gestisce Apple FileVault e il relativo Recovery Key personale. La cifratura e l’accesso Pre-Boot restano funzioni di macOS. Per una distribuzione riuscita devono quindi funzionare insieme la Policy di Central, il flusso locale dell’utente e un Recovery Key disponibile in Central.

Panoramica rapida

1. Verificare che Sophos supporti la versione di macOS e installare il Device Encryption Agent sul Mac.
2. In My Products > Encryption > Policies, creare una Device Encryption Policy, attivare Device Encryption is on e assegnarla a ogni utente del Mac.
3. Far accedere l’utente localmente. Il Mac deve essere connesso e sincronizzato con Sophos Central; l’accesso remoto non è supportato per attivazione o migrazione.
4. L’utente inserisce la password di accesso macOS nel dialogo Sophos e seleziona Encrypt. Postpone rimanda soltanto la cifratura.
5. In Central e nell’app Sophos Device Encryption, verificare che i volumi richiesti dalla Policy siano cifrati e che i loro Recovery Key siano archiviati centralmente.

Una Policy assegnata non dimostra da sola il successo. La distribuzione è completa solo quando lo stato di cifratura e quello di Recovery sono corretti.

Prerequisiti e pilot

Prima dell’assegnazione chiarire quanto segue:

• Poiché release supportate e date di ritiro cambiano, verificare la versione macOS e i relativi limiti di Lifecycle prima di ogni assegnazione seguendo Pianificare requisiti di sistema e Lifecycle di Sophos Endpoint.
• Sophos Central Agent e Device Encryption Agent sono installati. A differenza di Windows, sui Mac il Device Encryption Agent va installato separatamente.
• Sono noti lo stato FileVault corrente, i Recovery Key personali esistenti e gli eventuali volumi interni aggiuntivi.
• Nessun altro sistema di gestione applica impostazioni FileVault in conflitto. Se SafeGuard Enterprise gestisce ancora FileVault, Sophos richiede di rimuovere il relativo software Device Encryption prima dell’acquisizione; con SafeGuard Enterprise 8 o successivo i dischi possono restare cifrati. I moduli SafeGuard per la cifratura dei file possono continuare a funzionare insieme a Sophos Device Encryption.
• L’Help Desk dispone di un processo approvato per verifica dell’identità, consegna della chiave e documentazione. I Recovery Key non devono finire in ticket, cronologie chat o note ampiamente accessibili; Sophos sconsiglia anche il backup del Recovery Key nel portachiavi iCloud.

Sophos Central Device Encryption non supporta partizioni Windows create su Mac con Boot Camp. Un progetto pilota rappresentativo dovrebbe quindi includere le varianti di Mac e le modalità di registrazione realmente usate, compresi Mac con FileVault già attivo.

Creare e assegnare la Policy

Il percorso Central documentato è My Products > Encryption > Policies:

1. Selezionare Add Policy e creare una Device Encryption Policy.
2. Nella scheda Settings, attivare Device Encryption is on.
3. Decidere se usare Encrypt boot volume only. Se attiva, la Policy ignora i volumi dati; in caso contrario Sophos può gestire anche i volumi dati interni fissi. I supporti rimovibili non sono supportati.
4. Attivare la Policy e assegnarla agli utenti previsti.

La gestione di FileVault è basata sugli utenti. Sophos avverte esplicitamente di assegnare la Policy a tutti gli utenti di uno specifico Mac per garantirne la protezione completa. Quando accede un utente assegnato, il Mac acquisisce automaticamente le modifiche alla Policy; in assenza di modifiche, applica comunque la Policy a ogni accesso.

Se la Policy è disattivata mentre FileVault resta attivo, Central non esegue operazioni di cifratura o decifratura e non conserva alcun Recovery Key. “Policy disattivata, FileVault attivo” non è quindi uno stato gestito centralmente.

Cifrare nuovi Mac

Dopo un accesso locale e la sincronizzazione con Central, l’utente segue il flusso presentato da Sophos:

1. Inserire la password di accesso macOS. Questo attiva Sophos Device Encryption.
2. Selezionare Encrypt per avviare la cifratura del volume di sistema oppure Postpone per rimandarla.
3. Dopo Encrypt, l’Agent archivia il Recovery Key nel portachiavi locale e in Sophos Central.

Durante la distribuzione iniziale, Sophos aggiunge automaticamente a FileVault gli utenti già presenti sull’Endpoint. A meno che Encrypt boot volume only non sia attivato, dopo il volume di sistema cifra anche i volumi dati interni non cifrati e li sblocca automaticamente all’avvio. Le notifiche mostrano l’avanzamento per ciascun volume.

Acquisire un FileVault esistente

Non occorre prima decifrare un Mac già cifrato. Valgono gli stessi prerequisiti: installare l’Agent, assegnare una Device Encryption Policy attiva e far accedere l’utente localmente.

L’utente conferma il dialogo Sophos con la password macOS e Create key. Sophos crea un nuovo Recovery Key e lo archivia centralmente. I volumi interni già cifrati con una propria password del disco richiedono tale password una sola volta; in seguito Central gestisce il volume, che si sblocca automaticamente all’avvio.

La migrazione è conclusa solo dopo la sincronizzazione del Mac e quando Central può effettivamente fornire il Recovery Key. Non eliminare prima un percorso di ripristino esistente.

Aggiungere altri utenti FileVault

Chi deve sbloccare il Mac al Pre-Boot deve essere un utente FileVault. Se i nuovi utenti non vengono aggiunti automaticamente, Sophos documenta questo flusso:

1. Il nuovo utente accede localmente, inserisce la propria password macOS nel dialogo Sophos e seleziona Proceed.
2. Se Central non possiede ancora un Recovery Key, seleziona anche un utente FileVault esistente.
3. L’utente esistente inserisce la propria password macOS e seleziona Proceed.
4. Riavviare e verificare che il nuovo utente possa accedere al Pre-Boot FileVault.

Secondo Sophos, rimuovere un utente dalla Policy di Central non lo rimuove automaticamente da FileVault. Sui Mac condivisi, documentare e controllare separatamente quali account dispongono dell’accesso Pre-Boot.

Come ulteriore controllo locale, eseguire sudo fdesetup list per elencare gli utenti abilitati per FileVault.

Verificare lo stato di cifratura e Recovery

L’app Sophos Device Encryption si trova nella cartella Applicazioni e si apre da Finder, Launchpad o Spotlight. Mostra stato di Policy, utente, volume e Recovery. Le icone dei volumi indicano:

• Verde: completamente cifrato, con Recovery Key archiviato in Central.
• Giallo: completamente cifrato, ma senza Key in Central; un volume cifrato localmente senza gestione Central può non avere alcuna chiave gestita.
• Giallo con punto esclamativo: completamente cifrato e richiesto dalla Policy, ma senza Recovery Key disponibile.
• Rosso: non cifrato benché la Policy richieda la cifratura.
• Grigio: non cifrato e non richiesto dalla Policy, oppure nessuna Policy presente.
• Barra di avanzamento: cifratura o decifratura del volume in corso.

Sophos fornisce anche /usr/local/bin/seadmin. Le invocazioni documentate sono:

/usr/local/bin/seadmin help
/usr/local/bin/seadmin status
/usr/local/bin/seadmin --device-encryption

status mostra l’ultima sincronizzazione e il relativo intervallo. --device-encryption mostra la Policy corrente e lo stato di cifratura e Recovery di tutti i volumi interni. Prima dell’approvazione, stato locale e Central devono coincidere; per un volume richiesto dalla Policy, “cifrato” senza un Recovery Key disponibile non è uno stato finale accettabile.

Consegnare un Recovery Key in modo sicuro

L’Help Desk recupera la chiave da My Products > Encryption > Computers:

1. Selezionare il computer e aprire Retrieve Recovery Key. Se non è disponibile nell’elenco, aprire direttamente Retrieve Recovery Key e inserire almeno cinque caratteri dell’ID del Recovery Key.
2. Verificare che il richiedente sia autorizzato prima di selezionare Show Key.
3. Comunicare la chiave esclusivamente tramite il canale sicuro approvato.
4. Sul Mac, l’utente fa clic sul punto interrogativo nel campo password, usa la freccia per passare al campo Recovery Key e inserisce la chiave.
5. Segue quindi il dialogo macOS per creare una nuova password di accesso. Se appare Create New Keychain, crea un nuovo portachiavi.

L’ID del Recovery Key appare all’avvio solo per breve tempo. Riavviare il Mac per visualizzarlo di nuovo. Per utenti importati da Active Directory, reimpostare prima la password in AD e fornire una password temporanea. Nel dialogo macOS, l’utente seleziona Cancel e poi inserisce tale password.

Per il Self Service, configurare prima l’utente per il Sophos Central Self Service Portal: in My Environment > Users & Groups > Users, selezionare l’utente, scegliere Email Setup Link, selezionare il modello Sophos Central Self Service Welcome/Setup Email e confermare che l’e-mail di invito gli sia pervenuta. In Device Encryption vede solo i computer sui quali è stato l’ultimo utente ad accedere. Se nel frattempo ha effettuato l’accesso un’altra persona, il Self Service Recovery non è disponibile per quel Mac e deve intervenire l’Help Desk.

Se non è possibile usare la normale schermata di avvio, sbloccare il volume APFS come segue:

1. Avviare da un disco macOS esterno, collegare il Mac a un secondo Mac in modalità disco di destinazione oppure avviare macOS Recovery.
2. Eseguire diskutil apfs list in Terminal e individuare l’ID del volume APFS cifrato.
3. Recuperare da Central il Recovery Key del Mac.
4. Sbloccare il volume nel dialogo della password del disco oppure eseguire diskutil apfs unlockVolume <Volume-ID> in Terminal e inserire il Recovery Key.
5. Prima di riparare o riavviare, verificare in Finder che il volume sia montato e che i dati previsti siano leggibili.

Se il Recovery Key non può essere archiviato

Se l’Agent non riesce ad archiviare il Recovery Key nel portachiavi macOS né in Central, Sophos lo mostra all’utente e chiede di salvarne una copia. Sophos crea inoltre un backup di emergenza accessibile solo a root in /Library/Application Support/Sophos Encryption/.RecoverykeyEmergencybackup.

L’Agent riprova ripetutamente il trasferimento a Central. Dopo il successo, l’utente viene informato che Central gestisce ora una nuova chiave e che la copia manuale può essere distrutta. Fino ad allora la chiave mostrata va protetta come un segreto; lo stato giallo di un volume richiesto dalla Policy non deve essere registrato come distribuzione riuscita.

Per altri errori e per distinguere stato locale del sistema operativo, comunicazione dell’Agent e Central, vedere Risolvere sistematicamente gli errori Sophos Device Encryption.

Disattivazione e passaggio del dispositivo

Disattivare o rimuovere la Policy non decifra automaticamente un Mac già cifrato. Un amministratore locale può disattivare FileVault; se resta assegnata una Policy attiva, Sophos richiede di riattivarlo al successivo accesso dopo il completamento della decifratura.

Prima del passaggio del dispositivo, della rimozione dell’Agent o del trasferimento a un altro sistema di gestione, confermare l’ultimo Recovery Key valido, lo stato FileVault desiderato e la responsabilità del nuovo sistema. La sola disinstallazione dell’Agent non costituisce una migrazione della chiave.

Domande frequenti