Zarządzanie FileVaultem za pomocą Sophos Fusion

Sophos Fusion Device Encryption zarządza Apple FileVault i osobistym Recovery Key. Szyfrowanie, uprawnienia użytkowników w Pre-Boot i odblokowywanie woluminu startowego pozostają funkcjami macOS. Wdrożenie Maca jest więc zakończone dopiero wtedy, gdy polityka, lokalny stan FileVaulta, uprawnieni użytkownicy i rzeczywiście dostępny Recovery Key są ze sobą zgodne.

Szybka procedura

1. Sprawdź obsługiwaną wersję macOS i Sophos, woluminy APFS oraz istniejący stan FileVaulta i zarządzania.
2. Upewnij się, że aktywujący użytkownik lokalny ma Secure Token. Na Macu z układem Apple musi dodatkowo być Volume Owner.
3. Zainstaluj Sophos Endpoint i Device Encryption Agent.
4. W My Products > Encryption > Policies utwórz politykę Device Encryption, włącz Device Encryption is on i przypisz ją wszystkim przewidzianym użytkownikom Maca.
5. Poproś użytkownika o lokalne zalogowanie. W oknie Sophos przycisk Encrypt rozpoczyna nowe szyfrowanie; gdy FileVault jest już aktywny, przycisk Create key tworzy nowy osobisty Recovery Key zarządzany przez Sophos.
6. Sprawdź lokalnie i w My Products > Encryption > Computers: oczekiwane woluminy są zaszyfrowane, przewidziane konta mają uprawnienia Pre-Boot, synchronizacja jest aktualna, a Recovery Key jest dostępny w Sophos Fusion.

Przypisana polityka ani lokalny komunikat „FileVault: On” nie wystarczają do odbioru. Zaszyfrowany wolumin bez niezawodnej drogi odzyskiwania pozostaje otwartym ryzykiem bezpieczeństwa i działania.

Wymagania przed pierwszym przypisaniem

Obsługiwana platforma i agenty

Obsługiwane wersje macOS i Sophos zmieniają się. Dlatego przed pilotażem i szerokim wdrożeniem należy sprawdzić aktualny stan zgodnie z artykułem Planowanie wymagań systemowych i cyklu życia Sophos Endpoint. Na Macu muszą być zainstalowane Sophos Endpoint i oddzielny Device Encryption Agent.

Sophos zarządza startowym woluminem APFS oraz — jeśli przewiduje to polityka — stałymi wewnętrznymi woluminami danych. Nośniki wymienne i partycje Windows utworzone za pomocą Boot Camp nie są obsługiwane. Przed przypisaniem należy więc zinwentaryzować wszystkie wewnętrzne woluminy za pomocą Disk Utility lub diskutil apfs list. Pozwala to ustalić, które woluminy mają być chronione i czy dodatkowy wolumin ma już własne hasło dysku.

Secure Token i Volume Owner

Użytkownik FileVaulta potrzebuje właściwego uprawnienia Apple, a nie tylko konta lokalnego:

• użytkownik, który aktywuje FileVault lub odblokowuje wolumin startowy w Pre-Boot, potrzebuje Secure Token;
• na Macach z układem Apple użytkownik musi dodatkowo być Volume Owner, aby odblokować wolumin startowy i autoryzować operacje startowe istotne dla bezpieczeństwa;
• nazwa administratora ani przypisanie polityki nie nadają automatycznie tych uprawnień Apple.

Zależności opisuje Apple w Manage FileVault with device management. Do lokalnej kontroli tylko do odczytu można użyć w Terminalu następujących poleceń:

sysadminctl -secureTokenStatus <KURZNAME>
diskutil apfs listUsers /

<KURZNAME> należy zastąpić lokalną nazwą konta. Pierwsze polecenie musi zgłosić aktywny Secure Token dla użytkownika aktywującego. Listę użytkowników APFS porównuje się z lokalnie przewidzianymi użytkownikami FileVaulta; na Macach z układem Apple uprawnienie Volume Owner trzeba dodatkowo potwierdzić za pomocą zatwierdzonej w organizacji procedury Apple lub MDM. Brakujące uprawnienie poprawia się przed wdrożeniem w istniejącym procesie administracyjnym Apple, a nie przez wielokrotne wyłączanie i włączanie polityki Sophos.

Ustalenie odpowiedzialności za zarządzanie i odzyskiwanie

Przed zmianą należy udokumentować bieżący stan FileVaulta, istniejące osobiste Recovery Keys, uprawnionych użytkowników Pre-Boot i dotychczasowy system zarządzania. Dwa systemy nie mogą równocześnie wymuszać sprzecznych ustawień FileVaulta. Jeśli uczestniczy w tym MDM lub starszy produkt szyfrujący, stan docelowy i odpowiedzialność za klucz muszą być ustalone przed zmianą.

Wspólny proces Helpdesku dotyczący pobierania, wydawania i dokumentowania opisuje artykuł Bezpieczne pobieranie klucza odzyskiwania. Sophos nie zaleca zapisywania Recovery Key FileVaulta w pęku kluczy iCloud.

Reprezentatywna grupa pilotażowa obejmuje co najmniej rzeczywiście używane warianty z procesorami Intel i układami Apple, używane sposoby rejestracji, nowego Maca, Maca z już aktywnym FileVaultem oraz — jeśli występuje — Maca z dodatkowymi wewnętrznymi woluminami APFS.

Tworzenie i przypisywanie polityki

Udokumentowana ścieżka w Central to My Products > Encryption > Policies:

1. Wybierz Add Policy i utwórz politykę Device Encryption.
2. Na karcie Settings włącz Device Encryption is on.
3. Zdecyduj, czy używać Encrypt boot volume only. Gdy opcja jest aktywna, polityka ignoruje stałe wewnętrzne woluminy danych. W przeciwnym razie Sophos może zarządzać nimi po woluminie startowym.
4. Włącz politykę i przypisz ją przewidzianym użytkownikom.

Przypisanie opiera się na użytkownikach. Sophos zaleca przypisanie polityki wszystkim użytkownikom danego Maca. Zapobiega to pozostawieniu współdzielonego Maca poza oczekiwanym zakresem ochrony tylko z powodu niepełnego przypisania. Rzeczywiste uprawnienie Pre-Boot nadal sprawdza się oddzielnie; przypisanie polityki i status użytkownika FileVaulta nie są tym samym.

Wyłączenie lub usunięcie polityki nie uruchamia nowej operacji szyfrowania ani odszyfrowywania. Już aktywny FileVault pozostaje aktywny. Recovery Key wcześniej pomyślnie przesłany do Sophos Fusion może nadal być dostępny; nie wolno jednak wnioskować z tego o bieżącej zdolności escrow ani przejęciu późniejszych zmian klucza. „Polityka wyłączona, FileVault aktywny” nie jest więc należycie potwierdzonym, centralnie zarządzanym stanem docelowym.

Szyfrowanie nowego Maca

Po lokalnym zalogowaniu i pomyślnej synchronizacji Sophos wyświetla okno aktywacji:

1. Użytkownik wprowadza hasło logowania macOS. W ten sposób autoryzuje Sophos Device Encryption w kontekście swojego konta lokalnego.
2. Przycisk Encrypt rozpoczyna szyfrowanie. Postpone jedynie odkłada rozpoczęcie; Mac nie przechodzi wtedy jeszcze odbioru.
3. Agent zapisuje osobisty Recovery Key w lokalnym pęku kluczy i przesyła go do Sophos Fusion.

Podczas pierwszego wdrożenia Sophos dodaje do FileVaulta już istniejących uprawnionych użytkowników Endpointu. Jeśli Encrypt boot volume only nie jest aktywne, po woluminie startowym przetwarzane są niezaszyfrowane stałe wewnętrzne woluminy danych. Komunikaty o stanie pokazują postęp dla każdego woluminu.

Użytkownik musi być lokalnie zalogowany na Macu podczas aktywacji i migracji. Samo logowanie zdalne nie wystarcza. Jeśli dialog się nie pojawia, najpierw sprawdza się lokalną sesję, przypisanie polityki, ostatnią synchronizację, Secure Token, a na Macach z układem Apple także status Volume Owner.

Przejęcie istniejącego FileVaulta lub SafeGuard

Już aktywny FileVault

Maca z już aktywnym szyfrowaniem nie trzeba najpierw odszyfrowywać przed przejęciem przez Sophos:

1. Udokumentuj stan początkowy, istniejącą drogę odzyskiwania i użytkowników Pre-Boot.
2. Zainstaluj Device Encryption Agent i przypisz aktywną politykę.
3. Poproś uprawnionego użytkownika o lokalne zalogowanie.
4. W oknie Sophos wprowadź hasło logowania macOS i wybierz Create key.
5. Poczekaj, aż Sophos utworzy nowy osobisty Recovery Key i prześle go do Fusion.
6. Dopiero gdy stan lokalny i dowód w Central są zgodne, wycofaj dotychczasową drogę odzyskiwania zgodnie z własnym procesem przechowywania.

Już zaszyfrowany wewnętrzny wolumin danych z własnym hasłem dysku wymaga jednokrotnego podania tego hasła. Następnie Sophos może nim zarządzać i automatycznie odblokowywać go przy uruchomieniu. Jeśli hasło jest nieznane, przejęcie tego woluminu należy zatrzymać; działające logowanie do woluminu startowego nie dowodzi możliwości odzyskania woluminu danych.

Stan początkowy SafeGuard

Na Macu z SafeGuard należy najpierw jednoznacznie ustalić produkt, wersję, zainstalowane moduły, stan FileVaulta i istniejącą drogę odzyskiwania. Instrukcja migracji Sophos wymaga usunięcia oprogramowania SafeGuard Device Encryption przed przejęciem; dla SafeGuard Enterprise 8 lub nowszego opisuje przejęcie, podczas którego FileVault może pozostać zaszyfrowany.

Historyczne release notes SafeGuard nie stanowią jednak dowodu aktualnego wsparcia dla nadal używanego lub ponownie instalowanego modułu. W przypadku nieznanej wersji, mieszanych modułów lub planu dalszego używania modułu szyfrowania plików SafeGuard należy zatrzymać migrację i wyjaśnić konkretną kombinację na podstawie aktualnego stanowiska Sophos Support. Bezpieczna zasada pozostaje niezmienna: nigdy nie wolno pozwalać dwóm systemom zarządzania na równoczesne sterowanie FileVaultem lub jego Recovery Key ani porzucać starej drogi odzyskiwania przed potwierdzeniem nowego klucza.

Autoryzowanie kolejnych użytkowników FileVaulta

Każda osoba, która ma odblokowywać Maca w Pre-Boot, musi być autoryzowana jako użytkownik FileVaulta. Jeśli nowi użytkownicy nie są dodawani automatycznie, Sophos opisuje następujący przebieg:

1. Nowy użytkownik loguje się lokalnie, wprowadza hasło logowania macOS w oknie Sophos i wybiera Proceed.
2. Jeśli w Fusion nie zapisano jeszcze Recovery Key, wybiera dodatkowo już autoryzowanego użytkownika FileVaulta.
3. Ten istniejący użytkownik wprowadza własne hasło logowania macOS i wybiera Proceed.
4. Po restarcie sprawdź, czy nowy użytkownik może zalogować się w FileVault Pre-Boot.

Brakującego Secure Token lub — na Macach z układem Apple — statusu Volume Owner nie można zastąpić danymi logowania dowolnego administratora. W takim przypadku najpierw poprawia się uprawnienie Apple, a następnie powtarza procedurę Sophos.

Według Sophos usunięcie użytkownika z polityki Central nie usuwa go automatycznie z FileVaulta. Na współdzielonych Macach przypisanie polityki, konta lokalne i rzeczywiste uprawnienia Pre-Boot należy więc utrzymywać oddzielnie. Lokalnie aktywowanych użytkowników FileVaulta pokazuje polecenie:

sudo fdesetup list

Odbiór stanu szyfrowania i gotowości do odzyskiwania

Prawidłowe odczytywanie stanu Central

W My Products > Encryption > Computers sprawdza się ostatnią komunikację Maca i stan szyfrowania. Dla macOS szczególnie istotne są następujące stany:

• Encrypted: szyfrowanie jest zakończone. Dowód odzyskiwania nadal sprawdza się oddzielnie.
• Pending: polityka jest przypisana, ale szyfrowanie lub działanie użytkownika nie zostało jeszcze zakończone.
• Plain: co najmniej jeden oczekiwany wolumin jest niezaszyfrowany albo szyfrowanie jeszcze się nie rozpoczęło.
• Unmanaged: agent jest obecny, ale nie działa żadna polityka Device Encryption.
• Not supported: platforma lub tryb pracy nie jest obsługiwany.
• Not available: Fusion nie zna stanu, na przykład dlatego, że brakuje komponentu lub nie otrzymano jeszcze użytecznego komunikatu.

Suspended jest stanem BitLockera, a nie wartością odbioru lub diagnostyki FileVaulta. W przypadku Maca należy łącznie oceniać politykę, autoryzację użytkowników, stan woluminów, synchronizację i Recovery Key.

Do udokumentowania wdrożenia i działania należy dodatkowo analizować zmiany stanu i zdarzenia kluczy w Reports > General Logs > Events dla danego Maca i okresu. Zdarzenia takie jak Device Encryption status changed, Received recovery keys, Key creation failed czy Recovery key missing pokazują przebieg, ale nie zastępują bieżącej kontroli na urządzeniu i w Encryption > Computers. Filtrowanie, eksport i przechowywanie raportu opisuje artykuł Analizowanie zdarzeń i raportów Sophos Endpoint.

Kontrola lokalna

Aplikacja Sophos Device Encryption znajduje się w folderze Aplikacje i pokazuje stan polityki, użytkowników, woluminów i odzyskiwania. Ikony woluminów oznaczają:

• Zielona: wolumin jest całkowicie zaszyfrowany, a Recovery Key zapisany w Fusion.
• Żółta: wolumin jest całkowicie zaszyfrowany, ale w Fusion nie zapisano klucza; wolumin zaszyfrowany lokalnie i bez Fusion może jeszcze nie mieć zarządzanego klucza.
• Żółta z wykrzyknikiem: wymagany przez politykę, całkowicie zaszyfrowany wolumin bez dostępnego Recovery Key.
• Czerwona: wolumin nie jest zaszyfrowany, mimo że wymaga tego polityka.
• Szara: wolumin nie jest zaszyfrowany i polityka tego nie wymaga albo polityki nie ma.
• Pasek postępu: trwa szyfrowanie lub odszyfrowywanie woluminu.

Sophos udostępnia ponadto narzędzie /usr/local/bin/seadmin:

/usr/local/bin/seadmin help
/usr/local/bin/seadmin status
/usr/local/bin/seadmin --device-encryption

status pokazuje ostatnią synchronizację i interwał synchronizacji. --device-encryption pokazuje bieżącą politykę oraz stan szyfrowania i odzyskiwania wewnętrznych woluminów. Do dopuszczenia operacyjnego wymagane są łącznie cztery dowody:

1. Przewidziane woluminy są całkowicie zaszyfrowane i lokalnie oznaczone na zielono.
2. fdesetup status zgłasza aktywny FileVault, a sudo fdesetup list zawiera przewidzianych użytkowników Pre-Boot.
3. Mac niedawno zsynchronizował się z Fusion i zgłasza stan Encrypted.
4. Zatwierdzona droga pobierania pozwala uzyskać Recovery Key dla właściwego Maca lub wyświetlonego tam Recovery Key ID; lokalny odbiór FileVaulta pozostaje od tego oddzielony.

Odzyskiwanie Maca

Procedura bezpiecznego pobierania klucza odzyskiwania dostarcza już poprawnie przypisany klucz. Ten artykuł zaczyna się od jego użycia w FileVault.

Resetowanie hasła na normalnym ekranie startowym

1. Kliknij znak zapytania w polu hasła i za pomocą strzałki przejdź do pola Recovery Key.
2. Wprowadź Recovery Key wydany dla tego Maca.
3. Postępuj zgodnie z oknem macOS, aby utworzyć nowe hasło logowania.
4. Jeśli pojawi się opcja Create New Keychain, utwórz nowy pęk kluczy. Recovery Key FileVaulta nie odblokowuje automatycznie starego pęku.
5. Po zalogowaniu ponownie sprawdź użytkowników FileVaulta, synchronizację Sophos i stan odzyskiwania.

Recovery Key ID jest wyświetlane przy uruchomieniu tylko przez krótki czas. Aby wyświetlić je ponownie, trzeba zrestartować Maca. Dla użytkowników zaimportowanych z Active Directory najpierw resetuje się hasło w AD i wydaje hasło tymczasowe. W oknie macOS użytkownik wybiera Cancel, a następnie wprowadza to hasło tymczasowe.

Odblokowywanie woluminu APFS poza normalnym startem

Ta procedura awaryjna dotyczy zaszyfrowanego woluminu APFS, gdy nie można użyć normalnego ekranu startowego. Nie zastępuje weryfikacji tożsamości ani jednoznacznego przypisania Recovery Key. Zależnie od modelu Maca i wersji macOS dostępne mogą być macOS Recovery, obsługiwany zewnętrzny wolumin startowy albo przewidziane przez Apple połączenie lub udostępnienie dysku drugiemu Macowi.

1. W wybranym środowisku odzyskiwania otwórz Utilities > Terminal.

2. Wyświetl strukturę APFS tylko do odczytu:

   diskutil apfs list
   

3. Jednoznacznie ustal zaszyfrowany wolumin docelowy według nazwy, roli i APFS Volume ID. Przy niejasnym przypisaniu przerwij; nie wolno pomylić woluminów System, Data, Preboot i Recovery.

4. Interaktywnie odblokuj wolumin docelowy:

   diskutil apfs unlockVolume <VOLUME-ID>
   

   <VOLUME-ID> należy zastąpić ustalonym identyfikatorem. Recovery Key wprowadź dopiero w interaktywnym monicie o hasło; nigdy nie podawaj go jako argumentu polecenia ani nie zapisuj w skrypcie.

5. Za pomocą diskutil apfs list i Findera sprawdź, czy zamontowano właściwy wolumin i czy oczekiwane dane można odczytać.

Pomyślne odblokowanie dowodzi tylko, że ten klucz pasuje do tego woluminu APFS. Nie naprawia ani agenta Sophos, ani przesyłania klucza i nie uprawnia do kolejnych zmian woluminu. Następnie należy zabezpieczyć dane lub w kontrolowany sposób usunąć właściwą usterkę.

Gdy Recovery Key nie zostaje zapisany

Jeśli agent nie może zapisać nowego Recovery Key ani w pęku kluczy macOS, ani w Sophos Fusion, pokazuje go użytkownikowi i prosi o zachowanie kopii. Sophos tworzy ponadto kopię awaryjną dostępną wyłącznie dla root:

/Library/Application Support/Sophos Encryption/.RecoverykeyEmergencybackup

Agent ponawia próby przesłania. Po udanym przesłaniu informuje użytkownika, że Fusion zarządza nowym kluczem i kopię ręczną można zniszczyć. Do tego czasu klucz należy chronić jak sekret, a żółtego stanu nie wolno uznać za udane wdrożenie.

Jeśli po lokalnym zalogowaniu, połączeniu z siecią i ponownej synchronizacji stan pozostaje żółty albo aplikacja, seadmin i Fusion pokazują sprzeczne dane, należy zapisać czas, wersje macOS i agenta, politykę, ID woluminu oraz wskazania stanu bez Recovery Key. Dalszą diagnostykę i eskalację opisuje artykuł Systematyczne rozwiązywanie problemów z Sophos Device Encryption.

Kontrolowany stan docelowy i offboarding

Dla macOS nie istnieje potwierdzona ogólna sekwencja Sophos typu „usuń politykę, usuń użytkownika, automatycznie odszyfruj”. Odinstalowanie agenta Endpoint również nie przekazuje FileVault Key do nowego systemu zarządzania. Dlatego przed przekazaniem, zmianą tenantu lub odinstalowaniem agenta należy osiągnąć kontrolowany stan docelowy:

1. Określ, czy FileVault ma pozostać aktywny, czy zostać świadomie wyłączony przez lokalnego uprawnionego administratora.
2. Udokumentuj ostatni stan lokalny poleceniem fdesetup status, użytkowników Pre-Boot poleceniem sudo fdesetup list i objęte operacją wewnętrzne woluminy.
3. Jeśli FileVault pozostaje aktywny, wykaż odpowiedzialność za odzyskiwanie i zatwierdzoną, działającą dla urządzenia drogę odzyskiwania po stronie przyszłego właściciela. Sam stary rekord Fusion nie stanowi przekazania.
4. Jeśli FileVault ma zostać lokalnie wyłączony, najpierw upewnij się, że polityka Device Encryption nie jest już skuteczna dla Maca. Usunięcie lub wyłączenie polityki nie odszyfrowuje FileVaulta; zapobiega jedynie ponownemu żądaniu aktywacji przez Sophos. Następnie zabezpiecz odzyskiwanie i okno serwisowe, wykonaj odszyfrowanie w macOS i lokalnie potwierdź jego pełne zakończenie.
5. Dopiero gdy stan docelowy, lokalne dowody i odpowiedzialność za odzyskiwanie są zgodne, usuń lokalnego agenta według artykułu Odinstalowywanie Sophos Endpoint w macOS.
6. Usunięcie obiektu urządzenia w Fusion pozostaje osobną czynnością administracyjną i nie jest ani odszyfrowaniem, ani transferem klucza.

Przy przejściu do innego systemu zarządzania należy najpierw przetestować jego funkcje FileVaulta i escrow na grupie pilotażowej. Stara możliwość odzyskiwania pozostaje zachowana, dopóki nowy system nie przejmie w udokumentowany sposób przewidzianego stanu docelowego i przetestowanej drogi odzyskiwania.

Zawężanie typowych odchyleń

Brak okna Sophos po zalogowaniu

Najpierw sprawdź logowanie lokalne zamiast zdalnego, zainstalowany Device Encryption Agent, przypisanie użytkownika i polityki oraz ostatnią synchronizację. Następnie sprawdź Secure Token, a na Macach z układem Apple także Volume Owner. Bez tych wymagań wielokrotne przełączanie polityki nie jest użytecznym testem.

Użytkownik może uruchomić macOS, ale nie może zalogować się w FileVault Pre-Boot

Konto lokalne nie staje się automatycznie użytkownikiem FileVaulta. Porównaj sudo fdesetup list z oczekiwaną listą użytkowników, sprawdź uprawnienia Apple i wykonaj udokumentowaną procedurę dodawania użytkownika. Następnie przeprowadź test po restarcie; wylogowanie i zalogowanie w trwającej sesji nie wystarcza.

Fusion pokazuje Encrypted, ale lokalnie wolumin jest żółty

Sam stan Encrypted nie dowodzi pełnej gotowości do odzyskiwania. W aplikacji Sophos Device Encryption i za pomocą seadmin --device-encryption ustal konkretny wolumin i jego stan klucza. Dopóki nie zostanie potwierdzony pasujący Recovery Key, Mac nie przechodzi odbioru.

FileVault jest aktywny, ale Fusion pokazuje Pending lub Not available

Sprawdź ostatnią synchronizację, komponent, lokalne działanie użytkownika i politykę. Przy już aktywnym FileVaulcie sprawdź, czy użytkownik ukończył operację Create key. Jeśli po ponownej synchronizacji stan lokalny i centralny nadal są sprzeczne, nie rozpoczynaj rotacji klucza ani eksperymentów z polityką; zabezpiecz dowody i przekaż przypadek do diagnostyki.

Często zadawane pytania