Gestion du chiffrement sur un parc OSX 10.7 avec FileVault 2

Transcription

1 CNRS-DR4-CRSSI-Chiffrement_FileVault2-v1.0.docx Gestion du chiffrement sur un parc OSX 10.7 avec FileVault 2 Prénom Nom Service / CRSSI Propriétaire David Delavennat CRSSI DR4 Rédigé par David Delavennat CRSSI DR4 Validé par???? Historique des mises à jour Version Date Modifié par Description 0.1 David Delavennat Version initiale 0.4 David Delavennat Corrections typos 0.6 David Delavennat Modifications des informations relatives au séquestre (Hervé Ballans, David Delavennat) 0.8 David Delavennat Intégration de la documentation Mountain Lion 1.0 David Delavennat Diffusion Classification Référence Version Date 1.0

2 Table des matières Création de la clef «de société, d établissement scolaire ou d institution» Création du mot de passe principal Séquestre de la clef «de société, d établissement scolaire ou d institution» Préparation de la clef «de société, d établissement scolaire ou d institution» pour distribution... 8 Distribution de la clef «de société, d établissement scolaire ou d institution»... 9 Activation de FileVault Lion et Mountain Lion Mountain Lion Tests de conformité Lion Mountain Lion Récupération Démarrage depuis la partition de secours Déverrouillage du disque Annexe Installation de Mountain Lion Mise à jour

3 CNRS-DR4-CRSSI-Chiffrement_FileVault2-v1.0.docx Création de la clef «de société, d établissement scolaire ou d institution» La procédure est identique sous Lion et Mountain Lion. 1. Création du mot de passe principal 1. Ouvrez les Préférences Système et sélectionnez la sous- fenêtre des préférences «Utilisateurs et groupes». 2. Cliquez sur l icône de cadenas pour déverrouiller l accès» au bouton «Services».

4 3. Cliquez sur le bouton Services et sélectionnez l option «Définir le mot de passe principal...». 4. Créez un mot de passe principal à l aide de la feuille qui apparaît. 4

5 CNRS-DR4-CRSSI-Chiffrement_FileVault2-v1.0.docx Vous pouvez utiliser l assistant mot de passe (en cliquant sur l icône créer un mot de passe fiable. Note: une longueur de 22 caractères assure une bonne qualité ) pour 5. Une fois ce mot de passe défini, les fichiers suivants se créent : /Library/Keychains/FileVaultMaster.cer /Library/Keychains/FileVaultMaster.keychain 6. Vous pouvez supprimer en toute sécurité le fichier /Library/Keychains/FileVaultMaster.cer.

6 2. Séquestre de la clef «de société, d établissement scolaire ou d institution» Le fichier FileVaultMaster.keychain contient la clé privée nécessaire au déverrouillage des disques chiffrés. Il doit absolument être sécurisé dans un emplacement de stockage sûr, par exemple un disque externe mis au coffre ou une image disque chiffrée sur un autre media. 1. Créer un conteneur chiffré «coffre.dmg» 6

7 CNRS-DR4-CRSSI-Chiffrement_FileVault2-v1.0.docx 2. Copier le fichier FileVaultMaster.keychain dans l image disque chiffrée puis la démonter. 3. Mettre au coffre «physique» du laboratoire le media de stockage contenant une copie du fichier coffre.dmg, ainsi que le mot de passe (dans une enveloppe cachetée) permettant de déverrouiller le coffre «numérique». En cas de force majeur (media numérique illisible) il peut être salutaire de stocker également au format papier, par exemple en base64, une copie de la clef.

8 3. Préparation de la clef «de société, d établissement scolaire ou d institution» pour distribution Double- cliquez sur le fichier /Library/Keychains/FileVaultMaster.keychain dans le Finder pour ouvrir le trousseau avec «Trousseau d accès». Dans Trousseau d accès, sélectionnez FileVaultMaster dans la liste des trousseaux située sur la gauche. Supprimez la «clé de mot de passe principal FileVault» en la mettant en surbrillance puis en cliquant sur le bouton droit de la souris pour choisir Supprimer dans le menu contextuel qui s affiche. Quittez «Trousseau d accès». Copiez le fichier /Library/Keychains/FileVaultMaster.keychain mis à jour dans un autre emplacement. Ce fichier peut être distribué aux clients pour être utilisé par FileVault. 8

9 CNRS-DR4-CRSSI-Chiffrement_FileVault2-v1.0.docx» Distribution de la clef «de société, d établissement scolaire ou d institution A l aide de votre méthode de distribution préférée, copiez et installer le fichier FileVaultMaster.keychain, sur les ordinateurs clients dans le dossier /Library/Keychains. Assurez- vous que la propriété et les autorisations sont correctes Si nécessaire, les commandes suivantes configurent, respectivement, la propriété et les autorisations correctes : sudo chown root:wheel /Library/Keychains/FileVaultMaster.keychain sudo chmod 644 /Library/Keychains/FileVaultMaster.keychain

10 Activation de FileVault 2 1. Lion et Mountain Lion Lorsque FileVault 2 est activé dans les «Préférences Système», un message d alerte apparaît et informe l utilisateur qu une clef de secours a été définie par sa société, son établissement scolaire ou son institution. Vous devez redémarrer la machine pour lancer le chiffrement du disque. 10

11 CNRS-DR4-CRSSI-Chiffrement_FileVault2-v1.0.docx Vous pouvez contrôler l avancement du chiffrement via le panneau «Sécurité et confidentialité» des «Préférences systèmes». Le chiffrement peut prendre de quelques dizaines de minutes à plusieurs heures selon votre configuration. Seuls les utilisateurs dont le compte a été explicitement activé pour supporter FileVault seront en mesure de déverrouiller la machine au boot.

12 2. Mountain Lion Sous Mountain Lion, en plus de l interface graphique, la nouvelle commande fdesetup permet de paramétrer FileVault. L option «- keychain» va forcer l utilisation du fichier /Library/Keychains/FIleVaultMaster.keychain Il est important d utiliser l option «- norecoverykey» afin de ne chiffrer qu avec la clef «de société, d établissement scolaire ou d institution» sudo fdesetup enable keychain norecoverykey - forcerestart 12

13 CNRS-DR4-CRSSI-Chiffrement_FileVault2-v1.0.docx Tests de conformité 1. Lion Hash de la clef de secours définie par sa société, son établissement scolaire ou son institution Disque non chiffré Disque en cours de chiffrement / Chiffré

14 2. Mountain Lion La clef «de société, d établissement scolaire ou d institution» est elle la bonne? Disque en cours de chiffrement Disque chiffré Présence d une clef «de société, d établissement scolaire ou d institution» Utilisateur(s) à même de déverrouiller le disque dur Un compte d administration a été défini qui est autorisé à déverrouiller le disque sans avoir recours à la clef «de société, d établissement scolaire ou d institution». 14

15 CNRS-DR4-CRSSI-Chiffrement_FileVault2-v1.0.docx Récupération Si un utilisateur oublie son mot de passe et qu une clef de secours a été installée avant l activation de FileVault 2, vous pouvez effectuer les étapes suivantes pour déverrouiller un disque chiffré Démarrage depuis la partition de secours Redémarrez le client en appuyant sur les touches Commande et R. 2. Déverrouillage du disque Connectez un disque externe contenant le fichier FileVaultMaster.keychain avec la clé privée (ie pas celui qui a été déployé sur les clients). Dans le menu Utilitaires, sélectionnez Terminal. Si le trousseau contenant la clé privée est stocké dans une image disque chiffrée, utilisez la commande suivante pour la monter : hdiutil attach /path/to/diskimage Utilisez la commande suivante pour déverrouiller le fichier FileVaultMaster.keychain. Assurez- vous d indiquer le chemin d accès correct au fichier de trousseau : security unlock- keychain <path to Keychain File> 1 Remarque : cette procédure ne fonctionne que lorsque le démarrage se fait à partir d une partition de secours.

16 Par exemple, sur un volume intitulé ThumbDrive : security unlock- keychain /Volumes/ThumbDrive/FileVaultMaster.keychain Saisissez le mot de passe principal pour déverrouiller le trousseau. Lorsque le mot de passe est accepté, l invite de commande réapparaît. Utilisez la commande suivante pour répertorier les disques et les volumes Corestorage : diskutil cs list Recherchez l identifiant UUID du volume logique, généralement le dernier de la liste. Sélectionnez et copiez l identifiant UUID pour la commande de l étape suivante. Utilisez la commande suivante pour déverrouiller le disque chiffré. Assurez- vous d insérer l identifiant UUID de l étape précédente et corrigez le chemin d accès au fichier du trousseau : diskutil cs unlockvolume <UUID> - recoverykeychain <path to Keychain File> Par exemple, vous devez utiliser cette commande en cas d identifiant UUID similaire à 2F227AED F8-804D ABA66B sur un volume intitulé ThumbDrive : diskutil cs unlockvolume 2F227AED F8-804D ABA66B - recoverykeychain /Volumes/ThumbDrive/FileVaultMaster.keychain Saisissez le mot de passe principal pour déverrouiller le trousseau. Le volume est monté. Vous pouvez désormais sauvegarder des données en utilisant Utilitaire de disque ou les outils de ligne de commande, tels que ditto. 16

17 CNRS-DR4-CRSSI-Chiffrement_FileVault2-v1.0.docx Annexe 1. Installation de Mountain Lion FileVault doit être désactivé, avant de procéder à l installation pour que l installeur puisse accéder au disque après le redémarrage.

18 18

19 CNRS-DR4-CRSSI-Chiffrement_FileVault2-v1.0.docx Après le redémarrage, OSX est en version 10.8.

20 2. Mise à jour Bonne nouvelle, la désactivation de FileVault n est pas requise! 20