FileVault
ようやく、FileVaultの設定が終わりました。ここで、覚え書きを記しておこうと思います。
一般ユーザ、初期状態のFileVaultについて追記しました
ファイル共有とFileVaultについて追記しました
FileVaultマスターパスワードの設定
コンピュータ内のすべてのFileVaultを解錠できるパスワードを設定しなければなりません。私は、iBookでモバイルのためにFileVaultを使うのですが、家庭や会社、学校などで使うときには、強固なパスワードを設定しないと、かえって危険です。
FileVaultマスターパスワード設定のダイアログボックスから、適切なパスワードを選ぶためのヘルプへジャンプできます。
一般的な個人アカウントを守るパスワードの話しか載っていないですな。ま、しょうがないですが。
実際、コンピュータ内のすべてのアカウントを解錠できる強力な「合鍵」ですので、十分に長く、そして忘れにくく、推測が難しいパスワードを作りましょう。
特に、FileVaultではキーチェーン同様に空白文字が使えますので、長いフレーズを使うのが、覚えやすく推測が難しいパスワードになるのではないかと思います。
しかしこのヘルプ、中に謎の一文が…
「パスワードアシスタント」を使用すると、適切なパスワードを選ぶのに役立ちます。パスワードを作成するダイアログで、「i」ボタンをクリックしてパスワードの安全度を確認します
「パスワードアシスタント」って何？Server版にはあるのかしら？それとも実装が間に合っていないのかな？
FileVaultをオン
FileVaultをオンにして、ホームディレクトリを暗号化します。作業中に、ホームとほぼ同量の作業エリアを必要としますし、かなり時間がかかる作業になりますから、iBookなどの遅いコンピュータのアカウントをFileVaultするときには、ターゲットディスクモードで高速なCPUに接続してシステムをブートすると楽できます。
FileVaultをオンにしている最中は、ほかの作業がいっさいできなくなりますし、ほかのユーザもログアウトしなければならなくなります。
4GBほどのホームディレクトリをG4 800Ghzで暗号化するのに30分ほど、G3 500Mhzで一時間ぐらいかかります。
作成したばかりのユーザのFileVaultにかかる時間は、G3 500Mhzで約２分。G4 800Mhzでは数十秒です。
一般ユーザのFileVault：2003-10-27T04:05:19 PM+9:00追記
一般ユーザであっても、FileVault中にはほかのユーザがログアウトしている必要がありますので、管理者もログアウトしなければなりません。FileVaultを実行するために、「FileVault機能を入にする」ボタンをクリックしたときに管理者のアカウントとパスワードが必要になりますので、管理者がそばについていなければなりません。管理者は肩越しでパスワードをみられないように注意しましょう。
と堅苦しいことを言いましたが、他人がパスワードを入力しているときは後ろを向いておくリテラシーも同時に教育してあげればいいわけです。そうすることで、パスワードの意味を肌で感じることができるようになりますし、KeyChainでパスワードを入力するタイミングを減らすことができる意義をわかってもらえると思います。
FileVaultの実行にはユーザのパスワードも必要になります。このときに、後ろを向いてあげる心がけも忘れないようにしたいですね。
FileVaultの解除
FileVaultを解除するときも、施錠するときと同様に管理者のアカウント名、管理者のパスワード、ユーザのアカウント名、ユーザのパスワードが必要になります。FileVaultとファイル共有
FileVaultで施錠されたユーザが共有先でログインしているときだけ、一般的な手順でファイル共有を行うことができます。通常はユーザがログインしていなくてもファイル共有が行えたことに比べると、安全になっています。システム終了ではなくスリープでの運用が一般化するであろうMac OS Xではうれしい機能ですね。共有先でログインしていない（解錠されていない）ユーザアカウントで共有を行うと、~/home/にはsparseimageと~/Library/Preference/ByHost/、~/Library/Fontsだけが入った状態でマウントされます。seperceイメージはユーザアカウントかFileVaultのマスターパスワードで、ディスクイメージとしてマウントできます。
ファイル共有で管理者としてログインすると、共有先のHDDをマウントすることができます。この状態のとき、FileVaultを使用しているユーザがログインしているときは、ホームディレクトリが/Users/以下に表示されなくなります。マウントを頻繁に行って確認してみたところ「.ユーザ名」というディレクトリになっている様子。FileVaultを使用しているユーザがログインしていないときはホームディレクトリが見えますが、中のファイル群はsparseimageに固まっています。
ちょっと困るのは、FileVaultで施錠されたユーザがログインしているとき（解錠されているとき）に、ファイル共有を行うと、「ユーザ名」と「ユーザ名_Homedir」という二つのホームディレクトリがマウント可能になります。どちらでも変化はないようですが、混乱を招くので片方に統一してほしいところです。
運用の方法
ですから、盗難されたときに個人情報や機密が漏れる危険性は少なくすることができます。
が、ログインしている状態でスリープして盗まれた場合には、当然、ファイルを読み出すことができてしまいますから、FileVaultの設定パネルにある
-
- このコンピュータをスリープ状態またはスクリーンセーバから解除するときにパスワードを要求する
をオンにし、スリープに入りやすくするように、スクリーンセーバの開始時間を必ず設定することと、ホットコーナーなどでスクリーンセーバに入れやすくしておく必要があります。
また、念を入れて
-
- 使用しない状態が[ ]分続いたらログアウトする
も利用するとよいでしょう。
気になる使用感
iBook Dual-USBのように遅いコンピュータでどれほど速度低下するのか、と思ったのですが、本当に気づかない程度なのでしょう。Mail.appやSafariでは全く気になりません。その他の情報
id:vm_converterさんが、各所でのFileVaultのレポートについて調べています。FileVaultについて感想を聞き回ってみた。
さらに、id:DayTripperさんの日記にエラーの事例があります。興味深い＋＋
FileVaultで (?) いきなりトラブル
詳細な技術情報はKBやTILを待たなければなりませんが、FileVaultしている場合、ユーザのホームディレクトリはディスクイメージのような形で扱われているようです。そのため、このディスクイメージで予定している容量を超えるようなファイルの増加があった場合にはそのようなエラーが出るのではないでしょうか？
私もいまから、1GBほどコピーして様子を見てみます。
