{"id":9818,"date":"2019-10-15T05:24:03","date_gmt":"2019-10-14T20:24:03","guid":{"rendered":"https:\/\/je1sgh.mydns.jp\/je1sghblog\/?p=9818"},"modified":"2019-10-15T05:24:03","modified_gmt":"2019-10-14T20:24:03","slug":"filevault","status":"publish","type":"post","link":"https:\/\/je1sgh.mydns.jp\/je1sghblog\/?p=9818","title":{"rendered":"FileVault"},"content":{"rendered":"\n

長年，公私のMacの起動用HDD, SSDは，macOS標準装備のFileVaultで暗号化してきました．<\/p>\n\n\n\n

初期のFileVaultでは，暗号化をオンにすると，乱数の英数文字列が暗号化のマスターキーとして表示されて，これを使えばパスワードを忘れてもディスクが復元できる，という型式でしたが，何代か前のmacOSから1<\/a><\/sup>ざっと調べたら，macOS 10.10 Yosemite以降らしいです．<\/span>，暗号化をオンにしようとすると，「復旧キーが、勤務先、所属学校、所属団体により設定されました。」という恐ろしいメッセージが表示されるようになりました．<\/a><\/p>\n\n\n\n

何が恐ろしいかというと，その復旧キーを設定した組織が何かが解らないのです．最近知ったのは，\/Library\/Keychains\/内にある，FileVaultMaster.KeychainとFileVaultMaster.cerが，その復旧（暗号化）キーの実体らしいです．そのタイムスタンプは，たしかに私はある組織に所属していましたが，本当にその組織のキーなのか確認しようがないです2<\/a><\/sup>その後，いろいろ調べて解りました．たしかに筆者がかつて所属した職場の出張所のものでした^^; 退職した組織だし，その部署は今は存在していないので，その暗号鍵が作られた経緯は解りようがなく，当然秘密鍵なども厳正に管理されていようはずはなく，一掃すべきなのは間違いないです．<\/span>．Yosemiteが出る何年か前のことですし．<\/p>\n\n\n\n

最初にそのメッセージが出現した頃は情報も少なく，この得体の知れない復旧キーの使用を回避するため，<\/p>\n\n\n\n

  1. 起動可能な外付けHDD(SSD)に，システムをまるまるコピーする（Carbon Copy Clonerを使用）<\/li>
  2. 外付けドライブから起動する<\/li>
  3. 内蔵ドライブをディスクユーティリティでAPFS 暗号化の設定でフォーマットする<\/li>
  4. 再びCarbon Copy Clonerで，外付けドライブから内蔵ドライブにまるまるコピー<\/li>
  5. 内蔵ドライブで起動して，3の時に設定したパスワードをディスクパスワードとして入力する<\/li>
  6. 管理者である自分のアカウントにログインして環境設定のFileVaultで，自分（や共同使用者）のパスワードでディスクがアンロックできるように設定する．<\/li><\/ol>\n\n\n\n

    という手順をとりました．手順は単純明快ですが，1と4で時間がかかります．コピー中にWebの閲覧やクラウド上のファイルの編集はできますが，ローカルディスクの内容や設定を編集・変更すると，コピー先に反映されない可能性があるので，注意が要ります．<\/p>\n\n\n\n

    時間がかかる上，正攻法ではないので，もやもやする部分はありますが，1度設定すると，OSのupgradeでも起動ディスクは暗号化されたままなので，そのままにしてきました．<\/p>\n\n\n\n

    今回たまたまFileVaultMaster.Keychainの作成手順を知りましたので，得体の知れない「勤務先、所属学校、所属団体」による呪縛から逃れるために自分の復旧キーを作成して入れ替えました．<\/p>\n\n\n\n

    \"\"
    現在，この「勤務先、所属学校、所属団体」とは私自身です😀<\/figcaption><\/figure>\n\n\n\n

    手順はアップルサポートのサイトに書いてある通りで問題なかったです．<\/p>\n\n\n\n