FileVault

Comment ça marche

Sur les Mac à puce Apple ou à puce T2, le stockage est toujours chiffré au niveau matériel. Ce que FileVault ajoute, c'est le lien entre ce chiffrement et le mot de passe de l'utilisateur. Sans FileVault, la clé est disponible dès que le Mac démarre. Avec, elle n'est libérée qu'après la saisie d'un mot de passe valide à l'écran de connexion. Portable volé, pas de mot de passe, pas de données.

À l'activation, macOS génère une clé de récupération personnelle, une chaîne de 24 caractères qui déverrouille le disque si tous les mots de passe sont oubliés. Cette clé peut être affichée une fois à l'utilisateur, ou séquestrée : chiffrée avec un certificat fourni par le MDM et envoyée au serveur MDM, où un administrateur pourra la récupérer plus tard.

L'activation est une opération unique qui se termine en arrière-plan. Depuis macOS 10.13 et APFS, le chiffrement initial prend quelques minutes sur un Mac récent, plus des heures.

Pourquoi c'est important pour une flotte

Les portables sortent des bureaux. Qu'un portable perdu soit un incident de sécurité ou un simple remplacement de matériel dépend d'une seule chose : le disque était-il chiffré, et pouvez-vous le prouver ?

Le RGPD rend cette distinction explicite. L'article 34 du règlement 2016/679 vous dispense de notifier les personnes concernées quand les données perdues étaient chiffrées avec une clé que le voleur ne possède pas. La CNIL le rappelle dans ses recommandations sur les violations de données. C'est la différence entre une sortie d'inventaire discrète et une notification publique de violation.

La clé de récupération est le versant opérationnel du sujet. Un Mac avec FileVault actif et sans clé séquestrée est un Mac que vous effacerez le jour où l'utilisateur oublie son mot de passe. Sur une flotte de 300 Mac, cela arrive plus souvent qu'on ne le croit.

Comment Appaloosa le gère

Appaloosa pousse sur les Mac gérés un profil de configuration FileVault qui active le chiffrement à la prochaine connexion et oblige l'utilisateur à le terminer avant de continuer. La clé de récupération personnelle est séquestrée automatiquement dans Appaloosa, chiffrée pendant le transfert, et accessible à un administrateur autorisé depuis la fiche de l'appareil quand un utilisateur est bloqué.

La vue conformité de votre console de gestion des appareils mobiles indique quels Mac ont FileVault actif et lesquels ont une clé séquestrée. Une question d'audit du type « tous les portables sont-ils chiffrés ? » se règle avec un filtre plutôt qu'un sondage. Les Mac qui sortent de cet état peuvent être marqués non conformes jusqu'à la réactivation du chiffrement.