לדלג לתוכן

שיעור 04: הצפנה ומפתחות

חלק ב': מדריך העברה למרצה

הנחיית מבנה למדריך (Facilitator): מסמך זה משמש אותך כתסריט ומערך שיעור. כל נושא כולל "מטרה" למיקוד, "דיון/תסריט" שניתן להקריא או להעביר בסגנון חופשי, "הדגמה" צעד-אחר-צעד, ו"העמקת מדריך" (בתוך רשימה נפתחת) שנועדה לתת לך גב טכני למענה על שאלות מתקדמות מהכיתה. שים לב לשימוש במושגי המפתח הרשמיים.

1. אסימוני אבטחה: Secure Token ומי רשאי לאשר שינויים קריטיים

🎯 מטרת החלק: להבין מהו Secure Token (אסימון אבטחה), כיצד הוא מחליף את גישת ה-Admin המסורתית במשימות מאובטחות, ואיך הוא קובע מי רשאי לפתוח את ההצפנה ב-macOS.

פסקת הכוונה למרצה (Direction)

המשמעות של "Admin" השתנתה. בעבר, ה-Admin היה כל-יכול. כיום במחשבי Apple Silicon יש שכבה מעליו: Secure Token ו-Volume Ownership. חשוב להסביר לטכנאים שאם הם יצרו חשבון Admin חדש אבל לא דאגו להעביר אליו את אסימון האבטחה (Secure Token), הוא עדיין לא יוכל לבצע פעולות קריטיות כגון שינוי מדיניות אתחול או הפעלת FileVault. זה מקור להרבה תסכול בשטח שאנחנו עומדים לפתור כאן.

🎤 הרצאה

  • אתגר לאנשי IT: מעבר מסביבות Windows או ממקים ישנים למקים מודרניים.
  • המצב בעבר: משתמש מנהל (Admin) מקומי היה "כל יכול" ויכול היה לבצע הכל.
  • העידן החדש: עם שבבי T2 ו-Apple Silicon, אפל הציגה את ה-Secure Token (אסימון אבטחה).
    • האסימון הוא "מפתח המאסטר" לקרביים הקריפטוגרפיים של המק.
    • עובדה היסטורית: ה-Secure Enclave שמנהל את כל זה הוצג לראשונה באייפון 5s ב-2013, והגיע למק רק שנים מאוחר יותר!
  • משתמש ראשון:
    • מקבל את ה-Secure Token אוטומטית עם יצירתו.
    • הופך לבעל הרשאה לפתוח את הצפנת המערכת (Volume Ownership - בעלות ווליום).
  • הבעיה ביצירת חשבונות חדשים:
    • איש תמיכה יוצר חשבון נוסף.
    • אם המשתמש הראשון לא "מעביר" או מאשר את האסימון למשתמש החדש, השני נשאר ללא הרשאה.
    • אפילו אם המשתמש השני הוא מנהל (Admin), הוא לא יוכל:
      • להפעיל את FileVault (מנגנון הצפנה).
      • לאשר שינויים קריטיים ב-Startup Security Utility (כלי אבטחת האתחול).

🖥️ הדגמה

  • פתיחת כלי השירות: Directory Utility (דרך Spotlight או בנתיב /System/Library/CoreServices/Applications/).
  • לחיצה על סמל המנעול והזנת סיסמת מנהל.
  • מעבר ללשונית Directory Editor ובחירה בתצוגת Users.
  • איתור משתמש המערכת ברשימה.
  • גלילה מטה אל המאפיין AuthenticationAuthority.
  • הצגה לכיתה:
    • הצביעו על הערך המכיל את המחרוזת SecureToken.
    • הסבירו שזוהי החותמת הקריפטוגרפית לכך שהמשתמש מחזיק באסימון אבטחה.
Instructor Deep-Dive (מידע טכני מורחב)
  • Volume Ownership:
    • במחשבי Apple Silicon נוסף רובד בשם בעלות על הווליום.
    • המשתמש הראשון הופך לבעלים של Volume הנתונים (Data Volume).
    • המידע נשמר ברמת החומרה ב-Secure Enclave.
  • קשר קריפטוגרפי:
    • ה-Secure Token מקושר קריפטוגרפית למפתחות ה-KEK (Key Encryption Key).
    • מפתחות אלו מיוצרים מסיסמת המשתמש בשילוב UID חומרתי מה-Secure Enclave.
    • הם משמשים לפתיחת ה-VEK (Volume Encryption Key).
  • בדיקת סטטוס וניהול ב-CLI:
    • (הערה למרצה: פקודות אלו לשימושך במקרי קצה, התלמידים יעסקו בכך במעבדה).
    • בדיקה מהירה: sysadminctl -secureTokenStatus <username>.
  • הענקת Token ידנית בטרמינל:
    • פקודה מלאה: sysadminctl -secureTokenOn <target_user> -password <target_pass> -adminUser <admin_with_token> -adminPassword <pass>.

2. הצפנת APFS: איך FileVault עובד (ללא האטה בביצועים)

🎯 מטרת החלק: להבין את היתרונות של FileVault (מנגנון הצפנה) במחשבי Mac מודרניים, ולנפץ את המיתוסים על פגיעה בביצועים. הכרת החידושים ב-macOS 26 Tahoe.

פסקת הכוונה למרצה (Direction)

המיתוס הכי נפוץ שנרצה לשבור פה הוא ש"הצפנה מאטה את המחשב". בעידן ה-Apple Silicon ו-APFS, כל הנתונים מוצפנים תמיד ברמת הברזל, והדלקת ה-FileVault רק משנה את המפתח (עוטפת אותו בסיסמת המשתמש). התהליך הוא מיידי ולא דורש זמן הצפנה או כוח עיבוד כלל.

🎤 הרצאה

  • מיתוס מהעבר: בעבר, הדלקת FileVault גרמה לירידה משמעותית בביצועים והתהליך ארך ימים שלמים.
  • העידן המודרני: מערכות Apple Silicon מציעות מנוע AES חומרתי ייעודי המסונכרן עם ה-Secure Enclave (רכיב xART).
    • המידע על Volume הנתונים מוצפן תמיד, 24/7, ישר מהקופסה.
  • תהליך הפעלת FileVault:
    • הקבצים כבר מוצפנים, אין צורך בהצפנה מחדש.
    • המערכת רק "עוטפת" את מפתח ההצפנה של הדיסק בסיסמת המשתמש (KEK שעוטף VEK).
    • התוצאה: התהליך מיידי ואינו צורך משאבי מעבד כלל.
  • חידושים ב-macOS 26 Tahoe:
    • הפעלה אוטומטית: אם משתמש מתקין מק ומתחבר עם Apple Account ו-iCloud Keychain, המערכת מפעילה FileVault בשקט ושומרת מפתח ב-iCloud.
    • פתיחה מרחוק (SSH Pre-boot): שרתים ללא מסך יכולים כעת לקבל סיסמה מרחוק בשלב ה-Pre-boot כדי לשחרר את ההצפנה.
    • תמיכה במכונות וירטואליות (VMs): ניתן כעת להצפין מכונות וירטואליות של Tahoe בזכות מנגנון וירטואליזציה של ה-Secure Enclave המכונה exclave.

🖥️ הדגמה

  • פתיחת האפליקציה Disk Utility.
  • בחירת Volume הנתונים (בדרך כלל ייקרא Macintosh HD - Data).
  • הצגה לכיתה במידע המפורט:
    • הצביעו על הסטטוס APFS (Encrypted).
    • הדגישו שהכונן מוצפן גם כשה-FileVault טרם הופעל רשמית!
  • פתיחת System Settings:
    • ניווט אל Privacy & Security -> FileVault.
    • הדגישו לכיתה: המנגנון עשוי להיות כבוי במערכת עצמה, אך הכונן מוצפן ברמת החומרה.
Instructor Deep-Dive (מידע טכני מורחב)
  • VEK (Volume Encryption Key):
    • המפתח שמצפין בפועל את המידע על הדיסק ברמת מערכת הקבצים, נשמר פיזית ב-Secure Enclave.
  • KEK (Key Encryption Key):
    • מפתח המופק מסיסמת המשתמש.
    • ה-KEK "עוטף" את ה-VEK. בעת אתחול, יש להזין סיסמה כדי לשחרר את ה-VEK לפענוח הדיסק.
  • ניהול שורת פקודה:
    • בדיקת מצב ההצפנה על ידי טכנאים: fdesetup status.
  • מחיקה מאובטחת (EACS):
    • מחיקת כל התוכן וההגדרות משמידה בפועל את ה-VEK ומפתח ה-xART.
    • זה הופך את כל הנתונים לבלתי קריאים בצורה מיידית.

3. שחזור דיסק נעול: מפתחות שחזור (PRK לעומת iCloud)

🎯 מטרת החלק: להכיר את שתי חלופות השחזור המקומיות שמוצעות למשתמש בעת הפעלת FileVault, ולהבין למה בארגונים מעדיפים כמעט תמיד את אפשרות המפתח האישי.

פסקת הכוונה למרצה (Direction)

חשוב להסביר שתהליך ה-FileVault הוא בלתי הפיך ללא מפתח השחזור במקרה של אובדן סיסמה. עשו את ההפרדה בין משתמשים פרטיים שעדיף להם לגבות בענן של אפל כדי לא לאבד את הפתק עם הקוד בבית, לעומת חברות ארגוניות שאוסרות שמירת מפתחות בענן הפרטי של העובדים ודורשות מפתח מקומי.

🎤 הרצאה

  • תסריט הבעיה: המשתמש שכח את הסיסמה. הנתונים אבודים ללא גיבוי קריפטוגרפי.
  • שתי האפשרויות הזמינות:
    • אפשרות 1: שחזור דרך iCloud (מיועד לבית).
      • המפתח נשמר בענן של אפל. דורש Apple ID ואימות דו-שלבי לשחזור (לרוב מופעל אוטומטית ב-Tahoe).
    • אפשרות 2: יצירת מפתח אישי - PRK (הסטנדרט לארגונים).
      • המערכת מייצרת מחרוזת אלפא-נומרית ארוכה באופן מקומי.
      • רק באמצעותה ניתן לפתוח את הדיסק ממצב התאוששות.
      • מאפשרת לארגון שליטה מלאה וללא תלות בחשבון הפרטי של העובד.

🖥️ הדגמה

  • ניווט בתוך System Settings אל Privacy & Security -> FileVault.
  • לחיצה על כפתור ההפעלה Turn On.
  • הצגה לכיתה של חלון הבחירה הקופץ (בסביבות שאינן מנוהלות).
    • הסבירו את הדילמה בין חיבור ל-iCloud ליצירת מפתח אישי.
  • בחירת האפשרות ליצירת Recovery Key.
  • הצגת המחרוזת הארוכה שנוצרת (ה-PRK).
    • הדגישו את החשיבות של שמירת המפתח במערכת ניהול בארגון ולא בקובץ מקומי.
Instructor Deep-Dive (מידע טכני מורחב)
  • Institutional Recovery Key (IRK):
    • בעבר ארגונים עשו שימוש במפתח אב מוסדי אחיד (FileVaultMaster.keychain). מנהג זה נזנח עקב סיכוני אבטחה.
  • אימות מפתח קיים:
    • מנהל IT יכול לוודא שהמפתח שבידיו פותח את המחשב ללא אתחול ל-Recovery:
    • sudo fdesetup validaterecovery
  • יצירת מפתח חדש (ללא כיבוי והדלקה):
    • יצירת PRK חדש לחלוטין בצורה חלקה:
    • sudo fdesetup changerecovery -personal

4. תיבול ארגוני: ה-Bootstrap Token ואיך MDM "אוגר" מפתחות הצפנה

🎯 מטרת החלק: להסביר כיצד שרת הניהול (MDM) פותר את כאב הראש של הענקת Secure Token ואחסון מפתחות FileVault בעזרת Bootstrap Token (אסימון אתחול).

פסקת הכוונה למרצה (Direction)

זה ה"תיבול הארגוני" של השיעור. אחרי שהתלמידים מבינים שצריך להעניק ידנית Secure Token מיוזר אחד ליוזר שני, הם ישאלו (בצדק) "איך אפשר לעשות את זה בחברה עם 5,000 עובדים?". כאן תציגו להם את ה-Bootstrap Token – מנגנון הקסם של אפל ושל שרתי ה-MDM שאוגר אסימוני אתחול ומעניק אותם באופן אוטומטי למשתמשים החדשים מבלי לבקש סיסמאות מנהל ברקע.

🎤 הרצאה

  • האתגר הארגוני: הענקת Secure Token באופן ידני לכל משתמש חדש דרך MDM היא בלתי אפשרית – "Secure Token Deadlock".
  • הפתרון של אפל: מערכת Bootstrap Token (אסימון אתחול).
    • המחשב נרשם לשרת הניהול (MDM).
    • המשתמש הראשון אוטומטית מייצר Bootstrap Token שמגובה (Escrow) בשרת.
  • כניסת עובד חדש למק מנוהל:
    • המק מתקשר עם ה-MDM ומוודא את ה-Bootstrap Token.
    • כך מקבל העובד החדש Secure Token אוטומטית.
  • הצפנה שקופה בארגון (Deferred Enablement):
    • ה-MDM שולח פרופיל הדורש הפעלת FileVault עם PRK.
    • המפתח מיוצר ונשלח לשרת ללא מגע אדם.
    • צוות התמיכה יכול לשלוף אותו לשחרור נעילות ללא תלות בעובד.

🖥️ הדגמה

  • פתיחת האפליקציה Console (דרך Spotlight).
  • לחיצה על כפתור התחלת ההקלטה (Start).
  • חיפוש: bootstraptoken או mdmclient.
  • הסבר: במחשב מנוהל, תהליכי ההפקדה והמשיכה יופיעו כאן בזמן אמת.
Instructor Deep-Dive (מידע טכני מורחב)
  • אבחון שורת פקודה:
    • בדיקת תקשורת ה-Token מול שרת ה-MDM מתבצעת על ידי הפקודה: sudo profiles status -type bootstraptoken.
    • הפלט מראה האם האסימון נתמך והאם הופקד (Escrowed) בהצלחה.
  • יצירה ומשלוח באופן ידני:
    • ניתן לאלץ יצירת Bootstrap Token במקרי תקלה (למשל אם נכשל בגלל חסימת פיירוול בתחילת הדרך):
    • sudo profiles install -type bootstraptoken