Cifra de backups no Mac explicada: Time Machine, FileVault, SMB3 e porque precisa dos três

A palavra "cifrado" carrega um peso reconfortante, do tipo que leva as pessoas a deixar de fazer perguntas. A maioria dos utilizadores vê uma caixa de verificação com "Encrypt backup" e assume que significa seguro, ponto final. Não significa. A cifra só protege contra ameaças específicas, e um Mac com um backup envolve pelo menos três camadas de cifra diferentes, cada uma a defender contra um tipo de atacante diferente.

Salte qualquer uma delas e deixa um buraco. As três camadas são o FileVault no disco de origem, a cifra do Time Machine no disco de backup e a cifra SMB3 no fio quando o backup passa por uma rede. Este artigo percorre cada uma, explica exactamente contra o que protege e contra o que não protege, e termina com uma tabela de modelo de ameaças que pode usar para auditar a sua própria configuração.

As três camadas numa frase cada

• FileVault cifra os dados que estão no disco interno do seu Mac, para que um ladrão que o ligue não consiga ler o disco sem a sua palavra-passe.
• Cifra do Time Machine cifra o próprio backup, para que um ladrão que roube o seu disco USB (ou um fornecedor de cloud cujos servidores sejam comprometidos) não consiga ler os seus ficheiros.
• Cifra SMB3 cifra os dados enquanto se movem pela rede, para que um atacante entre o seu Mac e o servidor de backup não consiga escutar.

Nenhuma delas substitui as outras. Cada uma defende contra uma ameaça diferente. Vai querer as três.

Camada 1: FileVault, em repouso na origem

O FileVault é a cifra ao nível do disco integrada no macOS. Quando activado, todo o disco de arranque do macOS é cifrado com XTS-AES-128 usando uma chave de 256 bits. A chave é derivada da sua palavra-passe de início de sessão e (nos Macs modernos) selada dentro do Secure Enclave, um chip de segurança dedicado nos Macs Apple Silicon e no chip T2 dos Macs Intel recentes.

Contra o que o FileVault protege

• MacBook perdido ou roubado, desligado. O ladrão vê um bloco cifrado. Sem a sua palavra-passe (ou a sua chave de recuperação), os dados são matematicamente inacessíveis.
• Disco retirado do Mac. Mesmo com o disco ligado a outra máquina, o conteúdo está cifrado ao nível do bloco.
• Descarte de um Mac antigo. Apagar a chave de cifra (o que o macOS faz em Apagar Todo o Conteúdo e Definições) torna instantaneamente os dados irrecuperáveis.

Contra o que o FileVault não protege

• Um Mac ligado e desbloqueado. Assim que iniciou sessão, o volume está montado em claro do ponto de vista do sistema operativo. Malware a correr com os seus privilégios vê texto simples.
• Um Mac em suspensão sem o FileVault activamente re-bloqueado. Os ficheiros de hibernação podem, em teoria, deixar escapar chaves; o macOS moderno mitiga isto, mas a ameaça não é nula.
• O próprio backup. O FileVault protege o disco de origem, não o destino. Se o seu backup Time Machine não estiver cifrado, os dados ficam em claro no disco de backup, mesmo com o Mac bloqueado.

A chave de recuperação

Quando activa o FileVault, o macOS pergunta se quer depositar a chave de recuperação no iCloud ou guardá-la localmente. Localmente é mais privado (a Apple não pode decifrar o seu disco a pedido legal), mas mais arriscado (perde-a e os dados desaparecem). O iCloud é mais conveniente, mas significa que a Apple detém uma chave. Não há uma escolha objectivamente correcta; depende do seu modelo de ameaças. Escolha o que escolher, guarde também a chave de recuperação nalgum sítio físico, como uma página impressa num cofre.

Camada 2: Cifra do Time Machine, em repouso no backup

Quando marca "Encrypt Backup" ao configurar um destino Time Machine, o macOS cria o backup como um volume cifrado usando AES-XTS-128. A palavra-passe de cifra que fornece serve para derivar a chave do volume. A chave é guardada no seu Keychain local para que os backups seguintes ocorram automaticamente sem voltar a pedir.

O backup cifrado vive dentro de um sparsebundle (uma pasta de ficheiros de "banda" que juntos formam um disco virtual) no destino. O invólucro do sparsebundle é, ele próprio, texto simples, mas tudo o que está lá dentro (conteúdo dos ficheiros, nomes dos ficheiros, estrutura de diretórios, metadados) está cifrado como um volume CoreStorage ou APFS.

Contra o que a cifra do Time Machine protege

• Disco de backup roubado. Um ladrão que se vá embora com o seu SSD USB vê texto cifrado.
• Comprometimento do servidor cloud. Se o seu backup viver numa partilha SMB na cloud, o fornecedor apenas guarda blocos cifrados. Mesmo um administrador malicioso ou uma brecha do lado do servidor nada revela sem a sua palavra-passe.
• Intimação ou pedido legal a um fornecedor de backup. O fornecedor não tem texto simples para entregar. Pode produzir texto cifrado, que é inútil sem a chave, e a chave nunca sai do seu Mac. É isto que as pessoas querem dizer quando chamam a uma configuração "zero-knowledge".
• Descarte de hardware de backup antigo. Reformatar um disco de backup não cifrado não apaga de facto os dados de imediato (apenas os marca como eliminados); um volume cifrado que perdeu a sua chave fica efectivamente apagado na hora.

Contra o que a cifra do Time Machine não protege

• Um atacante que tenha tanto o backup como a sua palavra-passe de cifra. A cifra só é tão boa quanto o segredo da chave.
• Ransomware no Mac de origem que tenha acesso à partilha de backup. Se a partilha de backup estiver montada e com permissão de escrita, o ransomware pode cifrar ou apagar o seu conteúdo. A cifra protege a confidencialidade, não a integridade nem a disponibilidade.
• Escuta na rede durante o backup. Os blocos cifrados têm de viajar pela rede de alguma forma; se o transporte for em claro, um atacante no caminho pode recolher texto cifrado para tentativas de força bruta offline. Daí o SMB3.

Camada 3: Cifra SMB3, em trânsito

O SMB3 é o protocolo de rede que o macOS usa para falar com partilhas de ficheiros de rede. A partir do SMB 3.0 (2012) o protocolo suporta cifra ao nível da sessão usando AES-128-CCM; o SMB 3.1.1 (2016) acrescentou o AES-128-GCM, que é o que o macOS moderno negoceia por predefinição com servidores capazes.

Contra o que a cifra SMB3 protege

• Wi-Fi hostil de café. Um atacante na mesma rede não consegue ler o seu tráfego.
• Espionagem ao nível do ISP. O seu ISP pode ver que está a falar SMB com um determinado IP, mas não consegue ler o conteúdo dos ficheiros.
• Hardware intermédio comprometido. Um homem-no-meio no caminho entre o seu Mac e o servidor de backup vê apenas texto cifrado ao nível do SMB.
• Adulteração em trânsito. O SMB3 também assina o tráfego, pelo que um atacante não consegue injectar ou modificar dados sem quebrar a assinatura.

Contra o que a cifra SMB3 não protege

• O próprio servidor. O SMB3 é salto a salto: o cliente cifra, o servidor decifra. O servidor vê texto simples ao nível do SMB (razão pela qual também vai querer a cifra do Time Machine por baixo).
• Qualquer coisa depois de chegar ao destino. Uma vez escrito no disco, o SMB3 fez o seu trabalho e deixa de estar envolvido.
• Um servidor que não negoceie de facto a cifra SMB3. Alguns NAS antigos e certos alojamentos económicos só anunciam SMB1 ou SMB2 não cifrado. O macOS recorre a essa versão se o deixar. Leia o explicativo sobre SMB3 para os detalhes da negociação e como verificar.

Onde vivem realmente as chaves

Perceber onde vive cada chave ajuda a raciocinar sobre o que um atacante precisaria de comprometer para quebrar cada camada.

• Chave do FileVault: derivada da sua palavra-passe de início de sessão, selada no Secure Enclave nos Macs Apple Silicon e T2. Chave de recuperação depositada no iCloud ou impressa.
• Chave de cifra do Time Machine: derivada da palavra-passe de cifra que escolheu durante a configuração. Guardada em cache no seu Keychain local para que os backups seguintes não peçam. A chave nunca sai do seu Mac.
• Chave de sessão SMB3: negociada de novo a cada sessão através de uma troca de chaves ao estilo Diffie-Hellman. Vive apenas na RAM do seu Mac e do servidor durante a ligação.

Tabela de modelo de ameaças

Eis a visão prática: contra que ameaças defende cada camada, de facto?

Ameaça	FileVault	Cifra TM	SMB3
MacBook roubado (desligado)	Sim	Não	Não
Disco de backup roubado	Não	Sim	Não
Wi-Fi hostil de café	Não	Parcial	Sim
Administrador de cloud comprometido	Não	Sim	Parcial
Intimação ao fornecedor de backup	Não	Sim	Não
Ransomware que visa backups	Não	Não	Não
MacBook perdido, ecrã desbloqueado	Não	Não	Não
Descarte de disco de backup antigo	Não	Sim	Não

Algumas linhas aqui importam mais do que as outras. A linha "ransomware que visa backups" é "Não" em toda a linha porque a cifra de confidencialidade não trata da disponibilidade. A defesa contra ransomware são snapshots com versões, mais uma cópia offline ou protegida contra escrita, e não a cifra. A linha "MacBook perdido, ecrã desbloqueado" lembra-lhe que qualquer modelo de ameaças que assuma que o dispositivo está nas mãos do atacante com a sessão iniciada derrota todas as camadas criptográficas, porque o próprio sistema operativo está a decifrar em tempo real.

Porquê as três em conjunto

Agora corra a tabela de novo com apenas uma camada activada.

Se tiver o FileVault mas não a cifra do Time Machine: um ladrão que roube o seu disco de backup (muitas vezes guardado na mesma sala do Mac) tem acesso total a tudo. Se o seu backup estiver na cloud, quem comprometer o fornecedor de cloud tem acesso total.

Se tiver a cifra do Time Machine mas não o FileVault: um ladrão que ligue o seu MacBook roubado tem acesso total aos seus dados em uso. O backup está seguro; a origem não.

Se tiver ambas as camadas em repouso mas não o SMB3 em trânsito: um atacante numa rede Wi-Fi de café pode capturar o seu texto cifrado, claro, mas também pode potencialmente capturar metadados, padrões de tráfego e quaisquer camadas de protocolo não cifradas acima do SMB. Não é catastrófico, mas abriu mão de um reforço fácil.

Vai querer as três. São individualmente baratas. Juntas, cobrem essencialmente todas as ameaças, excepto "o atacante tem root na sua máquina desbloqueada", e contra essa nenhuma cifra ajuda ninguém. Para saber como o Capsule Backup compõe estas camadas no contexto do Time Machine na cloud, veja a nossa página de segurança.

Como activar cada camada

FileVault

System Settings → Privacy & Security → FileVault → Turn On. Escolha a chave de recuperação no iCloud ou local. Aguarde que a cifra inicial termine (os Macs modernos fazem-no em segundo plano enquanto trabalha; os Macs mais antigos podem demorar horas).

Cifra do Time Machine

System Settings → General → Time Machine → Add Backup Disk. Quando solicitado, marque "Encrypt Backup". Defina uma palavra-passe forte (16+ caracteres de um gestor de palavras-passe é o ideal). Para uma análise aprofundada da configuração, escolha da palavra-passe e recuperação, veja o guia de backups cifrados.

Cifra SMB3

Maioritariamente automática no macOS moderno a ligar-se a um servidor SMB moderno. Para a exigir explicitamente, edite /etc/nsmb.conf:

[default]
signing_required=yes
smb_neg=smb3_only

Isto força a negociação de SMB3 e rejeita o recurso a versões anteriores. Use isto num Mac corporativo ou onde não possa dar-se ao luxo de uma queda silenciosa de versão. Para os detalhes do protocolo e como verificar, veja o explicativo sobre SMB3.

Erros comuns

• Reutilizar a palavra-passe de início de sessão como palavra-passe do Time Machine. Uma fuga compromete ambas as camadas. Use palavras-passe distintas de um gestor de palavras-passe.
• Não guardar a chave de recuperação ou a palavra-passe de cifra nalgum sítio físico. Se o seu Mac morrer e a palavra-passe estava apenas no seu Keychain, o backup torna-se um peso de papel.
• Confiar em "o backup está na cloud, portanto tem de estar cifrado". Muitas ferramentas de backup na cloud cifram do lado do servidor com chaves detidas pelo fornecedor, o que significa que o fornecedor pode decifrar. Isso é significativamente mais fraco do que a cifra do lado do cliente com chaves detidas pelo utilizador. Verifique sempre o modelo de ameaças.
• Esquecer a ameaça à integridade. A cifra protege a confidencialidade, não a disponibilidade. Combine a cifra com snapshots com versões (o Time Machine faz isto) mais uma cópia offline ou fora do local. Os utilizadores de empresas em particular também devem planear em torno do ransomware.
• Pensamento de camada única. "Tenho o FileVault, estou seguro" é o erro mais comum desta lista. Releia a tabela de modelo de ameaças.

Camada bónus: VPN como invólucro do SMB

O SMB3 sobre a internet aberta funciona, mas alguns utilizadores preferem envolver também a ligação num túnel VPN. O WireGuard é a escolha moderna (rápido, pequeno, auditado); o OpenVPN é o padrão mais antigo. A VPN cifra o tráfego SMB3 outra vez com mais uma camada de chaves, o que sobretudo lhe dá defesa em profundidade e um único ponto de estrangulamento para a política de rede. Não substitui nenhuma das três camadas centrais; acrescenta uma quarta.

Para a maioria dos utilizadores numa rede doméstica ou de escritório simples, o SMB3 sozinho é suficiente. Para utilizadores em redes partilhadas, hostis ou não confiáveis (conferências, hotéis, espaços de coworking), uma VPN é uma adição que vale a pena. Comparado com soluções proprietárias de sincronização na cloud como o iCloud ou o Backblaze, o modelo de Time Machine na cloud com três camadas de cifra dá-lhe garantias mais fortes sobre quem pode ler os seus dados.

Resumo

A cifra não é um único interruptor. É uma pilha de três camadas que cooperam:

• FileVault defende contra a perda do dispositivo.
• Cifra do Time Machine defende contra o comprometimento do backup (e é o que torna um backup na cloud de facto privado).
• SMB3 defende contra a observação da rede durante a transferência.

Active as três, guarde as chaves em segurança e terá uma arquitetura de backup que resiste a atacantes realistas sem precisar de ferramentas personalizadas.