Je reviens dans ce fil - ayant obtenu 2 réponses précises (positives) aux questions abordées aux messages
#17 >
#19 (
bompi -
maco-
bompi) :
- a) question n°1 : l'ancien «
FileVault» est-il toujours supporté en mode
Legacy (héritage) dans l'environnement des derniers OS : «
El Capitan 10.11» & «
Sierra 10.12» ?
-
réponse :
oui. Il suffit d'activer "officiellement" «
FileVault-1» dans le dernier OS qui supportait ce type de chiffrement (celui du compte utilisateur seul) = «
Snow Léopard 10.6» > puis d'opérer les mises-à-niveau logicielles
ad hoc. C'est ce dont j'ai fait l'expérience réussie : partir d'un OS
10.6.8 installé sur une partition de disque > activer «
FileVault-1» au bénéfice de mon dossier de compte d'utilisateur
admin principal que j'appellerais ici
mezigue > opérer la mise-à-niveau directe à
10.11.6 via un installateur (même compatibilité avec
10.12).
Résultat : le panneau des
Préférences Système >
Sécurité et confidentialité --> se trouve implémenté d'un nouveau menu imagé ici :
Comme on peut le voir > c'est le menu appelé : «
Ancien FileVault ». Il faut noter que le chiffrement du dossier de compte de l'utilisateur dans une image-disque protégée de type
sparsebundle > est entièrement compatible avec le chiffrement «
FileVault-2» de la partition complète de l'OS. On obtient alors une sécurité à 2 crans : verrouillage du
Volume Logique de l'OS entier > verrouillage du volume recelant le dossier d'utilisateur dans l'image-disque chiffrée.
=> le mot-de-passe de déverrouillage :
a) du
Volume Logique de l'OS >
b) du volume de l'image-disque
sparsebundle = le
même = celui d'ouverture de session de l'utilisateur - mot-de-passe sur lequel sont synchronisés les mots-de-passe de déverrouillage à l'ouverture de session du
Trousseau de session et du
Trousseau des Éléments locaux.
=> un maniaque de la sécurité qui activerait en sus le mot-de-passe de l'
EFI verrouillant le démarrage sur tout Système alternatif de celui de l'OS du disque interne > disposerait d'un Mac totalement blindé > à la hauteur de la difficulté de trouver le mot-de-passe de déverrouillage.
--------------------
- b) question n°2 : quelqu'un qui n'a pas la possibilité de repartir d'un chiffrement «
FileVault-1» dans un environnement «
Snow Léopard 10.6» > peut-il à partir d'un OS dernier cri (
10.11 ou
10.12) imiter manuellement le mode de chiffrement du dossier de compte dans une image
sparsebundle ?
-
réponse :
oui. Je confirme par là (expérimentation victorieuse) le canevas dessiné par
bompi dans son dernier message > avec l'avancée spécifique suivante : il est possible d'implémenter une
ouverture de session directe par montage de l'image-disque chiffrée (en échange d'un mot-de-passe d'ouverture de session) à l'écran du
LoginWindow - avec pour conséquence de faire croire au Système que l'«
Ancien FileVault » est activé en mode
héritage. Ce que prouve le panneau
Sécurité & confidentialité des
Préférences Système > désormais adorné du menu supplémentaire «
Ancien FileVault » comme si cette option avait été reçue à partir d'un OS «
Snow Léopard» de départ.
Voici le descriptif du procédé :
--> je suppose que l'utilisateur
mezigue est l'
admin principal (
501) avec un dossier de compte bien fourni en données > réglages etc. Afin de manœuvrer à l'aise > je crée un utilisateur
admin secondaire intitulé
brol (mot-de-passe :
brol).
- 1° loggé dans la session de
mezigue >
- j'utilise bêtement l'«
Utilitaire de Disque» (plutôt que de m'embêter avec
hdiutil) et je demande la création d'une
nouvelle image-disque vide de type
sparsebundle imposante (
1 To - qui ne pèsera à vide qu'une tare de
200 Mo - attention ! se souvenir que dans l'«
Utilitaire de Disque» bogué d'«
El Capitan» il faut demander les tailles en multiples du
byte =
B et pas de l'
octet =
o comme invite à le croire l'exemple affiché --> ici
1 To se demande comme :
1 TB) avec les détails suivants :
-- Enregistrer sous : mezigue.sparsebundle (attention ! c'est l'intitulé du disque virtuel) ;
-- Nom : mezigue (attention ! c'est l'intitulé du volume qui monte du disque virtuel)
-- Chiffrement : Chiffrement AES 128 bits (recommandé)
-- mot-de-passe : attention ! strictement le même que celui de l'ouverture de session mezigue (ne pas créer de divergences !).
-- Partition unique : table de partition GUID
-- Format : OS X étendu (journalisé)
=> emplacement de la création : attention !
pas dans le dossier de compte de
mezigue. Espace-racine de l'OS etc. où l'on veut > mais pas dans le dossier de compte.
- le volume
mezigue se retrouve monté à partir de l'image-disque. Par la commande dans le «
Terminal» :
Bloc de code:
sudo rsync -av /Users/mezigue/* /Volumes/mezigue
je copie tous les fichiers de mon dossier de compte
mezigue des
/Users dans le volume
mezigue.
- une fois l'opération complétée > par acquit de conscience > je passe la commande :
Bloc de code:
sudo chown -R mezigue /Volumes/mezigue/*
histoire d'être sûr que
mezigue est bien l'user-propriétaire récursif du bazar.
- et pour visser > je fais un
⌘I dans le
Finder sur le volume monté
mezigue de l'image-disque > je déverrouille le cadenas d'administration en bas de la fenêtre d'info > je
décoche la case : "
Ignorer les autorisations sur le volume" => ainsi : seul
mezigue a accès au volume de l'image-disque une fois montée.
----------
- 2° Je me délogge de la session
mezigue > je me logge dans la session
brol -->
- par la commande :
Bloc de code:
sudo mkdir /Users/mezigue-old
je crée dans les
Utilisateurs un dossier vide
mezigue-old.
- par la commande :
Bloc de code:
sudo cp -av /Users/mezigue/* /Users/mezigue-old
je clone le contenu du dossier de compte
mezigue dans
mezigue-old (par précaution). S'il y avait énormément de données > cloner dans un volume externe.
- par la commande :
Bloc de code:
sudo rm -rf /Users/mezigue/*
je vide le dossier de compte original
mezigue de ses éléments.
- par la commande :
Bloc de code:
sudo mv [PATH]mezigue.sparsebundle /Users/mezigue
(où
[PATH] est le chemin à l'emplacement où j'ai créé mon image-disque
mezigue.sparsebundle hors dossier de compte
mezigue - sinon elle aurait été supprimée par la commande ci-dessus) je déplace
mezigue.sparsebundle dans le dossier de compte vidé
mezigue.
- par la commande :
Bloc de code:
sudo chmod -R +a "mezigue allow list,search,read" /private/var/db/dslocal/nodes/Default
je crée l'
ACE d'
ACL sur le dossier verrouillé en autorisations
Default qui me permettront d'y accéder pour lire les éléments contenus.
- par la commande :
Bloc de code:
sudo open /private/var/db/dslocal/nodes/Default/users
je demande l'ouverture dans une fenêtre du
Finder du sous-dossier
users de
Default qui sert de base de données des cartes d'identités d'utilisateurs pour l'
Open Directory.
- par un "
ouvrir avec TextWrangler" > j'ouvre mon fichier carte d'identité d'utilisateur (non connecté à ce moment) :
mezigue.plist dans «
TextWrangler». Je repère la paire clé > chaîne encadrée dans un tableau (en général > avant le descriptif du
jpegphoto du fond d'écran du Bureau de session) qui indique le chemin au répertoire de départ de session de l'utilisateur :
Bloc de code:
<key>home</key>
<array>
<string>/Users/mezigue</string>
</array>
avec «
TextWrangler» > je fais sauter une ligne juste après le
</array> cité en dernier (attention ! du doigté ! la moindre erreur de syntaxe va ficher en l'air la lisibilité du fichier par le Système - si l'on n'est pa sûr de soi > faire une copie préalable du fichier original > pour pouvoir le remettre
okazou) > et je fais un copier-coller de l'implémentation suivante :
Bloc de code:
<key>home_loc</key>
<array>
<string><home_dir><url>file://localhost/Users/mezigue/mezigue.sparsebundle</url></home_dir></string>
</array>
(attention ! tapis roulant horizontal)
--> implémentation qui instruit le sous-chemin
{HOME_DIRECTORY} de
mezigue au volume à monter de l'image-disque
mezigue.sparsebundle dans le dossier
mezigue des
/Users --> j'obtiens la séquence suivante dans le fichier
mezigue.plist :
Bloc de code:
<key>home</key>
<array>
<string>/Users/mezigue</string>
</array>
<key>home_loc</key>
<array>
<string><home_dir><url>file://localhost/Users/mezigue/mezigue.sparsebundle</url></home_dir></string>
</array>
(attention ! tapis roulant horizontal)
=> je sauvegarde mon édition du fichier
mezigue.plist.
----------
Superbe d'audace > je me délogge de la session
brol et je me logge dans la session
mezigue.
Si je n'ai pas commis d'impair d'inattention dans la suite de mes petites manipulations > le renseignement de mon mot-de-passe de session
mezigue à l'écran du
LoginWindow sert de
clé de déverrouillage de l'image-disque mezigue.sparsebundle dont le volume
mezigue se trouve monté > et la session de l'utilisateur
mezigue s'ouvre d'après les contenus de ce volume monté. Si je n'ai donc pas erré dans le détail des opérations > il n'y a pas de blême : le Bureau de session s'affiche à l'identique de mon ancien > aucun des trousseaux ne bronche et tout est là.
Si je vais au panneau des
Préférences Système >
Sécurité et confidentialité > j'ai la satisfaction de voir qu'un nouveau menu : «
Ancien FileVault » est disponible > signe que le Système a été bluffé par le jeu de ces manipulations et croit héberger un utilisateur en mode
héritage de «
FileVault-1»
--------------------
