Désactiver filevault

[Membre supprimé 1060554]

Salut Greewuuw.

Lorsque le chiffrement «FileVault-2» du volume de l'OS se retrouve à l'état de stase, s'il y a bien quelques bidouilles qui très occasionnellement parviennent à débloquer la situation ; aucune méthode capable de déclencher nécessairement la relance du processus jusqu'à complétion n'existe. D'où la préconisation donnée dans ce fil par fredoshhh de procéder carrément à une ré-installation de l'OS, en utilisant la fonctionnalité disponible pour ce faire de la partition de récupération «Recovery HD» qui, lors de l'installation de l'OS, se crée sur une partition connexe invisible du disque du Mac.

Je pense que le conseil est bon, mais sa mise en œuvre appelle 2 remarques :

1. Même si le chiffrement des données du volume de l'OS (par le programme fdesetup piloté par «FileVault-2») n'est pas parvenu à son terme, la clé de déchiffrement dont l'activation seule permet le montage du volume (et par là le démarrage de l'OS) est déjà opératoire : à l'extinction du Mac, le volume est démonté et rechiffré pour le % actuellement complété, ce qui le verrouille en totalité ; au re-démarrage du Mac, le volume ne monte que si la clé de déchiffrement, quand bien même n'opérant que pour ce % de données actuellement chiffrées, est effectivement activée pour déverrouiller le volume. C'est la saisie du mot-de-passe de l'utilisateur, authentifié pour ce faire lors du lancement de «FileVault-2», qui active la clé de déchiffrement en question et qui permet au volume de l'OS de monter, et par suite de démarrer.
   
   Lorsque tu vas démarrer sur le volume-Système distinct de la «Recovery HD», le volume de l'OS va se trouver à l'état non-monté, puisque aucune saisie du mot-de-passe d'utilisateur n'a activé la clé de déchiffrement dont l'action seule permet de le monter --> ce volume, non monté, est donc inaccessible en l'état pour la moindre ré-installation que ce soit --> il va donc falloir, une fois démarré sur la «Recovery HD», commencer par forcer à monter le volume d'OSX partiellement chiffré mais totalement verrouillé de ce chef.
   
   
2. Le conseil a été donné précédemment, dans ce fil, de sauvegarder les données du volume de l'OS en préalable à la ré-installation. La raison de ce conseil me paraît sujette à équivoque - d'après ce qui est dit brièvement. En effet, il est déclaré qu'après ré-installation de l'OS, il faudrait ré-importer de la sauvegarde (clone ou Time-Machine) les données d'utilisateur comme s'il s'était agi d'une Clean Install - laquelle implique le reformatage complet du volume de l'OS et donc la perte des données. Comme il n'est jamais fait allusion à une telle procédure radicale (effaçage du volume avant Clean Install), je me demande si la fonctionnalité proposée par la «Recovery HD» intitulée : Ré-Installer OS X n'a pas été indûment confondue avec une Clean Install - alors que par défaut c'est tout le contraire d'en être une.
   
   En effet, ce que propose cette fonctionnalité, c'est le téléchargement des Packages .pkg d'installation de la même exacte version que celle actuellement en place sur le volume de l'OS, ce qui implique la capacité d'une "sur_installation" se bornant par défaut à ré-écrire totalement les fichiers-Système de l'OS avec conservation des comptes et données d'utilisateur - le contraire donc d'une Clean Install.
   
   La question qui se pose alors est une question de méthode : est-il obligatoire, dès lors qu'on a affaire à un volume de l'OS chiffré seulement dans un % incomplet de ses données, d'effacer ce volume pour faire table rase avant d'opérer une Clean Install, ce qui implique ensuite de récupérer les données depuis une sauvegarde? - Je ne le pense absolument pas, pour la raison suivante : une fois que le volume de l'OS est monté par activation de la clé de déchiffrement au démarrage, l'ensemble du filesystem concerné se trouve monté à l'état intégralement déchiffré, quand bien même un protocole de poursuite du chiffrement serait en suspens --> l'opération de chiffrement, lorsqu'elle est en cours, décrit dans quel état va se retrouver un Système de fichiers déchiffré en acte, uniquement lorsqu'il va y avoir démontage du volume - et jamais pendant que le volume est monté. Ce qui explique qu'on puisse utiliser l'OS démarré pendant qu'un chiffrement est en cours (même si c'est susceptible de ralentir le protocole définissant le mode de transformation au démontage).
   
   Par voie de conséquence logique, le conseil d'établir une sauvegarde au préalable ne peut qu'être un conseil de prudence (il arrive toujours des accidents informatiques) - ce n'est absolument pas une condition nécessaire de la Ré-Installation, car celle-ci ne requiert pas d'effacement du volume de l'OS au préalable --> dès lors que le volume d'OSX est monté, et donc adressable, ses données ipso facto sont dans l'état actuel : déchiffré (que le processus global de «FileVault-2» soit ou non complété), puisque la clé de déchiffrement a été activée --> il est donc possible de faire ré-écrire les fichiers-Système comme si rien ne s'était passé, ce qui implique, dès lors qu'on ne réactive pas «FileVault-2» en fin d'installation dans le panneau d'utilisateur, que l'ensemble du protocole de chiffrement a été effacé avec cette ré-écriture et le programme fdesetup désactivé (C.Q.F.D).

♤​

☞ À toi donc de voir si, par prudence préalable, tu fais une sauvegarde de tes données (TimeMachine ou clone. Cela fait -->

-a) Tu démarres sur la «Recovery HD» en tenant pressées les touches ⌘R jusqu'à l'affichage du logo . Tu es accueilli par un environnement offrant un panneau central intitulé : Utilitaires OS X.

-b) Sélectionne d'abord l'«Utilitaire de Disque» et lance-le. Dans la colonne de gauche de sa fenêtre, tu devrais aviser l'intitulé en double : Macintosh HD, le 1er attenant à la marge en corps de police plein : Macintosh HD ; le 2è en alinéa de la marge et en grisé : Macintosh HD --> cette redondance est due au format CoreStorage requis par le chiffrement «FileVault-2» --> ne t'occupe que du Macintosh HD en grisé : c'est le volume de ton OS, grisé car non-monté parce que verrouillé par le chiffrement (même à un % incomplet) --> sélectionne ce Macintosh HD ce qui fait apparaître dans la petite barre de menus supérieure le bouton : Déverrouiller --> tu presses ce bouton, et un panneau surgissant te demande de renseigner ton mot-de-passe d'utilisateur pour ce faire --> tu obtempères (exactement comme quand tu démarres ton OS), ce qui active la clé de déchiffrement et le volume vire à un intitulé plein : Macintosh HD signe qu'il est monté et le Système de fichiers déchiffré.

-c) Quitte l'«Utilitaire de Disque» et lance la fonctionnalité : Ré-Installer OS X --> les Packages .pkg d'installation du «Yosemite» synchrone de celui de ton disque vont être téléchargés depuis les serveurs Apple (connexion Wi-Fi requise. Patience : +5 Go comprimé, au moins 2H) --> à la fin, le programme d'installation va enclencher la ré-installation de l'OS de ton disque (environ 20'), suite à quoi tu devrais pouvoir re-démarrer et rentrer dans ta session en n'y voyant que du feu (sauf que «FileVault-2« aura été désactivé).

<NB. Le problème serait si tu ne pouvais pas monter le volume de ton OS depuis l'«Utilitaire de Disque»>​

♧​

 

[fredoshhh]

Merci @macomaniac pour toutes ces précisions techniques extrêmement intéressantes et enrichissantes.
Juste une précision, je passe par la suppression de la partition et sa recréation, donc la perte de toutes les données présentes. c'est pour cela que je préconise la sauvegarde des données.

Sinon ta méthode doit effectivement être correcte et évite une restauration des données.

 

[Greewuuw]

Le chiffrement est terminé ... Et tout fonctionne parfaitement ! C'est niquel, je suis content, je n'ai finalement rien perdu, si ce n'est mon temps
Merci beaucoup €

 

[fredoshhh]

Content pour toi ^^

 

[Membre supprimé 1060554]

@ fredoshhh.

Je pensais bien que tu avais effacé ta partition au préalable. Ainsi fait, c'est à 100% garanti.

--------------------​

Greewuuw écrit: Le chiffrement est terminé ... Et tout fonctionne parfaitement !

Eh bien! tu es verni. Tu sais ce que je m'empresserais de faire, à ta place? - désactiver «FileVault» ! Tu serais débarrassé en prime, à l'arrivée, du format CoreStorage greffé sur la partition principale de ton disque...

 

[Le docteur]

Je me greffe sur ce fil pour poser quelques questions.
- FileVault 2 ralentit-il à ce point un MBP ? On lit parfois que c'est imperceptible et parfois (ici) que c'est une catastrophe.
- Macomaniac ma déjà aidé à remettre ma partition recovery dans un état plus classique (suite à une installation de Yosemite ou à une sortie d'usine tel quel), si j'enclenche FileVault, je vais donc me retrouver avec de nouveau avec une partition cachée invisible aux yeux de CCC, ce qui risque de me compliquer la tâche en cas de réinstallation, voire me rendre impossible le clonage (peut-on seulement cloner un disque crypté?).
- les histoires de corruptions de données, ça fout un peu les jetons tout de même
- ça a l'air de prendre un temps fou, dans un sens comme dans l'autre (et apparemment quand on a déclenché le processus, faut aller jusqu'au bout).

Ca me tenterais bien parce que je fonctionne avec un portable comme ordinateur principal et je le promène un peu partout. Mais toutes ces considérations me chagrine un peu : je préfère garder la double sécurité TM et CCC, en particulier.

 

[FrançoisMacG]

- FileVault 2 ralentit-il à ce point un MBP ? On lit parfois que c'est imperceptible et parfois (ici) que c'est une catastrophe..

FileVault est réputé imperceptible lors de son fonctionnement (= quand il est activé complètement).
Ici, on a parlé de catastrophes lors du chiffrage (= avant qu'il ne puisse fonctionner).

- les histoires de corruptions de données, ça fout un peu les jetons tout de même (…) : je préfère garder la double sécurité TM et CCC, en particulier.

Tu te réponds à toi-même : tu as des sauvegardes (non chiffrées, je suppose !) pour rattraper le coup s'il le faut.

- ça a l'air de prendre un temps fou, dans un sens comme dans l'autre (et apparemment quand on a déclenché le processus, faut aller jusqu'au bout).

30 minutes pour 110 Go sur mon MBP (Retina 2014 15" quand même…).
Les pires chiffres que j'ai pu voir à propos de FileVault étaient de 24 heures pour 1 To (pour des disques externes, sous Lion).

si j'enclenche FileVault, je vais donc me retrouver avec de nouveau avec une partition cachée invisible aux yeux de CCC, ce qui risque de me compliquer la tâche en cas de réinstallation, voire me rendre impossible le clonage (peut-on seulement cloner un disque crypté?)

Logiquement, CCC doit savoir cloner un Mac chiffré par FileVault. Et il doit savoir restaurer seulement Macintosh HD sur un Mac chiffré.
Mais je n'ai pas de certitude.

Tout ce que j'ai trouvé sur le site de CCC est l'invitation à chiffrer le clone après avoir redémarré dessus.
Ce qui n'est pas le sujet du fil, ni de ta question !

 

[Le docteur]

J'ai peur que le SSD du Retina soit responsable. J'avais testé sur un système à peine installé et au bout d'une heure eu moins ça moulinait encore, et apparemment pour longtemps (j'ai un disque dur classique).

 

[Membre supprimé 1060554]

si j'enclenche FileVault, je vais donc me retrouver avec de nouveau avec une partition cachée invisible aux yeux de CCC, ce qui risque de me compliquer la tâche en cas de réinstallation, voire me rendre impossible le clonage (peut-on seulement cloner un disque crypté?)

Logiquement, CCC doit savoir cloner un Mac chiffré par FileVault. Et il doit savoir restaurer seulement Macintosh HD sur un Mac chiffré.
Mais je n'ai pas de certitude.

J'ai vérifié expérimentalement ce matin une paire de conjectures que j'avais formées à ce sujet -->​

Expérience : dans mon OS «Yosemite 10.10.2», j'ai pris soin de supprimer, at : /Library/Application Support/com.bombich.ccc, le disque-virtuel : BaseSystem.dmg qui est l'archive de la «Recovery HD» qu'avait créée «CCC» en préalable de mes clonages réguliers antérieurs sur un DDE dédié ; puis j'ai chiffré par «FileVault-2» le volume de mon OS «Yosemite 10.10.2» ; enfin, j'ai demandé à «CCC» de cloner le volume de ce «Yosemite» où «FileVault» est activé sur le volume "innocent" d'un autre DDE.​

Constat : le clonage s'effectue aussi régulièrement que pour le volume d'un OS sans «FileVault-2» activé ; le clone n'est pas chiffré (en démarrant sur lui, j'ai vérifié que «FileVault-2» n'est pas activé) ; un disque-virtuel : BaseSystem.dmg copie de celui de la «Recovery HD» est re-créé préalablement at: /Library/Application Support/com.bombich.ccc de l'OS "source" ; par voie de conséquence, une copie de ce disque-virtuel : BaseSystem.dmg se trouve clonée à l'adresse miroir dans l'OS du clone ; une partition de récupération «Recovery HD» se trouve créée sur un petit volume annexe de celui du clone, sur le DDE de destination.​

♤

Mes conjectures étaient les suivantes :
​

- a) lorsque le volume d'un OS est chiffré par «FileVault-2», ce protocole n'affecte le dispositif des écritures du filesystem qu'en mode : volume non monté. L'activation (par le mot de passe d'utilisateur authentifié pour ce faire) de la clé de déchiffrement ré-agrège les "bandes d'écritures" dispersées du filesystem et, à la condition sine qua non de la réussite de ce procédé, le volume monte --> dès que le volume de l'OS est donc monté, il est par conséquent aussi peu chiffré qu'un volume standard--> le clone d'un volume monté est donc toujours un volume standard (qu'une clé de déchiffrement préside ou non à la re-composition des écritures du filesystem avant le montage de ce volume).

- b) le chiffrement «FileVault-2» implique le greffon sur la partition concernée de l'OS d'un Groupe de Volumes Logiques : CoreStorage, qui confère au volume en question le statut de Volume Logique. Mais le format des écritures à ce volume demeure le format standard : jhfs+, ce qui se répercute donc le clone d'un tel volume, qui importe les écritures de l'OS dans ce format sans CoreStorage --> le clone d'un volume dépendant d'un chiffrement «FileVault-2» et par la même occasion solidaire d'une structure Groupe de Volumes Logiques : CoreStorage, est par conséquent un volume absolument standard : sans chiffrement et sans CoreStorage.

- c) L'existence d'un format CoreStorage sur la partition /dev/disk0s2 d'un OS - qu'il y ait chiffrement ou qu'il s'agisse d'un CoreStorage sans chiffrement - dans les 2 cas, "fait de l'ombre" à la petite partition annexe de la «Recovery HD» en /dev/disk0s3. Ce qui ne signifie qu'une chose : le disque de cette partition de récupération ne peut plus être affiché à l'écran de choix du disque de démarrage appelé par la touche d'option 'alt' au démarrage --> il n'est alors plus possible de démarrer sur le «Recovery HD» que par la seule combinaison : ⌘R au démarrage. Ce qu'il faut savoir, sous peine d'imaginer que la «Recovery HD» a disparu, parce qu'elle n'apparaît plus à l'écran de choix du disque de démarrage --> simple illusion d'optique : la «Recovery HD» existe toujours, mais son mode d'accès est restreint.
​

♧
​

☞ mon expérimentation avec «CCC» ce matin me paraît avoir confirmé ces conjectures : le clonage du volume monté d'un OS est indifférent au protocole de déchiffrement éventuel qui permet de le monter au préalable, car tout volume monté est un volume déchiffré ; il est également indifférent au dispostif CoreStorage dont ce volume est solidaire en tant que Volume Logique, car cette dépendance structurale ne change rien au format strict des écritures à ce volume qui reste le standard jhfs+ ; il est finalement indifférent au masquage de la «Recovery HD», «CCC» n'ayant aucun mal par une commande diskutil mount /dev/disk0s3 de faire monter le volume (non monté par défaut) de la «Recovery HD» pour en copier le disque virtuel BaseSystem.dmg dans le dossier d'archivage /Library/Application Support/com.bombich.ccc de l'OS "source", avant de re-démonter ce volume - à partir de quoi, la messe est dite : «CCC» importe cette archive dans le clone à l'emplacement miroir, et peut grâce à elle, soit créer une «Recovery HD» sur le DDE en annexe du volume du clone ; soit re-créer une «Recovery HD» sur le disque interne du Mac, en cas de rétro-clonage suivant une ré-initialisation de ce disque.​

♡​

 

[Le docteur]

J'attaque la conjecture a tout a l'heure.

 

[Le docteur]

Mauvaise méthode. En fait je lis tout d'une traite et je relise après.
A ce stade je me pose déjà une question stupide. Que se passerait- il si on clonait depuis un autre disque bêtes un troisième disque?

 

[Le docteur]

Bon. J'ai testé pendant quelques semaines Filevault 2.
Au début j'étais très content d'avoir un système sécurisé. J'avoue que ça me rassurait pas mal.
Mais au final quelques petites choses me chagrinent.

1. Il faut bien avouer que franchement, ça doit ralentir le système. J'ai refait un test sans Filevault pendant les vacances. J'ai même réinstallé un 10.10.3 tout neuf, laissé Filevault quelques temps et un sentiment désagréable subsiste : celui d'avoir une machine qui rame davantage que son ancêtre 4 ans plus vieux sans FileVault (mon mid-2012 me semblait limite moins réactif que mon late 2008 alors que franchement la machine a évolué). Depuis que je l'ai enlevé pour revoir je retrouve un truc super fluide alors que j'avais régulièrement des applications qui mettaient pas mal de temps à sortir ou semblait se "bloquer" un peu avant de sortir (même si elles étaient lancées). Pénible.

2. Je fais un peu la gueule sur les options de verrouillage d'Apple que je trouve complètement con, et ça me gâche le sentiment de sécurité apporté par FileVault. Comme je l'ai déjà dit ailleurs, en effet on n'a aucune option pour à la fois avoir une machine qui ne verrouille pas l'écran toutes les 30 secondes ET le verrouille systématiquement à la fermeture du capot du MacBook. C'est tellement idiot que je ne comprends pas comment Apple a pu faire une erreur pareille. Je veux bien qu'on puisse se faire tirer une machine pendant qu'elle est ouverte, mais le plus courant ça doit être fermée. Personnellement c'est le second cas de figure qui me paraît le plus viable, mais Apple doit considérer qu'il faut privilégier les vols en terrasse de café, bon...

 

[FrançoisMacG]

on n'a aucune option pour à la fois avoir une machine qui ne verrouille pas l'écran toutes les 30 secondes ET le verrouille systématiquement à la fermeture du capot du MacBook.

J'ai affiché le cadenas de Trousseaux d'accès dans ma barre des menus, et un simple clic dedans permet de Verrouiller l'écran avant de fermer le capot.
Certes, ce n'est pas automatique, mais c'est instantané.

 

[Le docteur]

Oui, c’est la seule solution que j’ai trouvée. Malheureusement, on ne peut pas dire que ce soit devenu un réflexe.

 

[Le docteur]

Autre truc chiant que j'avais avec FV et que je n'ai plus : tous les dossiers disparaissaient dans iCloud Drive (sauf UN fichier texte)