FileVault: la guida completa alla crittografia del Mac

FileVault è la funzione che cripta l'intero disco di avvio del Mac, così che nessuno possa leggere i tuoi file senza la tua password di accesso. Non è un antivirus e non impedisce da solo un attacco online: protegge i dati se qualcuno mette le mani fisicamente sul tuo Mac — un furto, uno smarrimento, un Mac lasciato incustodito — perché senza la password giusta il disco resta illeggibile. In questa guida vedi cosa fa davvero, chi dovrebbe attivarlo, i passaggi per farlo in sicurezza, e soprattutto perché la chiave di ripristino richiede un'attenzione che nessun altro passaggio di questo sito richiede allo stesso modo: perderla insieme alla password significa perdere i dati per sempre, senza eccezioni.

Come funziona la crittografia di FileVault

Come spiega Apple, su Mac con chip Apple silicon o chip di sicurezza T2 i dati sono già crittografati automaticamente, in ogni momento: FileVault in questo caso aggiunge "un ulteriore livello di sicurezza", legando l'accesso ai dati alla tua password di login invece che lasciarli leggibili a chiunque acceda al Mac già acceso. Su Mac più vecchi, senza questi chip, i dati non sono crittografati di default: attivare FileVault è l'unico modo per proteggerli davvero.

Dal punto di vista tecnico, la guida alla sicurezza della piattaforma Apple descrive un sistema a più livelli: FileVault usa l'algoritmo di crittografia AES-XTS per proteggere l'intero volume, con una chiave di crittografia del volume "avvolta" da una chiave derivata dalla password e da una chiave hardware unica del dispositivo. Su Mac con Apple silicon o chip T2, tutta la gestione di queste chiavi avviene all'interno del Secure Enclave, un'area di sicurezza dedicata: le chiavi di crittografia non sono mai esposte direttamente al resto del sistema. È proprio questa architettura hardware a rendere FileVault, su questi Mac, un'aggiunta quasi impercettibile rispetto a un disco già crittografato di fabbrica.

Un dettaglio pratico da tenere presente: quando FileVault è attivo, macOS richiede la password anche quando il Mac si riattiva dallo stato di riposo o dopo lo schermo salvaschermo, non solo all'avvio — secondo Apple.

A chi serve davvero FileVault

Non è una funzione per soli professionisti IT. Apple stessa la consiglia esplicitamente a chi "porta con sé dati sensibili" sul proprio Mac portatile — dati finanziari, informazioni di clienti, documenti riservati — ma il ragionamento vale per chiunque abbia un MacBook che esce di casa: notebook, valigie, tavoli di bar e uffici condivisi sono i posti dove un Mac si perde o viene rubato più facilmente di un Mac fisso che resta sempre nella stessa stanza. Anche su un iMac o un Mac mini che non si sposta mai, FileVault resta comunque una protezione sensata se più persone hanno accesso fisico a quello spazio.

9to5Mac descrive FileVault come "la cosa più importante" da attivare quando si distribuisce macOS in un contesto aziendale, proprio perché protegge i dati anche quando il dispositivo viene perso o rubato: un principio che vale allo stesso modo per un singolo utente privato, non solo per un'azienda con centinaia di Mac da gestire.

Prima di attivare FileVault

Per attivare FileVault serve un account amministratore sul Mac.

Come attivare FileVault, passo per passo

1. Apri il menu Apple, poi Impostazioni di Sistema.
2. Fai clic su "Privacy e Sicurezza" nella barra laterale.
3. Scorri fino a trovare FileVault e fai clic.
4. Fai clic su "Attiva FileVault". Potrebbe esserti chiesta la password di amministratore.
5. Scegli come vuoi poter sbloccare il disco in futuro se dovessi dimenticare la password:
   • "Account e password iCloud" — comoda se usi già iCloud: potrai reimpostare la password con le tue credenziali iCloud, senza dover conservare una chiave separata.
   • "Chiave di recupero" — Apple la descrive così: "la chiave è una stringa di lettere e numeri creata per te". Per scegliere questa opzione invece dell'account iCloud, seleziona "Crea una chiave di recupero e non utilizzare il mio account iCloud".
6. Fai clic su "Continua".
7. Se sul Mac ci sono altri utenti e compare un pulsante "Abilita utenti", devi autorizzarli uno per uno prima che possano sbloccare il disco crittografato con la propria password: fai clic su "Abilita utenti", seleziona un utente, inserisci la sua password di login, fai clic su OK, poi su Continua.

Se hai scelto la chiave di recupero, macOS te la mostra a schermo in questo momento: è l'unica occasione in cui la vedi per intero senza dover passare da altre schermate. Copiala subito in un posto sicuro, prima di chiudere quella finestra — non aspettare "più tardi".

La crittografia del disco prosegue in background dopo questi passaggi: puoi continuare a usare il Mac normalmente mentre il processo va avanti, anche se su Mac più vecchi senza chip T2 potresti notare un rallentamento temporaneo finché non è completo.

La chiave di ripristino: come custodirla

Apple è molto diretta su questo punto: "non tenere la chiave di recupero sul Mac, dove può essere scoperta da altri". La chiave va conservata "in un luogo diverso dal disco di avvio crittografato" — un password manager, una nota scritta a mano in un posto sicuro, una cassaforte: qualsiasi soluzione va bene, purché non sia un file sullo stesso Mac che quella chiave dovrebbe sbloccare.

Un consiglio pratico che arriva da Macworld: conserva la chiave in modo da poterla recuperare anche se il Mac non si avvia più, ed è una buona abitudine controllare ogni tanto — per esempio una volta ogni pochi mesi — di avere ancora accesso al posto dove l'hai salvata. Se dovessi accorgerti di averla persa mentre il Mac funziona ancora normalmente, la stessa fonte segnala che disattivare e poi riattivare FileVault genera una chiave completamente nuova: è un modo per "resettare" la situazione finché hai ancora accesso al Mac, ma non è un rimedio se hai già perso anche la password.

Se il tuo Mac è gestito da un datore di lavoro, una scuola o un'altra organizzazione, potresti vedere un messaggio che indica che è l'amministratore dell'organizzazione ad aver creato la chiave di recupero per quel Mac: in quel caso, se dimentichi la password devi rivolgerti a lui, non a te stesso, per sbloccare il disco.

FileVault e Time Machine: due protezioni diverse, non la stessa cosa

È facile confondersi, ma FileVault e la crittografia dei backup sono due cose separate che proteggono momenti diversi. FileVault cripta il disco di avvio del Mac — i dati mentre sono ancora sul Mac. Il backup che fai con Time Machine finisce invece su un disco esterno, e quel disco ha una propria opzione di crittografia indipendente, con una password propria che si imposta separatamente quando configuri il disco di backup: attivare FileVault sul Mac non crittografa automaticamente anche il disco di Time Machine, e viceversa.

Questa distinzione conta perché il rischio è diverso nei due casi. Apple lo spiega bene a proposito dei dischi di backup: se il disco esterno con il backup Time Machine non è crittografato, "chiunque conosca le password può accedere a tutti i dati del backup su disco" nel caso di un disco di rete, oppure — per un disco locale collegato via cavo — chiunque ne entri fisicamente in possesso può leggerne il contenuto liberamente. Un Mac con FileVault attivo ma un disco di backup Time Machine lasciato senza crittografia lascia comunque un punto debole: chi ruba quel disco, non il Mac, accede comunque a una copia recente di tutti i tuoi file. Per essere protetto davvero conviene attivare entrambe le crittografie, non una sola.

FileVault rallenta il Mac?

Sui Mac con chip Apple silicon o T2 — quindi praticamente tutti i modelli venduti negli ultimi anni — l'impatto è minimo o impercettibile nell'uso quotidiano. Il motivo è l'architettura descritta più sopra: su questi Mac, secondo la guida alla sicurezza di Apple, il disco è già crittografato di fabbrica con una chiave hardware anche senza FileVault attivo, e tutta la gestione delle chiavi avviene in un'area dedicata (il Secure Enclave) con un motore di crittografia integrato nel chip: attivare FileVault, a livello di prestazioni, aggiunge poco oltre a quello che il Mac fa già di default. Su Mac Intel senza chip T2, dove la crittografia non è integrata nell'hardware allo stesso modo, l'effetto sulle prestazioni — soprattutto in scrittura, durante la fase iniziale di crittografia del disco — è più percepibile, anche se resta comunque un compromesso ragionevole rispetto al rischio che copre.

Come disattivare FileVault, se necessario

Se in futuro vuoi tornare indietro, i passaggi indicati da Apple sono simmetrici a quelli di attivazione:

1. Menu Apple › Impostazioni di Sistema.
2. Fai clic su "Privacy e Sicurezza" nella barra laterale, poi su FileVault.
3. Fai clic su "Disattiva FileVault".
4. Fai clic su "Disattiva crittografia".

Disattivare FileVault rimuove quel livello di protezione extra: il Mac impiega poi del tempo a decifrare tutto il disco, un processo che continua in background e la cui durata dipende da quanti dati contiene il disco. Puoi continuare a usare il Mac nel frattempo.

Errori comuni da evitare

• Attivare FileVault senza aver prima deciso dove conservare la chiave di ripristino, rimandando la scelta "a dopo": è il momento in cui la copi a schermo, non dopo.
• Salvare la chiave di ripristino in un file di testo sullo stesso Mac che dovrebbe proteggere: se qualcuno ruba il Mac acceso o sblocca comunque l'account, trova anche la chiave.
• Pensare che FileVault e la crittografia del backup Time Machine siano la stessa protezione: sono due impostazioni separate, vedi la sezione sopra.
• Attivare FileVault senza un backup recente già fatto: è un'operazione a basso rischio in sé, ma conviene comunque partire da una rete di sicurezza vera prima di qualsiasi modifica che tocchi l'accesso ai tuoi dati.
• Aspettare di aver già dimenticato la password per preoccuparsi della chiave di ripristino: a quel punto, se anche la chiave è persa, non c'è più nulla da fare.

Se non sei sicuro di quale opzione di sblocco scegliere, o vuoi essere seguito passo passo nella configurazione della sicurezza del tuo Mac, la pagina consulenza Mac spiega come funziona un intervento mirato.