FileVaultフルディスク暗号化でTouch IDを使用することは安全ですか？
最近、iPhoneと同じように、Touch IDを含むMacbook Pro（2016年後半）を購入しました。これは非常に便利な追加ですが、これが（FileVault 2を使用した）フルディスク暗号化のセキュリティにどのように影響するのか疑問に思っています。
私の知る限り、（生体認証）指紋を暗号化/復号化キーとして直接使用することはできません（マシンの再起動後にパスワードを入力する必要がある理由を説明しています）。これは、パスワードを暗号化せずにどこかに保存する必要があることを意味します。OSXは正しい指紋をスキャンした後に「ロック解除」します。
（確かに、FileVaultの動作の詳細にもあまり詳しくないので、そこに何か足りないのかもしれません）
私は仮定マシンの電源がオンになっている間（最初にログインした後）データがロック解除されないが、このプロセスがどのように機能するかについての良い記事を見つけることができない丁度。説明したり、正しい方向に向けたりできる人はいますか？ FileVaultと組み合わせてTouch IDを有効にすると、安全性が向上しますか？
Touch IDとFilevaultは関連していません。少なくとも現在のmacOSバージョンではまだです。
Macが再起動すると、最初に暗号化されていない小さなパーティションが読み込まれ、「ディスク」（実際にはボリュームのみ）のロックを解除するためのパスワードダイアログが表示されます。キー導出関数は、パスワードから長いパスフレーズを導き出すために使用されます。これにより、オペレーティングシステムとすべてのアプリケーションおよびファイルで暗号化されたボリュームがロック解除されます。
オペレーティングシステムが起動したら、Touch IDを使用できます。 Secure Enclaveと呼ばれるiPhoneと同様の要素を使用します。これは、暗号化の課題に署名する小さなプロセッサです。システムで認証イベント（画面ロック解除など）が発生すると、指紋がエンクレーブに格納された表現と一致し、許可されます。類似点として、対称キー（パスワード）の代わりに非対称暗号化が使用されています。
Touch IDの使用が安全かどうかは脅威モデルに基づく必要がありますが、確かにそれと従来のパスワード認証には独自の利点があります。
私の答えは、ファイル暗号化システムの設計の観点からであり、実際の実装ではありません。
「（生体認証）フィンガープリントを暗号化/復号化キーとして直接使用することは不可能です---これは、パスワードが暗号化されていない場所に保存される必要があり、正しいフィンガープリントをスキャンした後にOSXが「ロック解除」することを意味します。 」
ほとんど正しい。まず、バイオメトリック認証がsimilarityによって行われるためにのみ、（現在）バイオメトリック情報を復号化キーとして使用できないと仮定することは正しいです。生体認証サンプルは常にバイナリが異なります。明日はあなたの顔さえも変化します。異なる光の下でのその姿は言うまでもありません。
暗号化キーは基本的に数字なので、verbatimを格納する必要があります。しかし、これは無防備という意味ではありません。
TPMチップは、おそらくAppleが彼らの論文で「セキュアエンクレーブ」と呼ぶ）は、生体認証復号化を使用するための最良のソリューションです。TPMは、秘密鍵を格納し、認証時に暗号化操作を実行するチップです。説明のために私が実装したFileVaultと同等の非常に簡略化されたバージョンでは、TPMがキーと指紋サンプルの両方を確実に保存する必要があります。保存されたサンプルと一致する新しいサンプルが提供され、キーがカーネルに解放されて、復号化が可能になります。
これはおそらく[〜＃〜]ではない[〜＃〜]Appleが実際にFileVault2を実行しているが、一般的な概念として説明するのは現実的で簡単です。
だからあなたの質問に答えるために、[〜＃〜]いいえ[〜＃〜]、私たちの技術によるとバイオメトリクス暗号化自体は現在不可能です暗号化標準ですが、[〜＃〜]はい[〜＃〜]の場合、生体認証は、暗号化キーであるかのように使用できます。