Si vous utilisez un lecteur de disque externe avec OS X, vous remarquerez peut-être que, une fois monté, il sera disponible pour tous les utilisateurs du système. Par conséquent, si vous avez des fichiers que vous avez enregistrés sur un lecteur USB et que vous le connectez à votre système et que vous changez de compte d'utilisateur, ces fichiers seront visibles dans le second compte.

De plus, si le partage de fichiers en réseau est activé, les fichiers de ce lecteur seront accessibles à tout utilisateur qui se connectera via le réseau.

Ce comportement peut sembler un peu préoccupant, en particulier pour ceux qui ont configuré le chiffrement sur des lecteurs secondaires dans l’espoir d’empêcher les autres utilisateurs de consulter leurs fichiers, mais ce comportement est normal sous OS X et signifie essentiellement deux choses:

1. Le cryptage en lui-même ne vise à sécuriser le contenu d'un lecteur que si celui-ci a été verrouillé (c'est-à-dire qu'il a été retiré du système ou que le système est arrêté). Il n'est pas destiné à protéger les fichiers d'un utilisateur d'un autre utilisateur sur le même système. Alors que le déverrouillage du lecteur est limité aux personnes qui possèdent le mot de passe, une fois déverrouillé, tous les utilisateurs auront accès comme tout autre lecteur USB ou Firewire.

   Dans le même ordre d'idées, on craignait par le passé que les lecteurs chiffrés soient facilement remontés si vous leur dites de les éjecter sans les détacher du système. Cependant, il ne s'agit pas en définitive d'une menace pour la sécurité. N'utilisez tout simplement pas le cryptage pour protéger les données d'un autre compte sur le système, car cet objectif n'est pas son objectif. À la place, utilisez-le uniquement pour empêcher un voleur ou un tiers à qui vous n'avez pas donné accès à votre ordinateur d'accéder à vos fichiers.

2. Les disques durs externes sont ouverts à tous les utilisateurs par défaut. Même si tous les disques durs sont capables de contenir des restrictions d'autorisations comme tout autre dossier du système, pour les lecteurs externes, OS X désactive cette fonctionnalité. Cela est principalement dû au fait que les paramètres d'autorisations sont spécifiques à une installation de système d'exploitation. Par conséquent, ceux définis par un système peuvent ne pas être observés par un autre, ou être interprétés comme signifiant quelque chose de complètement différent et entraînant un accès incorrect aux fichiers.

S'il est configuré de manière indépendante, le cryptage ne protégera pas vos fichiers des autres utilisateurs locaux et les autorisations peuvent être contournées en utilisant le lecteur avec un autre système. Par conséquent, pour sécuriser complètement les fichiers sur votre disque externe, vous devez activer ces deux fonctionnalités.

Pour ce faire, activez d'abord le chiffrement sur le lecteur en cliquant dessus avec le bouton droit de la souris dans le Finder et en choisissant l'option Chiffrer le lecteur. Fournissez le mot de passe à utiliser lorsque vous y êtes invité, puis attendez que le lecteur soit remonté en tant que volume chiffré.

Ensuite, activez l’observation des autorisations sur le lecteur en le sélectionnant et en appuyant sur Commande-I pour obtenir des informations sur le lecteur. Dans la fenêtre d'informations qui apparaît, développez la section Partage et cliquez sur le verrou pour vous authentifier. Puis décochez l'option "Ignorer la propriété sur ce volume".

Avec ce paramètre en place, le système observera désormais les restrictions d'autorisations sur le lecteur, que vous pouvez définir pour autoriser ou refuser l'accès à des utilisateurs spécifiques (notez que cela ne fonctionnera que pour gérer l'accès pour les comptes non-administrateurs - les comptes d'administrateur seront toujours en mesure de se donner l’accès aux fichiers et aux dossiers).

Par défaut, le lecteur appartient au compte qui l'a formaté. Vous devez donc voir votre nom d'utilisateur répertorié en tant que premier élément de la liste Partage et autorisations. Ensuite, le lecteur doit avoir une association de groupe "staff" (sous votre nom d'utilisateur), qui est le groupe par défaut pour tous les comptes locaux du système. Cela vous permet de définir des autorisations globales pour des comptes autres que le vôtre.

Enfin, un groupe "tout le monde" devrait englober tous les autres utilisateurs du système, tel qu'un compte d'utilisateur invité ne faisant pas partie du groupe "personnel".

À ce stade, vous avez deux approches possibles pour le lecteur. La première consiste à définir ses autorisations de manière à ce que vous seul y ayez accès, et la seconde à le configurer avec un ou deux sous-répertoires limités à votre compte, afin que d'autres comptes puissent en faire de même et avoir leurs dossiers séquestrés et privés. .

Accès mono-utilisateur

Pour définir le lecteur de manière à ce que vous seul y ayez accès, dans la section Partage et autorisations de la fenêtre d'informations, choisissez "pas d'accès" pour le groupe "personnel" (ou simplement sélectionnez et supprimez ce groupe). Ensuite, configurez le groupe "tout le monde" pour qu'il n'ait de même "aucun accès".

Lorsque vous avez terminé, cliquez sur le petit menu d'engrenage et sélectionnez l'option permettant d'appliquer ces paramètres à tous les éléments inclus (cette étape n'est pas nécessaire sur un lecteur vide).

À ce stade, le lecteur entier sera un dossier privé et détachable pour votre compte. Même s'il apparaît en tant que périphérique dans d'autres comptes du système, s'ils tentent d'y accéder, une erreur «autorisation refusée» leur sera alors attribuée.

Accès multi-utilisateur

Pour configurer le lecteur de manière à ce que les autres utilisateurs aient accès, laissez les autorisations du lecteur par défaut afin que le groupe "personnel" soit intact et dispose des autorisations complètes de lecture et d'écriture. Ouvrez ensuite le lecteur dans le Finder et créez un dossier pour stocker vos fichiers. Maintenant, obtenez des informations sur ce dossier et configurez-le de manière à ce que seul votre compte figure dans la liste Partage et autorisations, avec un accès en lecture et en écriture et tous les autres sur "Aucun accès".

À partir de là, votre compte pourra afficher les fichiers de ce dossier, mais pas les autres comptes.

Par mesure de sécurité supplémentaire, vous pouvez configurer un dossier similaire pour chaque compte du système. Lorsque vous avez terminé, obtenez des informations sur le lecteur et définissez le groupe "personnel" sur des autorisations "Lecture seule" (n'utilisez pas l'option du menu d'engrenage. appliquer des autorisations aux éléments inclus). Avec cette configuration, lorsqu'un autre utilisateur ouvre le lecteur, il ne pourra que faire glisser des éléments dans son dossier spécifique, ni dans le dossier d'un autre utilisateur, ni au niveau supérieur du lecteur.

Quelle que soit l'approche utilisée, vous disposez à présent d'un lecteur disposant de ressources sécurisées d'autres utilisateurs et crypté, ce qui le protège de toute tentative de substitution aux paramètres d'autorisations en le connectant à un autre ordinateur.