Per proteggere file sensibili macOS Terminale offre tre livelli complementari: permessi Unix, umask e cifratura. I comandi chmod e umask limitano l’accesso agli account locali, mentre FileVault protegge il contenuto del disco quando il Mac è spento. Per archivi particolarmente riservati è possibile creare un’immagine disco cifrata con hdiutil, accessibile solo dopo l’inserimento di una password. La protezione corretta richiede anche attenzione a copie di sicurezza, servizi cloud, backup automatici e sessioni già sbloccate.

Come controllare i permessi dei file dal Terminale di macOS

macOS usa i permessi Unix per stabilire chi può leggere, modificare o eseguire un file. Il comando ls -l mostra il proprietario, il gruppo e i permessi associati agli elementi presenti in una cartella.

ls -l ~/Documenti

Una riga come -rw------- indica che il proprietario può leggere e modificare il file, mentre gruppo e altri utenti non hanno alcun accesso. Per visualizzare anche gli eventuali elenchi di controllo degli accessi, detti ACL, è preferibile usare:

ls -leO@ ~/Documenti

Il comando chmod 600 imposta un file in modo che sia leggibile e modificabile soltanto dal proprietario. Questa configurazione è adatta a documenti personali, esportazioni contabili, chiavi private e appunti riservati.

chmod 600 ~/Documenti/dati-personali.txt

Una cartella privata deve normalmente avere il permesso 700, che consente al proprietario di entrarvi, elencarne il contenuto e modificarlo senza concedere accesso agli altri utenti locali.

chmod 700 ~/Documenti/Archivio-privato

Il permesso 700 sulle cartelle è importante perché un file con modalità 600 può comunque essere esposto se si trova dentro una directory accessibile ad altri utenti. La protezione va quindi applicata sia al file sia alle cartelle che lo contengono.

Per verificare il proprietario di un elemento si può usare ls -l. Se il file appartiene all’account sbagliato, il comando chown può correggere la proprietà, ma deve essere usato con attenzione perché un errore nel percorso può modificare file di sistema.

ls -l ~/Documenti/dati-personali.txt

Non è consigliabile eseguire chmod -R 600 su una cartella intera, perché le directory perderebbero il permesso necessario per essere attraversate. L’opzione ricorsiva va usata solo dopo aver distinto i file dalle cartelle e aver verificato il contenuto.

Come usare umask per creare nuovi file con permessi restrittivi

umask definisce quali permessi vengono rimossi automaticamente quando macOS crea nuovi file e cartelle. Il valore 077 impedisce agli altri utenti locali di accedere agli elementi creati dalla sessione del proprio account.

Per applicare umask 077 alla sessione attuale del Terminale, eseguire:

umask 077

Dopo questa impostazione, i nuovi file vengono creati normalmente senza permessi per gruppo e altri utenti, mentre le nuove cartelle restano accessibili al proprietario. umask modifica soltanto gli elementi creati successivamente e non corregge i permessi dei file già presenti.

Per controllare il valore attivo nella shell Zsh, che è la shell predefinita nelle versioni moderne di macOS, usare:

umask

Per rendere permanente l’impostazione nei nuovi terminali, aggiungere la riga al file ~/.zshrc. Il comando seguente apre il file con l’editor di testo integrato nel Terminale, se il file esiste o deve essere creato.

nano ~/.zshrc

Inserire questa riga su una nuova riga:

umask 077

In nano, la combinazione Ctrl+O salva il file, mentre Ctrl+X chiude l’editor. Per applicare subito la modifica senza chiudere il Terminale, ricaricare la configurazione:

source ~/.zshrc

L’impostazione in ~/.zshrc riguarda i processi avviati dalle sessioni Zsh, ma non garantisce lo stesso comportamento per ogni applicazione grafica macOS. I programmi che creano file tramite Finder, Salvataggio automatico o servizi in background possono applicare regole proprie.

Come cifrare file e cartelle con gli strumenti integrati di macOS

I permessi Unix non cifrano i dati: un amministratore, un altro sistema operativo avviato dal Mac o un supporto copiato fisicamente potrebbe leggere i file se non esiste una protezione crittografica. FileVault protegge l’intero volume di avvio con la cifratura del disco e richiede le credenziali autorizzate per accedere ai dati dopo l’avvio.

Su macOS Ventura, macOS Sonoma e macOS Sequoia, FileVault si attiva da Impostazioni di Sistema > Privacy e sicurezza > FileVault. Il nome esatto dei pannelli può cambiare leggermente nelle versioni precedenti, ma la funzione resta nella sezione dedicata a privacy e sicurezza. Prima dell’attivazione è indispensabile conservare in un luogo sicuro la chiave di recupero, perché può essere necessaria per rientrare nell’account.

FileVault è indicato per proteggere il contenuto dell’intero Mac in caso di smarrimento o furto. Non impedisce però a un’applicazione dannosa di leggere i file mentre l’account è già sbloccato e il sistema è in esecuzione.

Per isolare soltanto alcuni documenti, macOS include hdiutil, uno strumento che crea immagini disco cifrate. Il comando seguente crea un’immagine APFS da 1 GB e richiede una password durante la procedura:

hdiutil create -size 1g -fs APFS -volname "Archivio sensibile" -encryption AES-256 ~/Archivio-sensibile.dmg

La password dell’immagine disco non deve essere inserita direttamente nel comando, nella cronologia della shell o in uno script. Una password lunga e unica protegge meglio l’archivio; perderla significa non poter recuperare i file contenuti nell’immagine.

Per montare l’immagine cifrata e visualizzarla nel Finder, usare:

hdiutil attach ~/Archivio-sensibile.dmg

macOS chiede la password e monta il volume come un normale disco. Dopo aver copiato o modificato i documenti, bisogna espellere il volume prima di lasciare il Mac o di eseguire un backup:

hdiutil detach "/Volumes/Archivio sensibile"

L’immagine disco cifrata protegge i dati quando il volume è smontato, ma i file diventano accessibili durante il periodo in cui l’immagine è aperta. Anche il file .dmg deve essere conservato in una posizione protetta e incluso in backup cifrati, se contiene dati importanti.

Quali controlli applicare oltre a permessi e cifratura

La protezione dei file sensibili comprende anche le copie duplicate. Un documento cancellato dal Mac può restare in Time Machine, in iCloud Drive, nei cestini sincronizzati o in altri backup, quindi è necessario verificare la sicurezza di ogni destinazione.

Per i file personali è utile controllare periodicamente:

che FileVault sia attivo sul disco di avvio;
che le cartelle riservate abbiano permesso 700;
che i documenti sensibili abbiano permesso 600;
che le immagini disco cifrate siano smontate quando non servono;
che i backup contenenti dati riservati siano cifrati;
che il Mac venga bloccato con Control-Command-Q quando ci si allontana.

Su un Mac condiviso, i permessi locali funzionano soltanto se ogni persona utilizza un account separato. Condividere la stessa password o lasciare una sessione amministrativa sbloccata annulla gran parte dei vantaggi offerti da chmod, umask e FileVault.

Per proteggere file sensibili macOS Terminale è quindi efficace quando i permessi limitano l’accesso quotidiano, umask previene nuove esposizioni e la cifratura protegge i dati anche a dispositivo spento.

Potrebbe interessarti anche:

FAQ

No. chmod 600 limita lettura e modifica al proprietario, ma non cifra il contenuto. Per la cifratura servono FileVault o un’immagine disco cifrata.

No. umask 077 si applica soltanto ai nuovi file e alle nuove cartelle creati dai processi che ereditano quella configurazione.

FileVault protegge soprattutto i dati quando il Mac è spento o il volume non è sbloccato. Dopo l’accesso, i file possono essere letti dalle applicazioni autorizzate e dai processi dannosi.

Usa hdiutil attach percorso.dmg, inserisci la password e poi espelli il volume con hdiutil detach "/Volumes/Nome volume" quando hai terminato.

No, perché i file contenuti restano accessibili durante il montaggio. È preferibile espellerla con hdiutil detach dopo ogni utilizzo.

Altri articoli di questa serie: