APFS, il sigillo e Apple Silicon

In quattro anni, fra il 2017 e il 2020, il disco di un Mac cambia natura quattro volte. Prese una per una, ognuna di queste modifiche ha una ragione difendibile e per l'utente comune è stata perlopiù invisibile. Messe insieme, hanno reso impossibile ciò che per vent'anni si era fatto con un clic.

2017 — APFS al posto di HFS+

Il primo cambiamento arriva con macOS 10.13 High Sierra, ed è il ricambio del modo in cui i dati sono organizzati sul disco. HFS+ aveva vent'anni e mostrava l'età: era stato progettato per dischi meccanici e per un mondo in cui la cifratura era un'eccezione. APFS nasce per le unità a stato solido, e porta tre novità che riguardano da vicino chi copia.

• I volumi non hanno più confini fissi. Al posto delle partizioni c'è un contenitore, e i volumi dentro attingono tutti allo stesso spazio libero. È il motivo per cui Utility Disco mostra quattro volumi che dichiarano ciascuno lo stesso spazio disponibile, senza che sia un errore.
• Le scritture non sovrascrivono. Ogni modifica finisce su blocchi nuovi, e i vecchi restano finché servono. È ciò che rende possibili le istantanee: fotografie dello stato di un volume che occupano spazio solo per le differenze.
• La copia di un file è quasi istantanea. Duplicare un documento da dieci gigabyte non copia dieci gigabyte: registra che due nomi puntano agli stessi blocchi. Comodissimo, e una trappola per chi calcola quanto spazio serve alla copia guardando le dimensioni dichiarate.

2019 — il sistema si divide in due

Con macOS 10.15 Catalina, il sistema operativo smette di stare in un volume solo. Da qui in avanti ce ne sono due, uniti in un gruppo: il volume di sistema, in sola lettura, e il volume dati, dove stanno documenti, programmi installati, account e impostazioni.

La cucitura fra i due è talmente ben fatta che l'utente non se ne accorge: nel Finder appare un disco solo, e una cartella che sta materialmente sul volume dati si mostra come se fosse nel posto di sempre. Ma chi copia ha ora due volumi da copiare, non uno, e sono due volumi con regole diverse.

Un dettaglio che conta più di quanto sembri: in Catalina il volume di sistema è in sola lettura ma non è ancora sigillato. È per questo che Catalina resta l'ultima versione di macOS che un normale programma di copia sa riprodurre da sé: la frontiera vera non è qui, è l'anno dopo.

2020 — il sigillo

È il cambiamento decisivo, e vale la pena capirlo bene perché tutto il resto della guida ci fa riferimento. Con macOS 11 Big Sur il volume di sistema non è più soltanto in sola lettura: è sigillato.

Il meccanismo, ridotto all'osso, è questo. Si calcola un'impronta di ogni blocco del volume; poi un'impronta delle impronte; poi ancora, salendo, fino a un unico valore finale — il sigillo — che dipende da ogni singolo bit del volume. Il Mac lo verifica all'avvio e continua a verificarne i pezzi durante l'uso: se qualcosa non torna, quel sistema non parte.

La ragione di tutto ciò non è capricciosa: per trent'anni la strada maestra di ogni infezione seria su un computer è stata sostituire un pezzo del sistema operativo con uno modificato. Il sigillo chiude quella strada in modo definitivo, perché non si può alterare nulla senza che la verifica lo rilevi. È una difesa efficace, e ha un prezzo. Il prezzo è quello che stiamo raccontando.

2017–2020 — l'avvio si lega alla macchina

L'ultimo cambiamento riguarda il rapporto fra il disco e il computer. Fino a ieri erano indipendenti: un disco avviabile avviava qualunque Mac compatibile. Oggi non è più così, e la cosa arriva in due tappe.

I Mac con chip T2 (2017–2020)

Sugli ultimi Mac Intel — il primo è l'iMac Pro della fine del 2017 — Apple aggiunge un secondo processore, il T2, che custodisce le chiavi crittografiche e sorveglia l'avvio. Compare un pannello apposito, la Utility Sicurezza Avvio, con tre impostazioni; e la più rilevante qui è che l'avvio da supporti esterni è disattivato di serie. Va abilitato esplicitamente, avendo accesso fisico alla macchina e la password di un amministratore.

È il primo caso in cui un disco di soccorso perfettamente funzionante non avvia un Mac non perché ci sia qualcosa che non va nel disco, ma perché quel Mac è stato configurato per rifiutarlo.

I Mac Apple Silicon (dal 2020)

Con i processori Apple, la faccenda diventa strutturale. Ciò che va capito è l'ordine in cui le cose avvengono.

All'accensione parte una ROM incisa nel processore, che è la radice di tutta la fiducia del sistema e non si può modificare. Questa carica il pezzo successivo dall'archiviazione interna, e da lì si arriva a iBoot, che è ciò che finalmente sa avviare un sistema operativo — anche se sta su un disco esterno.

Il punto è che ognuno di questi anelli, fino a iBoot compreso, viene letto dall'archiviazione interna della macchina — l'unità a stato solido saldata alla scheda, quella che si indica con la sigla SSD. Ne discende una conseguenza che vale la pena scrivere per esteso, perché ribalta quarant'anni di abitudini:

La politica di sicurezza locale

C'è un ultimo anello, e riguarda l'autorizzazione. Per ogni sistema installato su quella macchina — interno o esterno che sia — esiste una registrazione, custodita nell'archiviazione interna, che dice che cosa quel Mac è autorizzato ad avviare e con quale livello di sicurezza. È la politica di sicurezza locale.

La firma il chip di sicurezza della macchina, usando un'identità che non lascia mai il chip, e la può creare soltanto un utente riconosciuto come proprietario del volume — nella pratica, quello che digita la propria password durante l'installazione, quando il sistema chiede chi diventerà il proprietario.

La conseguenza pratica è enorme e passa spesso inosservata: un disco di avvio non si può più preparare su una macchina e usare su un'altra. L'autorizzazione non sta sul disco; sta nel Mac. Un disco esterno preparato in ufficio, portato altrove, su un Mac diverso è soltanto un disco.

Recovery, DFU e le vie d'uscita

Rimane da dire che cosa si fa quando le cose vanno male, perché anche questo è cambiato.

• Recovery — si raggiunge tenendo premuto il tasto di accensione finché non compaiono le opzioni. Le combinazioni di tasti dei Mac Intel non funzionano più, tutte sostituite da questo unico gesto. Da lì si reinstalla macOS, si riparano i dischi, si ripristina un backup.
• Recovery di riserva — se anche quella principale è danneggiata, ne esiste una seconda nell'archiviazione interna, richiamata premendo due volte in rapida successione il tasto di accensione.
• DFU — quando non parte più nulla, il Mac si collega con un cavo a un secondo Mac e si lascia riprogrammare: riattivare rimette a posto il firmware senza toccare i dati, ripristinare riscrive tutto e cancella. Da macOS 14 in poi si fa dal Finder del Mac soccorritore, con un cavo da USB-C a USB-C che porti anche i dati. Le due procedure sono descritte in Se il Mac non parte.