Защита от ревизии на Mac: комплекс мер и лучшие практики

Под «защитой от ревизии» в контексте информационной безопасности Mac обычно понимают комплекс мер, направленных на предотвращение несанкционированного физического доступа к данным, изменение настроек загрузки, отключение защитных механизмов (SIP) и извлечение информации при краже или конфискации устройства. Статья ниже основана на официальной документации Apple (Platform Security) и лучших практиках безопасности для архитектур Intel (с чипом T2 и без него) и Apple Silicon (M-серия).

Содержание

1. Модель угроз: от чего мы защищаемся
2. Архитектура Apple Silicon (M1/M2/M3/M4): Фундаментальная защита
3. Mac с процессором Intel и чипом T2: Пароль прошивки и Безопасная загрузка
4. Mac с процессором Intel без чипа T2: Устаревший, но уязвимый класс
5. FileVault: Король защиты данных «в покое»
6. System Integrity Protection (SIP): Защита системных файлов
7. Продвинутые меры: Блокировка USB, MDM, Firmware Lock (MDM)
8. Чек-лист: Настройка максимальной защиты за 15 минут

Модель угроз: от чего мы защищаемся

Прежде чем настраивать защиту, нужно понять вектор атаки. «Ревизия» (в значении принудительного аудита/вскрытия) обычно реализуется через:

• Загрузку с внешнего носителя (USB с Linux/macOS) для обхода пароля учетной записи.
• Вход в recoveryOS / Режим восстановления для сброса пароля, отключения SIP или стирания диска.
• Режим внешнего диска (Target Disk Mode / Mac Sharing Mode) для прямого доступа к файловой системе как к внешнему HDD.
• Однопользовательский режим (Single User Mode / Verbose Mode) для получения root-шелла (актуально для старых Intel).
• Физическое извлечение SSD (на старых Mac с съемными дисками) или атаки через интерфейсы отладки (JTAG/SWD на очень старых моделях).

Главный принцип: Защита должна быть многослойной (Defense in Depth). Пароль прошивки (на Intel) или политики безопасной загрузки (на Apple Silicon) закрывают «двери» в низкоуровневые режимы, а FileVault шифрует то, что за этими дверями.

Архитектура Apple Silicon (M1/M2/M3/M4): Фундаментальная защита

На Mac с чипами Apple Silicon (M-серия) концепция «пароля прошивки» (Firmware Password) устранена как не нужная. Критически важные функции прошивки перемещены в recoveryOS.

Как это работает:

• Secure Enclave (SEP): Отдельный подсистемный процессор, управляющий ключами шифрования, Touch ID/Face ID и политиками загрузки.
• Отсутствие уязвимых режимов загрузки: Нет классического EFI/BIOS, в который можно зайти по F2/Del. Загрузка всегда идет через подписанный код Apple.
• Аутентификация в recoveryOS: Для доступа к утилитам восстановления (Disk Utility, Terminal, Startup Security Utility) требуется аутентификация администратора с включенным FileVault.

Настройка политики безопасности (Startup Security Utility):

1. Загрузитесь в recoveryOS (удерживайте кнопку питания при включении до появления «Загрузка параметров запуска» → Параметры → Продолжить).
2. В строке меню выберите Утилиты → Утилита безопасности при запуске (Startup Security Utility).
3. Авторизуйтесь как администратор.
4. Политика безопасности (Security Policy): Установите «Полная безопасность» (Full Security) — это значение по умолчанию. Оно требует, чтобы ОС была подписана Apple и доверена этим Mac.
5. Внешняя загрузка (External Boot): Установите «Запретить загрузку с внешних носителей» (Disallow external boot). Это критически важно: злоумышленник не сможет загрузить свой Linux/Windows/macOS с флешки.

Важно: Без включенного FileVault настройка «Полной безопасности» и запрета внешней загрузки может быть сброшена любым пользователем, зашедшим в recoveryOS (если он знает пароль администратора). FileVault привязывает политику загрузки к ключам шифрования.

Mac с процессором Intel и чипом T2: Пароль прошивки и Утилита безопасной загрузки

Чип T2 приносит архитектуру, похожую на Apple Silicon (Secure Enclave, шифрование SSD «на лету»), но сохраняет EFI-совместимость. Здесь используется Пароль прошивки (Firmware Password).

Зачем нужен пароль прошивки на T2:

• Блокирует выбор тома загрузки (Option/Win при старте).
• Блокирует вход в recoveryOS (Cmd+R) и режимы диагностики.
• Блокирует режим внешнего диска (Target Disk Mode).
• Предотвращает сброс паролей пользователей через утилиту сброса пароля в recoveryOS.

Как установить (Базовый режим — через recoveryOS):

1. Загрузка в recoveryOS (Cmd+R при включении).
2. Меню Утилиты → Утилита безопасной загрузки (Startup Security Utility).
3. Нажать «Включить пароль прошивки» (Turn On Firmware Password).
4. Ввести надежный пароль (запомните его! Потеря = кирпич, разблокируется только в Apple/АСЦ с доказательством владения).
5. Настроить политику безопасной загрузки: «Полная безопасность» + «Запретить внешнюю загрузку».

Расширенный режим (Command Line — firmwarepasswd):

Доступен только из работающей macOS (Терминал). Позволяет настроить флаг -mode command — пароль запрашивается только при попытке загрузки не с основного диска (режим восстановления, внешний диск, сетевая загрузка). При обычной загрузке Mac пароль не спрашивается.

sudo firmwarepasswd -setpasswd -mode command

Рекомендация: Для максимальной защиты от «ревизии» используйте режим command. Это не мешает работе пользователя, но надежно запирает все «черные ходы» входа в систему.

Mac с процессором Intel БЕЗ чипа T2 (до 2018 года): Самый уязвимый сегмент

На этих Mac (MacBook Pro 2017 и старше, MacBook Air 2017 и старше, iMac 2017 и старше) SSD не зашифрован аппаратно чипом T2. Защита полностью программная.

Критические риски:

• Атакующий с физическим доступом может извлечь SSD и прочитать данные на другом компьютере (если FileVault выключен).
• Можно загрузиться с внешнего диска и сбросить пароль любого пользователя через resetpassword в Терминале recoveryOS.
• Можно отключить SIP (csrutil disable) из recoveryOS.
• Можно загрузиться в Single User Mode (Cmd+S) и получить root-шелл без пароля.

Единственное эффективное лечение — Пароль прошивки (Firmware Password) + FileVault:

1. Загрузка в recoveryOS (Cmd+R).
2. Меню Утилиты → Утилита пароля прошивки (Firmware Password Utility).
3. Включить пароль. Обязательно используйте сложный пароль.
4. Включите FileVault сразу же после входа в систему (см. раздел 5).

Нюанс: На этих Mac пароль прошивки запрашивается при каждой загрузке, если установлен через утилиту (нет режима command как на T2, если только не использовать терминал не поддерживает флаги — зависит от версии EFI). Это неудобно, но необходимо.

Предупреждение: На очень старых Mac (до 2011-2012) пароль прошивки сбрасывается сменой объема ОЗУ и сбросом PRAM (Cmd+Option+P+R). На моделях 2013-2017 это сложнее, но возможен сброс через SPI-программатор (вскрытие корпуса). FileVault здесь — единственная реальная защита данных.

FileVault: Король защиты данных «в покое» (Data at Rest)

Никакая защита прошивки не спасет данные, если диск не зашифрован. Пароль прошивки защищает процесс загрузки, FileVault защищает биты на диске.

Почему FileVault обязателен:

• Apple Silicon / T2: Ключи шифрования генерируются в Secure Enclave и привязаны к паролю пользователя. Без пароля — данные — мусор. Даже Apple не может расшифровать.
• Intel без T2: Программное шифрование XTS-AES-128. Сильно замедляет старые HDD, на SSD накладные расходы минимальны.
• Защищает от извлечения диска, атак через Target Disk Mode, форензических утилит (Elcomsoft, Passware и т.д.).

Как включить правильно:

1. Системные настройки → Конфиденциальность и безопасность → FileVault.
2. Нажать «Включить FileVault».
3. Критически важно: Выбрать «Создать ключ восстановления и не использовать аккаунт Apple» (Create a recovery key and do not use my iCloud account).
4. Сохранить ключ восстановления в оффлайн-хранилище (печать на бумаге, запись в менеджер паролей на другом устройстве, флешка в сейфе). Не храните ключ на самом Mac.
5. Дождаться завершения шифрования (может занять часы).

Почему не iCloud: Ключ в iCloud позволяет Apple (по запросу суда/спецслужб) или злоумышленнику, взломавшему Apple ID, расшифровать диск. Локальный ключ — это «Zero Knowledge» для Apple.

System Integrity Protection (SIP): Защита системной целостности

SIP (Rootless) ограничивает действия даже пользователя root. Защищает: /System, /usr (кроме /usr/local), /bin, /sbin, /var и предзагруженные приложения.

Как SIP защищает от ревизии:

• Запрещает модификацию системных файлов (внедрение бэкдоров, кейлоггеров в системные демоны).
• Запрещает загрузку неподписанных расширений ядра (kexts), защита от руткитов.
• Ограничивает dtrace, lldb, task_for_pid — защита от отладки/инъекций в системные процессы.

Статус и управление:

csrutil status

Никогда не отключайте SIP полностью (csrutil disable) на рабочей машине. Если нужно подписать свой kext или изменить политику, делайте это в recoveryOS временно, а потом включайте обратно.

На Apple Silicon / T2 изменение статуса SIP требует входа в recoveryOS и аутентификации администратора (защищено FileVault/Паролем прошивки). На старых Intel, просто загрузки в recoveryOS (защищено Паролем прошивки).

Продвинутые меры: «Железобетонная» защита

А. Блокировка USB-аксессуаров (USB Restricted Mode)

На macOS (аналог iOS):

# Требует SIP disabled временно или профиля конфигурации (MDM)

Настройте: Системные настройки → Экран блокировки → Требовать пароль: «Сразу».

Б. Режим блокировки (Lockdown Mode) — macOS 13+ (Ventura/Sonoma/Sequoia)

Экстремальная защита от целевых атак (шпионское ПО типа Pegasus).

• Блокирует большинство типов вложений в Messages (кроме изображений).
• Отключает JIT-компиляцию JavaScript в Safari (уязвимости WebKit).
• Блокирует входящие вызовы FaceTime от неизвестных.
• Запрещает подключение USB-аксессуаров при заблокированном Mac.
• Блокирует установку профилей конфигурации (MDM) и регистрацию в MDM.

Включение: Системные настройки → Конфиденциальность и безопасность → Режим блокировки (Lockdown Mode). Сильно снижает удобство, используйте при высоком риске.

В. MDM (Mobile Device Management) — для корпоративной/профессиональной защиты

Если Mac управляется организацией, MDM может установить Activation Lock (Блокировка активации) и Firmware Passcode удаленно, которые пользователь не может снять без учетных данных MDM. Это «золотой стандарт» защиты от кражи/ревизии: даже после стирания диска Mac требует логин/пароль MDM или Apple ID менеджера.

Г. Физическая безопасность

• Кенсингтон-лок (Kensington Lock): Для стационарных Mac (iMac, Mac mini, Studio, старые MacBook Pro).
• Пробки USB-C / Thunderbolt: Запрет подключения неизвестных устройств (BadUSB, DMA-атаки через Thunderbolt).
• Настройка FileVault + Выключение (не Сон): Ключи шифрования выгружаются из RAM только при полном выключении. В режиме сна (особенно Power Nap) ключи могут оставаться в памяти (хотя на T2/Apple Silicon они в Secure Enclave, но DMA-атаки через Thunderbolt возможны на старых версиях macOS).

Чек-лист: Настройка максимальной защиты за 15 минут

Резюме: Главные правила выживания

1. FileVault — это база. Без него любой пароль прошивки бесполезен против извлечения диска. Включайте с локальным ключом восстановления.
2. Пароль прошивки (Intel) / Политика загрузки (Apple Silicon) — это замок на двери. Не дает загрузить чужую ОС для атаки.
3. Режим command для T2, идеальный баланс безопасности и удобства (пароль только при подозрительной загрузке).
4. SIP должен быть Enabled. Это защита от руткитов и модификации системы уже после входа в ОС.
5. Физический доступ = Полный доступ (если нет шифрования). Если у врага есть Mac в руках бесконечно долго — он взломает всё, кроме сильного шифрования (FileVault) и аппаратной блокировки (Activation Lock / MDM).
6. Храните ключи восстановления и пароли прошивки ОФФЛАЙН. В сейфе, на бумаге, в KeePassXC на другой машине. Потеря ключа FileVault = потеря данных навсегда. Потеря пароля прошивки = поездка в Apple с чеком.

Настроив эти слои, вы превращаете Mac в устройство, которое крайне дорого и сложно «ревизировать» без вашего ведома и согласия. Безопасность — это процесс, а не чекбокс: регулярно обновляйте macOS (уязвимости в загрузчике/ядре закрываються только апдейтами).