ยูทิลิตี้ความปลอดภัยของการเริ่มต้นระบบบน Mac ที่มีชิป Apple T2 Security
ภาพรวม
บน Mac ที่ใช้ Intel ที่มีชิป Apple T2 Security ยูทิลิตี้ความปลอดภัยของการเริ่มต้นระบบจะจัดการกับการตั้งค่านโยบายด้านความปลอดภัยหลายรายการ ยูทิลิตี้สามารถเข้าถึงได้โดยการบูตไปยัง recoveryOS แล้วเลือกยูทิลิตี้ความปลอดภัยของการเริ่มต้นระบบจากเมนูยูทิลิตี้ และยูทิลิตี้จะปกป้องการตั้งค่าความปลอดภัยที่รองรับจากจากการควบคุมโดยง่ายจากผู้โจมตี
การเปลี่ยนแปลงนโยบายที่สำคัญต้องใช้การตรวจสอบสิทธิ์แม้จะอยู่ในโหมดการกู้คืน เมื่อเปิดยูทิลิตี้ความปลอดภัยของการเริ่มต้นระบบเป็นครั้งแรก ระบบจะแจ้งให้ผู้ใช้ป้อนรหัสผ่านผู้ดูแลระบบจากการติดตั้ง macOS หลักที่เชื่อมโยงกับ recoveryOS ที่บูตอยู่ในปัจจุบัน แต่ถ้าไม่มีผู้ดูแลระบบ จะต้องสร้างผู้ดูแลขึ้นมาหนึ่งรายก่อนจึงจะสามารถเปลี่ยนแปลงนโยบายได้ ชิป T2 กำหนดให้คอมพิวเตอร์ Mac ต้องบูตเข้าสู่ recoveryOS และต้องมีการตรวจสอบสิทธิ์ด้วยข้อมูลประจำตัวที่ได้รับการสนับสนุนจาก Secure Enclave ก่อนจึงจะสามารถทำการเปลี่ยนแปลงนโยบายดังกล่าวได้ การเปลี่ยนแปลงนโยบายด้านความปลอดภัยมีข้อกำหนดโดยนัยสองข้อ recoveryOS จะต้อง:
บูตจากอุปกรณ์จัดเก็บข้อมูลที่เชื่อมต่อโดยตรงกับชิป T2 เนื่องจากพาร์ติชั่นบนอุปกรณ์เครื่องอื่นๆ ไม่มีเอกสารสิทธิ์ที่รองรับ Secure Enclave ซึ่งผูกกับอุปกรณ์จัดเก็บข้อมูลภายใน
อยู่บนดิสก์โวลุ่มที่ใช้ APFS เนื่องจากมีการรองรับเฉพาะการจัดเก็บเอกสารสิทธิ์ของการตรวจสอบสิทธิ์ในการกู้คืนที่ส่งไปยัง Secure Enclave บนดิสก์โวลุ่ม APFS “พรีบูต” ของไดรฟ์ ดิสก์โวลุ่มที่จัดรูปแบบ HFS Plus จะไม่สามารถใช้การบูตอย่างปลอดภัยได้
นโยบายนี้จะแสดงเฉพาะในยูทิลิตี้ความปลอดภัยของการเริ่มต้นระบบบน Mac ที่ใช้ Intel ที่มีชิป T2 แม้ว่ากรณีการใช้งานส่วนใหญ่ไม่ควรต้องเปลี่ยนแปลงนโยบายการบูตอย่างปลอดภัย แต่ในท้ายที่สุดผู้ใช้ก็จะสามารถควบคุมการตั้งค่าอุปกรณ์ของตนเองได้ และอาจเลือกที่จะปิดใช้งานหรือดาวน์เกรดฟังก์ชั่นการทำงานของการบูตอย่างปลอดภัยบน Mac ตามความต้องการของตนเอง
การเปลี่ยนแปลงนโยบายการบูตอย่างปลอดภัยที่ดำเนินการจากภายในแอปนี้จะปรับใช้เฉพาะกับการประเมินลำดับการตรวจสอบความน่าเชื่อถือที่มีการตรวจสอบยืนยันบนหน่วยประมวลผล Intel ตัวเลือก “การบูตชิป T2 อย่างปลอดภัย” จะมีผลเสมอ
นโยบายการบูตอย่างปลอดภัยสามารถกำหนดค่าเป็นการตั้งค่าอย่างใดอย่างหนึ่งจากสามการตั้งค่าเหล่านี้ได้: ความปลอดภัยแบบเต็ม ความปลอดภัยแบบปานกลาง และไม่มีความปลอดภัย ไม่มีความปลอดภัยใดที่ปิดใช้งานการประเมินการบูตอย่างปลอดภัยบนหน่วยประมวลผล Intel ได้อย่างสมบูรณ์และอนุญาตให้ผู้ใช้สามารถบูตทุกสิ่งที่พวกเขาต้องการได้
นโยบายการบูตด้วยความปลอดภัยแบบเต็ม
ความปลอดภัยแบบเต็มเป็นนโยบายการบูตเริ่มต้นและทำงานคล้ายกับ iOS และ iPadOS หรือความปลอดภัยแบบเต็มบน Mac ที่ใช้ Apple Silicon เมื่อซอฟต์แวร์ดาวน์โหลดเสร็จและพร้อมติดตั้ง ซอฟต์แวร์จะถูกปรับให้เป็นส่วนตัวด้วยลายเซ็นที่มี Exclusive Chip Identification (ECID) ซึ่งเป็น ID เฉพาะสำหรับชิป T2 ในกรณีนี้ เป็นส่วนหนึ่งของคำขอลงชื่อ ลายเซ็นที่ได้รับจากเซิร์ฟเวอร์การลงชื่อนั้นจะไม่ซ้ำใครและสามารถใช้งานได้โดยชิป T2 เฉพาะเท่านั้น เฟิร์มแวร์ Unified Extensible Firmware Interface (UEFi) ได้รับการออกแบบมาเพื่อให้แน่ใจว่าเมื่อนโยบายความปลอดภัยเต็มรูปแบบมีผลบังคับใช้ ลายเซ็นที่กำหนดไม่ได้เป็นเพียงการเซ็นโดย Apple เท่านั้น แต่เป็นการเซ็นสำหรับ Mac เครื่องนี้โดยเฉพาะ โดยจะเชื่อมโยง macOS เวอร์ชั่นนั้นกับ Mac เครื่องนั้น กระบวนการนี้จะช่วยป้องกันการโจมตีแบบย้อนกลับดังที่ได้อธิบายไว้สำหรับความปลอดภัยแบบเต็มบน Mac ที่ใช้ Apple Silicon
นโยบายการบูตด้วยความปลอดภัยปานกลาง
นโยบายการบูตด้วยความปลอดภัยปานกลางค่อนข้างเหมือนกับการบูต UEFI อย่างปลอดภัยแบบดั้งเดิม ซึ่งผู้จำหน่าย (ในกรณีนี้คือ Apple) จะสร้างลายเซ็นดิจิตอลสำหรับโค้ดเพื่อยืนยันว่ามาจากผู้จำหน่าย ด้วยวิธีนี้ ผู้โจมตีจะไม่สามารถใส่โค้ดที่ไม่ได้ลงชื่อได้ เราเรียกลายเซ็นนี้ว่าเป็นลายเซ็น “สากล” เนื่องจากสามารถใช้บน Mac ได้ทุกเครื่องโดยไม่จำกัดจำนวนครั้ง สำหรับ Mac ที่มีชุดนโยบายความปลอดภัยปานกลาง iOS, iPadOS และชิป T2 เองไม่รองรับลายเซ็นสากล การตั้งค่านี้จะไม่พยายามป้องกันการโจมตีแบบย้อนกลับ
นโยบายการบูตสื่อ
นโยบายการบูตสื่อจะมีเฉพาะบน Mac ที่ใช้ Intel ที่มีชิป T2 เท่านั้นและเป็นอิสระจากนโยบายการบูตอย่างปลอดภัย ดังนั้นแม้ว่าผู้ใช้จะปิดใช้งานการบูตอย่างปลอดภัย แต่การดำเนินการนี้จะไม่เปลี่ยนลักษณะการทำงานตามค่าเริ่มต้นที่ป้องกันไม่ให้สิ่งอื่นใดบูต Mac ได้นอกเหนือจากอุปกรณ์จัดเก็บข้อมูลที่เชื่อมต่อโดยตรงกับชิป T2 (นโยบายการบูตสื่อไม่จำเป็นบน Mac ที่ใช้ Apple Silicon สำหรับข้อมูลเพิ่มเติม โปรดดูการควบคุมนโยบายความปลอดภัยดิสก์เริ่มต้นระบบ)