Utilitário de Segurança da Inicialização em um Mac com um chip Apple T2 Security
Visão geral
Em um Mac baseado em Intel com um chip Apple T2 Security, o Utilitário de Segurança da Inicialização gerencia diversos ajustes de política de segurança. O utilitário pode ser acessado ao inicializar no recoveryOS e selecionar Utilitário de Segurança da Inicialização no menu Utilitários, e protege os ajustes de segurança compatíveis da manipulação fácil por parte de um invasor.
Alterações críticas nas políticas exigem autenticação, mesmo no modo de Recuperação. Na primeira vez que o Utilitário de Segurança da Inicialização é aberto, ele pede ao usuário que digite uma senha de administrador da instalação primária do macOS associada ao recoveryOS inicializado atualmente. Caso não exista nenhum administrador, ele deve ser criado para que a política possa ser alterada. O chip T2 exige que o computador Mac esteja inicializado no recoveryOS e que uma autenticação com uma credencial assegurada pelo Secure Enclave tenha ocorrido para que tal alteração na política possa ser realizada. As alterações nas políticas de segurança possuem dois requisitos implícitos. O recoveryOS deve:
Ser inicializada a partir de um dispositivo de armazenamento diretamente conectado ao chip T2, pois as partições de outros dispositivos não possuem credenciais asseguradas pelo Secure Enclave vinculadas ao dispositivo de armazenamento interno.
Estar em um volume baseado em APFS, pois há suporte apenas para armazenar as credenciais de Autenticação na Recuperação enviadas ao Secure Enclave no volume APFS de “Pré-inicialização” de uma unidade. Os volumes formatados como HFS+ não podem usar a inicialização segura.
Essa política é mostrada apenas no Utilitário de Segurança da Inicialização em um Mac baseado em Intel com um chip T2. Embora a maioria dos casos não deva requerer alterações à política de inicialização segura, o controle final dos ajustes do dispositivo está nas mãos dos usuários, que podem escolher desativar ou reverter a funcionalidade de inicialização segura no Mac de acordo com as suas necessidades.
As alterações na política de inicialização segura feitas dentro deste app são aplicadas apenas à avaliação da cadeia de confiança sendo verificada no processador Intel. A opção “Inicialização segura do chip T2” está sempre ativada.
A política de inicialização segura pode ser configurada como um de três ajustes: Segurança Total, Segurança Média e Sem Segurança. A opção Sem Segurança desativa completamente a avaliação da inicialização segura no processador Intel e permite que o usuário inicialize o que desejar.
Política de inicialização Segurança Total
A Segurança Total é a política de inicialização padrão e se comporta de maneira similar ao iOS e iPadOS ou à Segurança Total em um Mac com Apple Silicon. No momento que um software é baixado e preparado para instalação, ele é personalizado com uma assinatura que inclui a Identificação Exclusiva de Chip (ECID) — um ID exclusivo específico ao chip T2 neste caso — como parte do pedido de assinatura. A assinatura retornada pelo servidor de assinatura é exclusiva e pode ser usada apenas por esse chip T2 específico. O firmware da Interface de Firmware Extensível Unificada (UEFi) é projetado para garantir que quando a política de Segurança Total estiver em vigor, uma determinada assinatura não esteja apenas assinada pela Apple, mas também assinada para esse Mac específico, essencialmente vinculando essa versão do macOS a esse Mac. Isso ajuda a impedir ataques de reversão, conforme descrito em Segurança Total em um Mac com Apple Silicon.
Política de inicialização Segurança Média
A política de inicialização Segurança Média assemelha-se à inicialização segura de UEFI tradicional, na qual um fornecedor (neste caso, a Apple) gera uma assinatura digital para o código para garantir que ele tenha vindo do fornecedor. Dessa forma, os invasores ficam impedidos de inserir um código sem assinatura. Chamamos essa assinatura de “global”, pois ela pode ser usada em qualquer Mac, por qualquer período, em um Mac que tenha um conjunto de políticas de Segurança Média definido no momento. Não há suporte para assinaturas globais no iOS, iPadOS ou no próprio chip T2. Este ajuste não tenta impedir ataques de reversão.
Política de inicialização de mídia
A política de inicialização de mídia existe apenas em um Mac baseado em Intel com um chip T2 e é independente da política de inicialização segura. Sendo assim, mesmo que um usuário desative a inicialização segura, o comportamento padrão de impedir a inicialização do Mac a partir de qualquer dispositivo que não seja o dispositivo de armazenamento diretamente conectado ao chip T2 permanece inalterado. (A política de inicialização de mídia não é exigida em um Mac com Apple Silicon. Para obter mais informações, consulte Controle da política de segurança do Disco de Inicialização.)