Utilitas Keamanan Mulai di Mac dengan Keping Keamanan T2 Apple
Tinjauan
Di Mac berbasis Intel dengan Keping Keamanan T2 Apple, Utilitas Keamanan Mulai menangani sejumlah pengaturan kebijakan keamanan. Utilitas dapat diakses dengan melakukan boot ke recoveryOS dan memilih Utilitas Keamanan Mulai dari menu Utilitas serta melindungi pengaturan keamanan yang didukung dari manipulasi mudah oleh penyerang.
Perubahan kebijakan penting memerlukan pengesahan, bahkan dalam mode Pemulihan. Jika dibuka untuk pertama kalinya, Utilitas Keamanan Mulai akan meminta pengguna untuk memasukkan kata sandi administrator dari penginstalan macOS utama yang terkait dengan recoveryOS yang sedang di-boot. Jika tidak ada, administrator harus dibuat sebelum kebijakan dapat diubah. Keping T2 mengharuskan agar komputer Mac yang sedang diboot ke recoveryOS dan pengesahan dengan info pengesahan yang didukung Secure Enclave telah berlangsung sebelum perubahan kebijakan dapat dilakukan. Perubahan kebijakan keamanan memiliki dua persyaratan implisit. recoveryOS harus:
Diboot dari perangkat penyimpanan dan secara langsung terhubung ke keping T2 karena partisi atau perangkat lainnya tidak memiliki info pengesahan yang didukung Secure Enclave yang terikat pada perangkat penyimpanan internal.
Berada di volume berbasis APFS karena hanya terdapat dukungan untuk menyimpan Pengesahan dalam info pengesahan Pemulihan yang dikirimkan Secure Enclave di volume APFS “Praboot” drive. Volume berformat HFS plus tidak dapat menggunakan boot aman.
Kebijakan ini hanya ditampilkan di Utilitas Keamanan Mulai di Mac berbasis Intel dengan keping T2. Meskipun sebagian besar kasus penggunaan tidak memerlukan perubahan terhadap kebijakan boot aman, pengguna utamanya memiliki kontrol atas pengaturan perangkat mereka dan dapat memilih tergantung kebutuhannya, untuk menonaktifkan atau menurunkan fungsionalitas boot aman di Mac.
Perubahan kebijakan boot aman yang dilakukan dari dalam app ini hanya berlaku untuk evaluasi rantai kepercayaan yang sedang diverifikasi di prosesor Intel. Pilihan “Keping T2 boot aman” selalu berlaku.
Kebijakan boot aman dapat dikonfigurasi ke salah satu dari tiga pengaturan ini: Keamanan Penuh, Keamanan Sedang, dan Tidak Ada Keamanan. Tidak Ada Keamanan yang sepenuhnya menonaktifkan evaluasi boot aman di prosesor Intel dan memungkinkan pengguna untuk melakukan boot apa pun yang mereka inginkan.
Kebijakan boot Keamanan Penuh
Keamanan Penuh adalah kebijakan boot default, dan berperilaku mirip dengan iOS serta iPadOS atau Keamanan Penuh di Mac dengan Apple silicon. Pada saat perangkat lunak diunduh dan disiapkan untuk penginstalan, perangkat lunak disesuaikan dengan tanda tangan yang menyertakan Identifikasi Keping Eksklusif (ECID)—ID unik yang dikhususkan bagi keping T2 dalam kasus ini—sebagai bagian dari permintaan penandatanganan. Tanda tangan yang dikembalikan oleh server penandatanganan akan menjadi unik dan dapat digunakan hanya oleh keping T2 tersebut. Firmware Antarmuka Firmware Terpadu yang Dapat Diperluas (UEFi) dirancang untuk memastikan bahwa tanda tangan yang diberikan tidak hanya ditandatangani oleh Apple tapi juga spesifik untuk Mac, khususnya mengikat versi macOS tersebut ke Mac tersebut. Ini membantu mencegah serangan pembalikan versi seperti yang dijelaskan untuk Keamanan Penuh di Mac dengan Apple silicon.
Kebijakan boot Keamanan Sedang
Kebijakan boot Keamanan Sedang dapat dikatakan sama dengan boot aman UEFI tradisional, vendor (dalam kasus ini, Apple) membuat tanda tangan digital untuk kode agar dapat menegaskan bahwa kode tersebut berasal dari vendor. Dengan cara ini, penyerang terhalangi untuk memasukkan kode yang tidak ditandatangani. Kami menyebut tanda tangan ini sebagai tanda tangan “global” karena tanda tangan tersebut dapat digunakan di Mac mana pun, selama jangka waktu yang tidak terbatas, untuk Mac yang saat ini memiliki kumpulan kebijakan Keamanan Sedang. iOS, iPadOS, atau keping T2 tidak mendukung tanda tangan global. Pengaturan ini tidak berupaya untuk mencegah serangan pembalikan versi.
Kebijakan boot media
Kebijakan boot media hanya ada di Mac berbasis Intel dengan keping T2 dan tidak bergantung pada kebijakan boot aman. Sehingga meskipun pengguna menonaktifkan boot aman, ini tidak mengubah perilaku default pencegahan apa pun kecuali perangkat penyimpanan yang terhubung secara langsung ke keping T2 untuk melakukan boot Mac. (Kebijakan boot media tidak diperlukan di Mac dengan Apple silicon. Untuk Informasi lainnya, lihat Kontrol kebijakan keamanan Disk Mulai.)