Utility Sicurezza Avvio per i Mac dotati di chip di sicurezza Apple T2
Panoramica
Sui Mac dotati di processore Intel con chip di sicurezza Apple T2, Utility Sicurezza Avvio gestisce varie impostazioni delle politiche di sicurezza. L’utility è accessibile eseguendo l’avvio in recoveryOS e selezionando Utility Sicurezza Avvio dal menu Utility. Il suo scopo è quello di proteggere le impostazioni di sicurezza supportate da facili manipolazioni da parte di un hacker.
Per le modifiche a politiche fondamentali è necessaria l’autenticazione, anche in modalità di recupero. Quando l’utente apre per la prima volta Utility Sicurezza Avvio gli viene chiesto di inserire la password di amministratore dell’installazione principale di macOS associata all’istanza di recoveryOS da cui è stato attualmente eseguito l’avvio. Se non esiste alcun amministratore, occorre prima crearne uno perché sia possibile modificare la politica. Il chip T2 richiede che il Mac sia attualmente avviato in recoveryOS e che sia avvenuta un’autenticazione con una credenziale supportata da Secure Enclave prima che sia possibile effettuare tale modifica alla politica. Le modifiche alla politica di sicurezza hanno due requisiti impliciti. recoveryOS deve:
Essere avviato da un dispositivo di archiviazione collegato direttamente al chip T2, perché le partizioni sugli altri dispositivi non dispongono di credenziali supportate da Secure Enclave vincolate al dispositivo di archiviazione interno.
Trovarsi su un volume APFS, perché supporta unicamente l’archiviazione delle credenziali di autenticazione in Recovery inviate a Secure Enclave sul volume APFS di pre-avvio di un’unità. I volumi HFS Plus non possono essere utilizzati per l’avvio protetto.
Questa politica viene mostrata solo in Utility Sicurezza Avvio sui Mac dotati di processore Intel con chip T2. Sebbene nella maggior parte dei casi non dovrebbero essere necessarie modifiche alla politica di avvio protetto, in definitiva sono gli utenti ad avere il controllo delle impostazioni dei propri dispositivi e potrebbero decidere di disabilitare o ridurre la funzionalità di avvio protetto del Mac in base alle proprie esigenze.
Le modifiche alle politiche di avvio protetto effettuate dall’interno di questa app saranno applicate solo alla verifica della catena di affidabilità sul processore Intel. L’opzione relativa all’avvio protetto del chip T2 è sempre in vigore.
La politica di avvio protetto può essere impostata su una di queste tre opzioni: “Sicurezza totale”, “Sicurezza media” e “Nessuna sicurezza”. Nell’ultimo caso viene disabilitata completamente la verifica dell’avvio protetto sul processore Intel e l’utente può eseguire l’avvio di ciò che preferisce.
Politica di avvio “Sicurezza totale”
“Sicurezza totale” è la politica di avvio di default e si comporta in modo analogo ad iOS e iPadOS o a “Sicurezza totale” sui Mac dotati di chip Apple. Nel momento in cui il software viene scaricato e preparato per l’installazione, viene personalizzato con una firma che include l’ECID (Exclusive Chip Identification) come parte della richiesta di firma, ossia un ID unico in questo caso specifico per il chip T2. La firma restituita dal server di firma è quindi unica e utilizzabile solo da quel chip T2 in concreto. Il firmware UEFI è progettato per garantire che, quando viene applicata la politica “Sicurezza totale”, una firma determinata non sia solo di Apple, ma venga anche creata appositamente per quel Mac, vincolando quella versione di macOS a quel Mac specifico. Ciò aiuta a impedire attacchi rollback, come descritto per l’opzione “Sicurezza totale” sui Mac dotati di chip Apple.
Politica di avvio “Sicurezza media”
La politica di avvio “Sicurezza media” è pressoché simile all’avvio protetto UEFI, in cui un fornitore (in questo caso, Apple) genera una firma digitale per il codice dichiarando così che proviene dal fornitore. In questo modo gli hacker non potranno inserire codice non firmato. Apple definisce tale firma come “globale”, perché può essere utilizzata su qualsiasi Mac e per qualunque durata di tempo per i Mac su cui è impostata la politica “Sicurezza media”. iOS, iPadOS e il chip T2 non supportano le firme globali. Questa impostazione non tenta di impedire gli attacchi rollback.
Politica di avvio da supporto
La politica di avvio da supporto è disponibile solo sui Mac dotati di processore Intel con chip T2 ed è indipendente dalla politica di avvio protetto. Dunque, anche se un utente disabilita l’avvio protetto, il comportamento di default non consentirà l’avvio del Mac da dispositivi di archiviazione non direttamente collegati al chip T2. (La politica di avvio da supporto non è richiesta sui Mac dotati di chip Apple. Per ulteriori informazioni, consulta Controllo delle politiche di sicurezza per il disco di avvio.)