![](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/sv_SE/52d714626638d3391623c853be0c593b.png)
Lösenord för fast programvara på Intel-baserade Mac-datorer
macOS på Intel-baserade Mac-datorer med Apple T2-säkerhetskrets har stöd för ett lösenord för fast programvara i syfte att förhindra oavsiktliga ändringar av inställningarna för fast programvara på en specifik dator. Lösenord för fast programvara är utformad för att förhindra att en användare väljer alternativa startlägen som start med recoveryOS, enanvändarläge, start från en obehörig volym eller start i hårddiskläge.
Obs! Lösenordet för fast programvara krävs inte på Mac-datorer med Apple Silicon eftersom den kritiska fasta programvarufunktionen det begränsar har flyttats till recoveryOS och (när FileVault är aktiverat) recoveryOS kräver användarauktorisering innan dess kritiska funktioner kan nås.
Du kommer åt det mest grundläggande läget för lösenord för fast programvara via Firmware-lösenordshanterare i recoveryOS på Intel-baserade Mac-datorer utan T2-krets och via Startsäkerhetsverktyg på Intel-baserade Mac-datorer med T2-krets. Avancerade alternativ (som möjligheten att begära lösenordet vid varje start) är tillgängliga via kommandoradsverktyget firmwarepasswd
i macOS.
Det är framförallt viktigt att ställa in ett lösenord för fast programvara för att minska risken för angrepp på Intel-baserade Mac-datorer utan T2-krets från en fysiskt närvarande angripare. Lösenordet för fast programvara kan hjälpa till att hindra angripare från att starta i recoveryOS där de sedan annars skulle kunna avaktivera systemintegritetsskydd (SIP). Och genom att begränsa start från alternativa medier kan en angripare inte köra behörig kod från ett annat operativsystem i syfte att angripa perifera fasta programvaror.
Det finns en återställningsmekanism för lösenordet för fast programvara för att hjälpa användare som har glömt bort lösenordet. Användarna kan trycka ned en tangentkombination vid start så att en modellspecifik sträng visas och sedan ge den strängen till AppleCare. AppleCare använder en digital signatur på en resurs som signaturkontrolleras av URI (Uniform Resource Identifier). Om signaturen godkänns, och innehållet är avsett för den specifika Mac-datorn, tar den fasta UEFI-programvaran bort lösenordet för fast programvara.
För användare som inte vill att någon annan än de själva ska kunna ta bort lösenordet för fast programvara genom att använda programvara har alternativet -disable-reset-capability
lagts till i kommandoradsverktyget firmwarepasswd
i macOS 10.15. Ifall lösenordet glöms och behöver tas bort måste logikkortet bytas ut. Innan det här alternativet ställs in måste användaren godkänna att stå för kostnaden vid ett eventuellt logikkortsbyte. Organisationer som vill skydda sina Mac-datorer från externa angripare och från anställda måste ställa in ett lösenord för fast programvara på system som ägs av organisationen. Detta kan göras på enheten på följande sätt:
Vid tidpunkten för tillhandahållandet genom att manuellt använda kommandoradsverktyget
firmwarepasswd
.Med hanteringsverktyg från tredje part som använder kommandoradsverktyget
firmwarepasswd
.Via MDM (Mobile Device Management).