![](https://help.apple.com/assets/664256E0F9FFA26F690A0B01/664256E3F9FFA26F690A0B07/el_GR/312766e3df7f57c1f549da2dab216b36.png)
Ασφάλεια εκκίνησης στο macOS
Οι πολιτικές ασφάλειας εκκίνησης μπορούν να βοηθήσουν στον περιορισμό των χρηστών που μπορούν να εκκινήσουν ένα Mac και των συσκευών που μπορούν να χρησιμοποιηθούν για εκκίνηση του Mac.
Έλεγχος των πολιτικών ασφάλειας δίσκων εκκίνησης για Mac με Apple Silicon
Σε αντίθεση με τις πολιτικές ασφάλειας σε υπολογιστές Mac με επεξεργαστή Intel, οι πολιτικές ασφάλειας σε Mac με Apple silicon υποστηρίζονται για κάθε εγκατεστημένο λειτουργικό σύστημα. Αυτό σημαίνει ότι στο ίδιο μηχάνημα μπορούν να υπάρχουν πολλές εγκατεστημένες παρουσίες του macOS με διαφορετικές εκδόσεις και πολιτικές ασφάλειας. Για αυτόν τον λόγο, ένας επιλογέας λειτουργικού συστήματος προστέθηκε στο Βοήθημα ασφάλειας εκκίνησης.
Σε Mac με Apple Silicon, το Βοήθημα ασφάλειας εκκίνησης υποδεικνύει τη συνολική κατάσταση της διαμορφωμένης από τον χρήστη ασφάλειας του macOS, π.χ. την εκκίνηση ενός kext ή τη διαμόρφωση του SIP (Προστασία ακεραιότητας συστήματος). Αν η αλλαγή μιας ρύθμισης ασφάλειας μπορεί να υποβαθμίσει σημαντικά την ασφάλεια ή να κάνει το σύστημα πιο ευπαθές σε παραβιάσεις, οι χρήστες πρέπει να πραγματοποιήσουν επανεκκίνηση στο recoveryOS κρατώντας πατημένο το κουμπί τροφοδοσίας (ώστε το κακόβουλο λογισμικό να μην μπορέσει να ενεργοποιήσει το σήμα, μόνο ένας χρήστης με φυσική πρόσβαση μπορεί να το κάνει) για να κάνουν την αλλαγή. Λόγω αυτού, ένα Mac με Apple Silicon δεν απαιτεί επίσης (ούτε και υποστηρίζει) το συνθηματικό υλικολογισμικού. Όλες οι κρίσιμες αλλαγές προστατεύονται ήδη από την εξουσιοδότηση χρηστών. Για περισσότερες πληροφορίες σχετικά με το SIP, δείτε την ενότητα Προστασία ακεραιότητας συστήματος στην Ασφάλεια πλατφόρμας Apple.
Οι οργανισμοί μπορούν, ωστόσο, να αποτρέπουν την πρόσβαση στο περιβάλλον recoveryOS, συμπεριλαμβανομένης της οθόνης επιλογών εκκίνησης, μέσω της χρήσης ενός συνθηματικού recoveryOS, διαθέσιμο στο macOS 11.5 ή μεταγενέστερες εκδόσεις. Για περισσότερες πληροφορίες, δείτε την ενότητα για το συνθηματικό recoveryOS παρακάτω.
Πολιτικές ασφάλειας
Υπάρχουν τρεις πολιτικές ασφάλειας για Mac με Apple Silicon:
Πλήρης ασφάλεια: Το σύστημα συμπεριφέρεται όπως στα iOS και iPadOS και επιτρέπει την εκκίνηση μόνο λογισμικού που είναι γνωστό ότι είναι η πιο πρόσφατη έκδοση που διατίθεται κατά την εγκατάσταση.
Μειωμένη ασφάλεια: Αυτό το επίπεδο πολιτικών επιτρέπει στο σύστημα να εκτελεί παλαιότερες εκδόσεις του macOS. Καθώς οι παλαιότερες εκδόσεις του macOS έχουν αναπόφευκτα μη διορθωμένες ευπάθειες, αυτή η λειτουργία ασφάλειας περιγράφεται ως Μειωμένη. Αυτό είναι επίσης το επίπεδο πολιτικών που πρέπει να διαμορφωθεί χειροκίνητα για την υποστήριξη επεκτάσεων πυρήνα εκκίνησης (kexts) χωρίς τη χρήση λύσης διαχείρισης φορητών συσκευών (MDM) και Αυτοματοποιημένης εγγραφής συσκευής με το Apple School Manager, το Apple Business Manager ή το Apple Business Essentials.
Επιτρεπτική ασφάλεια: Αυτό το επίπεδο πολιτικών υποστηρίζει χρήστες που δημιουργούν, υπογράφουν και εκκινούν δικούς τους προσαρμοσμένους πυρήνες XNU. Η Προστασία ακεραιότητας συστήματος (SIP) πρέπει να απενεργοποιηθεί για να ενεργοποιηθεί η λειτουργία «Επιτρεπτική ασφάλεια». Για περισσότερες πληροφορίες σχετικά, δείτε την ενότητα Προστασία ακεραιότητας συστήματος στην Ασφάλεια πλατφόρμας Apple.
Για περισσότερες πληροφορίες σχετικά με τις πολιτικές ασφάλειας, δείτε την ενότητα Έλεγχος των πολιτικών ασφάλειας δίσκων εκκίνησης για Mac με Apple silicon στην Ασφάλεια πλατφόρμας Apple.
συνθηματικό recoveryOS
Ένα Mac με Apple Silicon και macOS 11.5 ή μεταγενέστερη έκδοση υποστηρίζει τον καθορισμό ενός συνθηματικού recoveryOS μέσω λύσης MDM και της εντολής SetRecoveryLock
. Αν δεν εισαχθεί το συνθηματικό recoveryOS, ο χρήστης δεν θα έχει πρόσβαση στο περιβάλλον ανάκτησης, συμπεριλαμβανομένης της οθόνης επιλογών εκκίνησης. Ένα συνθηματικό recoveryOS μπορεί να καθοριστεί μόνο μέσω MDM, και για την ενημέρωση ή την αφαίρεση του υπάρχοντος συνθηματικού από την MDM, ο χρήστης πρέπει να παρέχει το τρέχον συνθηματικό. Καθώς το συνθηματικό recoveryOS μπορεί να καθοριστεί, να ενημερωθεί ή να αφαιρεθεί μόνο μέσω MDM, η κατάργηση εγγραφής ενός υπολογιστή Mac από το MDM που έχει ένα συνθηματικό recoveryOS θα αφαιρέσει επίσης το συνθηματικό. Οι διαχειριστές MDM μπορούν επίσης να επαληθεύσουν αν έχει οριστεί το σωστό συνθηματικό recoveryOS χρησιμοποιώντας την εντολή VerifyRecoveryLock
.
Σημείωση: Ο καθορισμός ενός συνθηματικού recoveryOS δεν αποτρέπει την επαναφορά ενός υπολογιστή Mac με Apple Silicon μέσω λειτουργίας DFU χρησιμοποιώντας το Apple Configurator, που μετατρέπει επίσης κρυπτογραφικά τα προηγούμενα δεδομένα στο Mac και τα κάνει μη προσβάσιμα.
Βοήθημα ασφάλειας εκκίνησης
Σε υπολογιστές Mac με επεξεργαστή Intel και chip ασφαλείας Apple T2, το Βοήθημα ασφάλειας εκκίνησης χειρίζεται πολλαπλές ρυθμίσεις πολιτικών ασφάλειας. Για πρόσβαση στο βοήθημα, πραγματοποιήστε εκκίνηση στο recoveryOS και επιλέξτε «Βοήθημα ασφάλειας εκκίνησης» στο μενού «Βοηθήματα». Το βοήθημα προστατεύει τις υποστηριζόμενες ρυθμίσεις ασφάλειας ώστε να μην είναι εύκολο να χειραγωγηθούν από εισβολείς.
Η πολιτική ασφαλούς εκκίνησης μπορεί να διαμορφωθεί με τρεις ρυθμίσεις: Πλήρης ασφάλεια, Μέτρια ασφάλεια, και Καμία ασφάλεια. Η ρύθμιση «Καμία ασφάλεια» απενεργοποιεί πλήρως την αξιολόγηση ασφαλούς εκκίνησης στον επεξεργαστή Intel και επιτρέπει στον χρήστη να πραγματοποιήσει εκκίνηση οποιουδήποτε στοιχείου.
Για περισσότερες πληροφορίες σχετικά με τις πολιτικές ασφάλειας, δείτε την ενότητα Βοήθημα ασφάλειας εκκίνησης σε Mac με chip ασφαλείας Apple T2 στην Ασφάλεια πλατφόρμας Apple.
Βοήθημα συνθηματικού υλικολογισμικού
Οι υπολογιστές Mac χωρίς Apple Silicon υποστηρίζουν τη χρήση ενός συνθηματικού υλικολογισμικού για αποφυγή ακούσιων τροποποιήσεων στις ρυθμίσεις υλικολογισμικού σε ένα συγκεκριμένο Mac. Το Συνθηματικό υλικολογισμικού χρησιμοποιείται για αποτροπή της επιλογής εναλλακτικών λειτουργιών εκκίνησης από τους χρήστες, π.χ. εκκίνηση στο recoveryOS ή στη Λειτουργία ενός χρήστη, εκκίνηση από μη εξουσιοδοτημένο τόμο ή εκκίνηση στη Λειτουργία δίσκου προορισμού. Ένα συνθηματικό υλικολογισμικού μπορεί να καθοριστεί, να ενημερωθεί ή να αφαιρεθεί χρησιμοποιώντας το εργαλείο γραμμής εντολών firmwarepasswd
, το Βοήθημα συνθηματικού υλικολογισμικού, ή το MDM. Για να μπορέσει το MDM να ενημερώσει ή να εκκαθαρίσει ένα συνθηματικό υλικολογισμικού, πρέπει πρώτα να γνωρίζει τον υπάρχον συνθηματικό, αν υπάρχει.
Σημείωση: Ο καθορισμός ενός συνθηματικού υλικολογισμικού δεν αποτρέπει την επαναφορά του υλικολογισμικού chip ασφαλείας Apple T2 μέσω της λειτουργίας DFU χρησιμοποιώντας το Apple Configurator. Κατά την επαναφορά του Mac, αφαιρείται οποιοδήποτε καθορισμένο συνθηματικό υλικολογισμικού στη συσκευή ενώ τα δεδομένα στον εσωτερικό χώρο αποθήκευσης σβήνονται με ασφάλεια.