Le mode mono-utilisateur d'OS X n'est-il pas une mauvaise idée?
Récemment, j'avais un Mac qui faisait frire sa carte logique vidéo. Heureusement, Apple avait conclu qu'il s'agissait d'un défaut de conception et corrigeait les modèles concernés gratuitement (voir plus ici ). Cependant, je n'ai pas trouvé cette page pour pendant un certain temps, et pendant ce temps, j'ai dû penser à récupérer mes données. Alors, j'ai regardé autour des interwebs et trouvé le mode mono-utilisateur.
Lorsque l'ordinateur est éteint, appuyez sur le bouton d'alimentation tout en maintenant enfoncée la commande et s touches. Continuez à les maintenir enfoncés et au lieu de démarrer sur l'écran de chargement Apple, il démarre sur le terminal Unix sous-jacent. Une fois là-bas, vous pouvez entrer les commandes suivantes:
mount -uw /
cd /Users/
ls
Et tous les dossiers de départ des utilisateurs sont affichés. En continuant vers cd dans ces dossiers et ls pour afficher le contenu, vous pouvez parcourir tous les fichiers des utilisateurs, sans avoir besoin d'un mot de passe .
J'ai ensuite constaté que vous pouvez également brancher une clé USB et y copier des fichiers (ou à partir d'elle), ou effectuer des actions sur les fichiers telles que déplacer et supprimer.
Bien que cela m'a été utile pour récupérer les données de mon Mac frit, en quoi est-ce une bonne idée? Si jamais je prenais le MacBook d'un ami et qu'il était verrouillé, je pouvais simplement l'éteindre, démarrer en mode mono-utilisateur et jouer avec leurs fichiers - ou même en faire une copie sur une clé USB pour une utilisation ultérieure. Les Mac sont utilisés par de nombreuses personnes, dont beaucoup ont des fichiers très importants à protéger.
Ce n'est évidemment pas un bug, car Apple a un article de support sur la façon de entrer mode mono-utilisateur. Je sais également que l'un des objectifs initiaux du mode mono-utilisateur est de réinitialiser votre mot de passe si vous l'avez perdu, mais donner accès à tout l'ordinateur via la ligne de commande ne semble pas être un bon moyen de s'y prendre.
Alors, est-ce un problème? Le mode mono-utilisateur est-il mauvais? Pour moi, c'est une faille de sécurité, mais je pourrais manquer quelque chose.
L'accès physique est un accès total, non? En quoi est-ce pire qu'un CD de démarrage ou un coup sec sur le disque dur et l'insérer dans un autre système?
Non pas que je sois fan d'OSX ou de cette fonctionnalité particulière, mais si quelqu'un a un accès physique à un ordinateur avec un disque non crypté, il a quand même accès à tout ce qui se trouve sur ce disque, donc le mode mono-utilisateur ne fait pas empirer les choses, Soit.
Si FileVault est activé, vous aurez alors besoin des informations d'identification FVDE pour l'un des utilisateurs FVDE afin d'accéder au mode mono-utilisateur, même si vous déplacez le disque SSD vers une nouvelle machine.
Cependant, si vous essayez d'empêcher un utilisateur final d'accéder à un compte administrateur (et/ou au compte racine), FileVault n'est pas suffisant en raison du mode mono-utilisateur. On peut entrer en mode mono-utilisateur en utilisant leurs informations d'identification FVDE, remonter le système de fichiers comme vous le démontrez, puis rm /var/db/.AppleSetupDone pour réexécuter l'assistant de configuration OS X où un nouveau compte d'administrateur peut être ajouté et qui aura les informations d'identification FVDE.
En d'autres termes, vous pouvez protéger les fichiers si vous activez FileVault, mais vous ne pouvez pas empêcher quelqu'un avec au moins une information d'identification FVDE d'accéder à tout en tant que root en raison du mode mono-utilisateur.
Il y a une idée fausse à ce sujet. Le problème n'est en fait pas le mode mono-utilisateur. Par exemple, considérons le scénario suivant:
Quelqu'un met la main sur votre ordinateur portable. Pas de chiffrement du disque dur et pas de mot de passe BIOS. Maintenant, il a plusieurs options. Pour n'en nommer que deux:
- Retirez le disque dur de l'ordinateur portable et utilisez-le simplement à partir d'un autre PC. Contourner toute protection de fichiers comme les propriétaires de fichiers définis par le système n'est pas vraiment difficile, car il peut simplement utiliser
Sudo/le compte admin/quelle que soit la manière d'obtenir les privilèges les plus élevés que son système d'exploitation fournit et simplement modifier le la propriété comme il l'entend. Sur certains macbooks, cela peut devenir un peu difficile, selon la façon dont le disque dur est intégré à la machine. - Démarrez à partir d'un autre système d'exploitation via une clé USB amorçable et récupérez les fichiers via ce système d'exploitation.
Ou la version courte:
Loi n ° 3: si un méchant a un accès physique illimité à votre ordinateur, ce n'est plus votre ordinateur
D'après les 10 lois immuables de la sécurité informatique . Le mode singleuser fournit simplement un moyen simple d'accéder aux fichiers sans utiliser de solution de contournement triviale.
Donc: comment protéger mes fichiers?
Tout d'abord et assez évident: utilisez le chiffrement du disque, pour empêcher quiconque d'accéder au disque dur sans mot de passe. OS X fournit FileVault/FileVault2 à cet effet, qui crypte les données à l'aide de XTS-AES 128. Cela empêcherait toute personne n'ayant pas de compte enregistré sur la machine de démarrer la machine/d'accéder aux fichiers . Mais vous pouvez même aller plus loin, en utilisant un firmware-password (parfois aussi appelé EFI-password), pour empêcher votre machine de démarrer à partir d'un autre système d'exploitation que votre lecteur. De plus, l'accès au mode utilisateur, à Recovery et à quelques autres fonctionnalités est également refusé aux utilisateurs non autorisés. L'activation de FileVault et l'utilisation d'un mot de passe de micrologiciel devraient donc être suffisantes pour empêcher quiconque, sauf vous, d'accéder à vos fichiers. La seule option qui resterait serait de retirer le disque dur et de casser le mot de passe. En d'autres termes: vous ne pouvez pas obtenir beaucoup plus de sécurité sur ce vecteur d'attaque.
En plus de protéger le lecteur avec le chiffrement intégral du disque de FileVault 2, vous pouvez désactiver le mode mono-utilisateur en définissant un mot de passe de micrologiciel. Cela empêchera les autres utilisateurs qui peuvent déchiffrer le lecteur, comme une machine multi-utilisateurs, d'accéder au mode mono-utilisateur, entre autres.
De tilisez un mot de passe de firmware sur votre Mac :
Pour protéger les données sur votre Mac, vous pouvez définir un mot de passe de compte d'utilisateur pour empêcher les utilisateurs non autorisés de se connecter. Vous pouvez également crypter votre disque de démarrage à l'aide de FileVault afin que les utilisateurs non autorisés ne puissent pas lire les données stockées sur votre Mac sans le bon mot de passe. .
Pour une protection supplémentaire, vous pouvez également définir un mot de passe de micrologiciel sur votre Mac. Un mot de passe du micrologiciel empêche votre Mac de démarrer à partir de n'importe quel appareil autre que votre disque de démarrage désigné.
Bien que cela ne soit pas spécifiquement mentionné dans l'extrait ci-dessus, il désactive le mode mono-utilisateur (et la partition de récupération) sans entrer d'abord le mot de passe du micrologiciel, car il ne démarrera que le disque/la partition de démarrage par défaut sans le mot de passe.
Bien sûr, le mot de passe du micrologiciel ne protège pas contre le retrait physique du lecteur et sa lecture sur une autre machine, mais utilisé en tandem avec FileVault 2, il peut protéger contre d'autres utilisateurs ayant accès à la machine.