Как найти выключенный макбук

Что делать, если украли MacBook. Эта статья спасёт вас от последствий

Последнее время кражи iPhone и iPad практически перестали иметь смысл – блокировка активации устройства действует достаточно эффективно. Благодаря ей шанс того, что злоумышленник сможет получить доступ к содержимому ноутбука и хотя бы просто его разблокировать без пароля, стремится к нулю. Чтобы ее обойти, придется заплатить мастерам зачастую значительно большие суммы, чем удастся выручить за лэптоп на вторичке. Макбук — довольно дорогостоящее устройство, но компенсировать мороку с его разблокировкой не сможет даже выгодный слив на Авито. Однако разучить свои действия на случай, если ваш Мак всё-таки станут, нужно обязательно.

Кражи MacBook’ов — явление не регуляное, но нужно быть готовым ко всему

❗️ПОДПИШИСЬ НА НАШ КАНАЛ В ЯНДЕКС.ДЗЕНЕ, ЧТОБЫ ЧИТАТЬ ЭКСКЛЮЗИВНЫЕ СТАТЬИ БЕСПЛАТНО

Далеко не все пользователи компьютеров Apple тратят время на базовую настройку, позволяющую защитить компьютер от кражи. Если ваш макбук по какой-то причине разобьется – это безусловно будет обидно, но ваши данные будут в безопасности. А случае кражи без соответствующих настроек велика вероятность потерять не только компьютер, но и персональные данные и даже собственные деньги.

Вот несколько советов, которые обезопасят вас от потери вашей личной информации и что следует предпринять в случае кражи.

Локатор на Макбуке — как включить

Для вашей же безопасности Локатор должен быть настроен на всех ваших устройствах

К сожалению, не всегда существует возможность предотвратить потерю или кражу вашего компьютера, но можно принять ряд превентивных мер, чтобы защитить свои данные и облегчить поиск устройства. Проверьте, чтобы на вашем Маке был включен «Локатор».

• Для этого зайдите в «Системные настройки» — iCloud и убедитесь, что переключатель активирован.
• Установите сложный пароль блокировки экрана. Если ваш мак поддерживает Touch ID, то добавьте еще и его.
• Скорее всего, ваш мак хранит большое количество личной информации. Наряду с установкой пароля рекомендуем зашифровать устройство с помощью FileVault. Это может сильно затруднить злоумышленникам доступ к вашим данным. Откройте «Системные настройки», зайдите в раздел «Безопасность и конфиденциальность», выберите вкладку «FileVault» и включите его.
• Регулярно создавайте резервную копию вашего Мак на внешний диск с помощью Time Machine. Это позволит, даже если не получится вернуть сам компьютер, восстановить ваши данные на новом устройстве.

Как найти устройство через Локатор

Если под рукой нет iOS-устройства искать потерянный компьютер можно через iCloud.com

Если ваш макбук все-таки пропал, самое первое, что нужно сделать, это попытаться его найти с помощью сервиса «Найти Mac». Откройте приложение «Локатор» на iPhone или iPad и посмотрите местонахождение компьютера. Наряду нативным клиентом для iOS доступна еще и веб-версия приложения на сайте iCloud.com. В случае нахождения вашего Мак поблизости существует возможность воспроизвести на нем звук для удобства поиска.

Определив, что компьютер действительно потерян или украден, следующим шагом следует перевести его в режим пропажи. Этот режим предотвратит несанкционированный доступ к вашему Мак, заблокировав его. Кроме того, получится отобразить на экране блокировки настраиваемое сообщение с обращением к нашедшему – удобная функция для размещения ваших контактных данных для связи.

Как перевести Мак в режим пропажи:

• Откройте «Локатор» на любом устройстве Apple или используйте сайт iCloud.com;
• Разверните список устройств;
• Найдите в списке пропавший компьютер и откройте его;
• В появившемся меню пометьте устройство как потерянное;
• Следуйте инструкциям и введите пользовательское сообщение;
• Нажмите кнопку «Активировать».

Если возможности найти Мак все же нет, то рекомендуем стереть с него все данные, чтобы они не попали в чужие руки:

• Откройте «Локатор» на любом устройстве Apple или используйте сайт iCloud.com;
• Разверните список устройств;
• Найдите в списке пропавший компьютер и откройте его;
• Нажмите «Стереть этот Mac».

Найти Mac не работает. Что делать

Регулярно создавайте резервные копии в Time Machine, чтобы не потерять ценную информацию

В случае, если Найти Мак не был настроен до потери, то следует идти по самому негативному сценарию, что ваши данные могут быть использованы для мошеннических действий. Необходимо сменить все пароли на всех сервисах, особенно в онлайн-банках, включить двухфакторную идентификацию и подозрительную активность своих аккаунтов на основных ресурсах, таких как Госуслуги, интернет-магазины, где привязаны платежные карты, личные кабинеты банков, социальные сети.

Главным действием в такой ситуации будет подача заявления в полицию. Обращаясь к правоохранителям, необходимо предоставить серийный номер устройства, коробку или чек, подтверждающий покупку. Без этих документов ход делу никто не даст. Отметка о приеме на заявлении позволит подтвердить факт кражи, Это позволит подтвердить факт кражи, если злоумышленникам удастся использовать ваш компьютер для противоправных действий, или он всплывёт где-нибудь на вторичном рынке.

Как украсть Macbook

У меня несколько раз воровали макбуки, и ни разу антикражные средства Apple вроде Find My Mac не помогли мне вернуть компьютер. Действительно ли они бесполезны? Можно ли доверять встроенному шифрованию FileVault? Как повысить шансы вернуть компьютер? Эта статья результат моих страданий в безрезультатных попытках вернуть украденные компьютеры.

В статье подробно описываются механизмы защиты глазами атакующего, в нашем случае вора. Это дает более наглядное представление о том, как они работают. Повествование в статье ведется от лица вора — это только художественный прием для лучшего понимания материала.

Внимание!
Материалы в статье представлены исключительно в ознакомительных целях. Все описания мошеннических действий инсценированы и выполнены с согласия владельцев ноутбуков. Автор не призывает к мошенническим действиям, и единственная цель статьи — показать, как лучше настраивать систему, чтобы защитить свои данные.

Предисловие

На скриншоте ниже один из нескольких моих украденных ноутбуков, оставшийся похороненным в панели iCloud.

Интерфейс функции Find My Mac в контрольной панели iCloud говорит, что функции блокировки станут доступны когда ноутбук подключится к интернету. Но этого никогда не случится.

Каждый раз, когда у меня воровали макбук, или я его терял вместе с сумкой, я осознавал всю бесполезность функций Find My Mac. Ведь в ноутбуке нет модема, и я не могу ни отследить его местоположение, ни удаленно стереть данные. Чтобы антикражные функции заработали, вор должен подключить мой ноутбук к интернету. Но как он это сделает, если учетная запись заблокирована паролем? Получается, даже человек, который захочет вернуть мне компьютер не сможет это сделать, если я заранее не напишу где-то на корпусе мои контакты. Я совершенно уверен, что во всех случаях кражи, мои ноутбуки были полностью очищены и проданы новым владельцам, которые сейчас ими пользуются без проблем даже не подозревая, что они были украдены.

Айфоны защищены лучше

Айфон с актуальной iOS нельзя просто так отвязать от iCloud. (Картинка Александр Варакин)

Современные Айфоны достаточно хорошо защищены, их нельзя просто так отвязать от учетной записи iCloud и продать на радиорынке. Поэтому существуют целые мошеннические схемы по отвязыванию устройств через фишинг. Хорошее исследование Антона Bo0oM об этом явлении: Фишеры iCloud и где они обитают. Воры обманным путем пытаются авторизоваться в iCloud-аккаунте жертвы и разблокировать телефон. Даже если вор успел вытащить SIM-карту и отключить WiFi, до того как владелец смог заблокировать телефон, он все равно не сможет его разблокировать, если включена авторизация по отпечатку, лицу или пин-коду. И это круто.

Про блокировку айфонов есть очень много информации, эти механизмы хорошо изучены. Но те же функции в макбуках никто не обсуждает, кажется, будто их и нет. К сожалению, все модели макбуков до 2018 года (без чипа T2) беззащитны против воров, и их в любом случае продадут полностью очищенным. Но при этом вы можете максимально усложнить жизнь вору и защитить свои данные.

Шаг 1: Крадем макбук

Для реалистичной проверки всех гипотез нам потребуется украсть настоящий макбук. Дальнейшее повествование я буду вести от имени вора. Для того чтобы понимать, как работают механизмы защиты, нужно воспроизвести реальную модель угроз (модель нарушителя).

По сценарию из видео я украл включенный макбук у жертвы в кафе. В момент кражи я закрыл крышку, так что ноутбук перешел в спящий режим и отключился от WiFi. Это важный момент, так как он воспроизводит самый популярный сценарий, в котором ноутбук попадает в руки к вору. Чаще всего владельцы макбуков просто закрывают крышку и убирают ноутбук в сумку, не выключая комп. Все разы, когда я лишался своего компьютера, он был в этом состоянии — спал в рюкзаке.

Find My — трекинг устройства без интернета

Новая технология геотрекинга без интернета от Apple

Сразу после кражи я бегу с украденным макбуком подмышкой к себе в лабораторию. Представим, что я бегаю быстрее жертвы и смог скрыться. При этом действия происходят в городе, и я бегу по людной улице. Что будет делать в этот момент жертва? В панике зайдет в приложение FindMy и будет пытаться отследить компьютер или заблокировать его. Но заблокировать или стереть данные не получится, ведь у ноутбука нет связи с интернетом. Зато получится увидеть реальные координаты ноутбука на карте, и это удивительно!

В 2019 году Apple анонсировала обновленное приложение FindMy и новый способ трекинга устройств, в настройках он называется Offline Finding. Большинство пользователей техники Apple не знает об этой функции.

Принцип работы такой: для начала вам нужно иметь минимум два устройства Apple, привязанные к одной учетной записи iCloud. На обоих устройствах должна стоять актуальная операционная система, не ниже iOS 13 и macOS 10.15 (Catalina). Если все условия выполнены, оба устройства генерируют ключи и обмениваются приватными частями (закрытым ключом) друг с другом, так что каждое устройство может расшифровать сообщения другого.

По заверению Apple эти ключи хранятся только на устройствах и не сохраняются на сервере. То есть воспользоваться функцией можно только с другого устройства и нельзя с сайта icloud.com. Это значит, что потеряв оба устройства, на сайте icloud.com получится посмотреть только онлайн геолокацию, которая работает только, если устройство имеет доступ в интернет, но не offline finding.

Когда устройство оказывается без интернета, например, телефон без SIM-карты или макбук без WiFi, оно начинает рассылать специальные пакеты через Bluetooth Low Energy со своим публичным ключом. И любое устройство Apple, оказавшееся рядом, например, случайный прохожий с айфоном, услышав такой сигнал, автоматически возьмет этот ключ, зашифрует им свои текущие координаты и отправит их на сервер. Для этого не требуется никаких действий от пользователя, все происходит в фоне, пока телефон лежит в кармане с заблокированным экраном. Своего рода проприетарный ботнет с легкими нотками mesh-сетей.

В macOS за эту функцию отвечает демон /usr/libexec/searchpartyuseragent. Ключи, предположительно, хранятся в ключнице под именем LocalBeaconStore → LocalBeaconStoreKey. Огорчает только что BLE-маяки рассылаются только при включенной системе или в спящем режиме, то есть чтобы отключить такой трекинг, вору достаточно зажать кнопку выключения. Было бы прекрасно, если бы этот функционал работал прямо на Bluetooth/WiFi чипе, когда на материнской плате есть дежурное питание.

Шаг 2: Прячемся — спуфинг геотрекинга через Bluetooth-прокси

Можно ли обмануть систему и показать жертве поддельный адрес его ноутбука? Если потерянный макбук сам не знает свои координаты, а только отправляет публичный ключ, значит координаты добавляет устройство, принявшее сигнал. А значит эта схема уязвима к спуфингу!

Ретранслятор BLE-пакетов пересылает все услышанные сигналы на удаленный передатчик

В схеме с ретранслятором приёмник слушает все сигналы от жертвы и по интернету пересылает их на передатчик. Случайные прохожие, принявшие сигнал, добавляют к нему свои координаты и пересылают на сервер. Я сижу с устройством жертвы в подвале, а передатчик лежит в другом конце города. Таким образом, жертва видит поддельные координаты.

Для построения такой схемы потребуется два компьютера с BLE-адаптерами соединенные в одну сеть и фреймворк BtleJuice.

Проприетарный протокол FindMy до сих пор не изучен, формат BLE-пакетов неизвестен. Неизвестны даже точные интервалы между посылками маяков и условия, в которых активируется эта функция. Экспериментально установлен интервал в 10-20 минут. По заявлениям Apple приватный ключ регулярно изменяется, но как часто неизвестно. Приглашаю всех поучаствовать в реверсинге протокола. На сайте Apple есть описание криптографии, используемой в FindMy.
UPD: В момент написания этих строк было опубликовано исследование криптографии, применяемой в FindMy, автор не рассматривает техническую реализацию протокола, и я не совсем понял о чем работа вообще.

Чтобы проксировать запросы на передатчик, нужен сервер и подойдет с минимальным конфигом, как у RUVDS за 130 рублей. У него посекундная тарификация и плата только за использованные ресурсы. Для хабраюзеров работает скидка 15% по промокоду dontpanic.

Шаг 3: Крадем данные с ноутбука

Данные на диске могут быть намного ценнее самого макбука. Что если там ключи от биткоин-кошельков, логины-пароли, или интимные фотографии? Поэтому сперва попробуем прочитать данные на диске. Мы украли ноутбук во включенном состоянии, но в момент кражи крышка была закрыта, и сейчас он заблокирован паролем юзера. Большинство владельцев макбуков носит их в спящем режиме, то есть просто закрывает крышку. Это самое вероятное состояние, в котором вор получит компьютер.

Самый простой способ прочитать данные — загрузиться с USB-флешки в Linux. Но если в системе включен FileVault, то прочитать данные не получится, поэтому перезагружаться для нас рискованно, ведь заранее неизвестно, включено шифрование или нет. Пока компьютер включен, файловая система точно расшифрована, поэтому нужно попытаться получить доступ не перезагружаясь.

Здесь можно было бы применить DMA-атаку, чтобы вытащить ключи FileVault из памяти. Но насколько мне известно, обычные DMA-атаки не работают через Thunderbolt из-за IOMMU. Существуют фреймворки вроде Thunderclap для атак на современные Thunderbolt-устройства, но таким кунг-фу я не владею.

Мы не будем рассматривать вариант брута пароля от учетной записи юзера, потому что это не спортивно. К тому же macOS добавляет большую задержку перед вводом нового пароля после неудачных попыток. Для такой атаки можно использовать любые аппаратные тулзы, позволяющие эмулировать HID-клавиатуру, в том числе raspberry pi или arduino. Ключевым моментом здесь будет словарь для подбора. Я советую вам использовать пароль хотя бы с одним спец-символом и без словарных слов. Этого вполне достаточно чтобы защититься от такого брута.

Подключаем заблокированный ноутбук к Wi-Fi

Пока ноутбук включен и файловая система разблокирована, попробуем постучаться к нему по сети. Возможно, у жертвы включен сетевой диск или какие-то другие сервисы, через которые можно пролезть внутрь. Попробуем уговорить ноутбук подключиться к нашему WiFi.

Когда устройства сканируют WiFi-сети, в пакетах probe request они рассылают еще и имена сетей, к которым недавно подключились. То есть пока вы ходите по городу, ваш телефон или ноутбук рассылает имя вашей домашней WiFi-сети в надежде, что она ему ответит. По задумке это должно ускорить подключение к сети, когда она рядом.

Чтобы узнать, к каким сетям готов подключаться ноутбук жертвы, я кладу рядом с ним внешний WiFi-адаптер и закрываю крышку импровизированной клетки Фарадея. Теперь адаптер будет хорошо слышать сигналы от ноутбука и не слышать другие.

Запускаем мониторный режим c фильтром по одному типу пакетов, ведь мы хотим видеть только проб-реквесты.

tcpdump -e -l -I -i en0 type mgt subtype probe-req BSSID:Broadcast DA:Broadcast SA:xx:xx:xx:xx:xx:xx Probe Request (MGTS_GPON_1856) BSSID:Broadcast DA:Broadcast SA:xx:xx:xx:xx:xx:xx Probe Request (MGTS_GPON_1856) BSSID:Broadcast DA:Broadcast SA:xx:xx:xx:xx:xx:xx Probe Request (Onlime) BSSID:Broadcast DA:Broadcast SA:xx:xx:xx:xx:xx:xx Probe Request (MT_FREE) 

Видно, что ноутбук помнит несколько разных сетей, среди которых есть похожие на домашние. Важно иметь в виду, если ноутбук помнит сеть с паролем, то он не будет автоматически подключаться к ней, если она вдруг появится без пароля, но с тем же именем. Из этих названий мы можем предположить, что первые две сети, скорее всего, имели пароли, а вот последняя, это сеть московского общественного транспорта и она, видимо, была сохранена в памяти компьютера без пароля.

Такой тип атак достаточно древний, но до сих пор иногда работает. Есть автоматические инструменты вроде hostapd-karma, которые сразу отвечают на все имена сетей.

Теперь нам нужно поднять точку доступа с именем выбранной сети, в нашем случае MT_FREE, чтобы ноутбук автоматически к ней подключился. При этом нужно учесть, что если ноутбук сможет попасть в интернет, владелец сразу сможет его заблокировать и очистить диск. Но полностью интернет отключать нельзя, иначе macOS может сразу отключиться от такой WiFi-сети, посчитав ее сломанной. Поэтому в ней должен быть работающий DHCP, DNS-резолвер и интернет по HTTP, чтобы работали тесты на captive-портал. Достаточно открыть в интернет только TCP порт 80, и macOS будет считать, что сеть абсолютно нормальная, при этом антикражные функции iCloud работать не будут.

Если макбук успешно подключится к WiFi, нам останется просканировать его по сети на предмет открытых сервисов, сетевых шар и т.д. Я не буду рассказывать, как это сделать, потому что это выходит за рамки данной статьи.

Нужно честно признать, что большинство пользователей используют настройки по умолчанию и никакие дополнительные сетевые сервисы не настраивают, поэтому шанс успеха у такой атаки ничтожно мал. Но попробовать все равно стоило, так как это последний доступный способ взаимодействия с системой, у которой точно расшифрован диск.

Перезагрузка в неизвестность

Напомню, что пока система была загружена, у нас не было способа выяснить, включено ли шифрование диска FileVault. Чтобы это проверить нужно перезагрузить ноутбук. Это можно сделать, только зажав кнопку включения, так как на экране заблокированной сессии нет меню управления питанием. Далее, возможны два варианта развития событий:

FileVault не настроен

Изи катка! Просто загружаемся с флешки или вытаскиваем диск (на моделях до 2016 года) и все файлы нашей жертвы доступны в открытом виде. На линуксе потребуется немного заморочиться с настройкой fuse-apfs.

FileVault включен

При первой настройке FileVault предлагает загрузить ключ от шифрования диска в iCloud, и в теории вор мог бы атаковать аккаунт жертвы, но мы не рассматриваем фишинговые атаки в рамках этой статьи. Для брута FileVault существует несколько инструментов: коммерческие программы от Elcomsoft и открытые программы вроде apfs2john для использования вместе с John The Ripper.

Скорее всего, рядовой вор не будет тратить ресурсы на брут вашего диска, если только это не целевая атака на данные. Для простоты будем считать, что несловарный пароль из 6-8 символов разного регистра с использованием спецсимволов неуязвим.

Как это должно работать по задумке Apple

Я долго не мог понять, как именно в Apple представляют работу Find My Mac в реальной жизни, ведь если следовать дефолтным рекомендациям при первой настройке системы, пользователь получит компьютер с активированным FileVault и злоумышленник никогда не сможет залогиниться, чтобы отстучаться в интернет и активировать все ловушки.

Единственный возможный сценарий, это гостевой аккаунт. По задумке вор после перезагрузки попадает на экран ввода пароля для разблокировки диска. Не угадав пароль, он выбирает гостевой аккаунт и загружается в Safari Only Mode. Это особый режим работы доступный только для гостевой учетной записи. В нем запускается только одна программа — браузер Safari. Дело в том, что при активации FileVault, часть диска остается незашифрованной для recovery раздела. В нем хранится минимальный образ macOS, отсюда и загружается Safari. В этом режиме вор может подключиться к интернету вот тут уже ноутбук свяжется с iCloud и сможет выполнять удаленные поручения владельца.

Шаг 4: Продаем макбук

Работа с переменными NVRAM

Итак, вор получил или не получил доступ к данным и дальше он хочет продать ноутбук на вторичном рынке. Для этого ему нужно отвязать компьютер от учетных записей iCloud и переустановить ОС. Кроме самой операционной системы на жестком диске, в макбуке есть переменные NVRAM, хранящиеся на флешке в материнской плате. Эти данные выживают после
переустановки macOS. В них хранится токен, по которому сервер опознает привязку макбука к учетной записи iCloud.

Для работы с переменными из юзерспейса есть утилита nvram:

Пример токена Find My Mac

# Токен Find My Mac $ nvram fmm-mobileme-token-FMM fmm-mobileme-token-FMM bplist00%dc%01%02%03%04%05%06%07%08%09%0a%0b%0c%0d%0e%10%0d%11%0d%12%13%14%15%16%1d_%10%0funregisterState_%10%12enabledDataclassesYauthToken^disableContextVuserid]enableContextXusernameXpersonIDWaddTimeTguidXuserInfo_%10%13dataclassProperties%10%00%a1%0f_%10!com.apple.Dataclass.DeviceLocator_%10%ccEAADAAAABLwIAAAAAF6Jva4RDmqzLmljbG91ZC5hdXRovQA_OvlxQ5x0ULxeZIwLf9ZKD2GL8xWXoQiCKVs4tSztt-QZ2ZPlgZqpHekekaGd06Bm20kyU4m1ryRhBPR5DNSSbfzrKM_Ap0elpAitBDkGyHGjTe9c5WajVpfvWe_RGFhcamieaVhGQGzsiFGe11nt1PtCzA~~%11%01%f5_%10%11ivan@ivanov.comZ1253943158#A%d7%a2or%f3kP_%10$7C83E2DA-8A39-414E-B004-4DE79E4D35B3%d3%17%18%19%1a%1b%1c_%10%15InUseOwnerDisplayName_%10%13InUseOwnerFirstName_%10%12InUseOwnerLastName]ivan ivanovUivanWivanov%d1%0f%1e%d5%1f !"#$%25&'(VapsEnvXhostname]idsIdentifierVscheme]authMechanismZProduction_%10%13p09-fmip.icloud.com_%10$0FFD23C3-F469-42C1-97E0-FD8EE1F80502UhttpsUtoken%00%08%00!%003%00H%00R%00a%00h%00v%00%7f%00%88%00%90%00%95%00%9e%00%b4%00%b6%00%b8%00%dc%01%ab%01%ae%01%c2%01%cd%01%d6%01%fd%02%04%02%1c%022%02G%02U%02[%02c%02f%02q%02x%02%81%02%8f%02%96%02%a4%02%af%02%c5%02%ec%02%f2%00%00%00%00%00%00%02%01%00%00%00%00%00%00%00)%00%00%00%00%00%00%00%00%00%00%00%00%00%00%02%f8 

Интересно, что официальная справка по команде nvram скрывает некоторые функции. Намного полезнее оказался мануал из утекших документов ЦРУ, опубликованный на Wikileaks: EFI Basics: NVRAM Variables. Оказывается, утилита умеет напрямую работать с переменными UEFI (efi vars). Но изменять значения большинства переменных можно только с отключенным SIP (system integrity protection).

UPD: У меня перестало работать обращение к переменным EFI через утилиту nvram на macOS Catalina. Возможно, изменились GUID, имена переменных или синтаксис программы. Необходимо проверить актуальность переменных через UEFI shell или Linux.

Для отвязывания ворованного ноутбука достаточно очистить переменные nvram и переустановить ОС. Чтобы сбросить nvram нужно зажать Command (⌘) + Option + P + R при загрузке ноутбука. Этого достаточно, чтобы сервера iCloud перестали считать устройство принадлежащим определенной учетной записи iCloud. И хотя после сброса nvram серийный номер материнской платы остается прежним, iCloud разрешит привязать ноутбук к новой учетной записи.

Пароль на UEFI

На предыдущих шагах мы загружались с флешки (клавиша Option при загрузке) и сбрасывали nvram. Но оказывается, все это можно запретить с помощью пароля на UEFI. Об этом, кстати, мало кто знает даже среди опытных пользователей маков. Установленный пароль на прошивку запрещает такие действия:

• Сброс NVRAM на этапе загрузки
• Сброс SMC
• Выбор другого метода загрузки (клавиша Option)

Установить пароль на UEFI можно через Recovery Mode. Для этого на этапе загрузки нужно зажать CMD+R и выбрать в меню Startup Security Utility.

Но не все так радужно, пароль на UEFI не защищает. На макбуках до 2019 года, прошивка UEFI и переменные NVRAM хранятся на обычной SPI флешке, к которой можно подключиться программатором и без всякой авторизации изменить любые данные.

Сброс пароля UEFI

На всех макбуках без чипа T2, прошивка на материнской плате никак не защищена. Ее можно легко перепрошить, в том числе убрать пароль на UEFI. Для этого достаточно подключиться программатором к дебаг-разъему на материнской плате и дальше можно работать с чипом памяти как с обычной флешкой.

Универсальный кабель для прошивки флешки под все модели макбуков

Есть некоторая путаница с этими разъемами, так как у них нет ключа, то есть можно подключать разными сторонами. На разных моделях макбуков разъем находится в разных местах, также иногда требуется отдельно припаять питание флешки 3.3V. Поэтому иногда нужно внимательно изучить схему конкретной материнской платы.

Существуют также полностью автономные устройства, которые находят нужное смещение в прошивке и налету патчат его, отключая UEFI пароль. В некоторых сервисных центрах, где предлагают избавление от пароля на UEFI, предпочитают выпаивать чип памяти и прошивать его в зажиме программатора.

UEFI импланты

Есть отдельная экзотика — внешние платы с EEPROM, вставляющиеся сразу в debug-разъем. Обычно их уже прошивают под нужную материнскую плату. Сразу после установки компьютер начинает грузиться с этой флешки, игнорируя родную, распаянную на материнской плате. При этом родная флешка может оставаться с паролем прошивки. Такие импланты удобно использовать для экспериментов с патчами UEFI, всегда можно откатиться на родную прошивку, просто вытащив модуль.

Фишинговая антикражная система

Меня так расстраивала бесполезность всех антикражных систем Apple, что я решил придумать свою. Это было еще до анонса чипа Т2, поэтому на аппаратную защиту полагаться было нельзя, и я решил просто обмануть вора, чтобы он сам сделал все, что требуется.

Схема такая:

1. На диске макбука выделяется маленький раздел под линукс. Современное ядро (efistub) может грузиться сразу без всяких промежуточных загрузчиков вроде refind. Я писал об этом в статье Linux в одном файле для Macbook. По умолчанию ноутбук загружает Linux, в котором запускается замаскированный под macOS мастер первичной настройки. На видео он показан с 7:00.
2. Хитрость состояла в том, что в легитимной macOS был установлен скрипт, который выполнялся каждый раз при грейсфульном (корректном) выключении, и устанавливал флаг в nvram: загрузить macOS один раз при следующей перезагрузке. То есть если вырубить ноутбук просто зажав кнопку, флаг не установится, и вор попадет в фишинговый линукс. При этом настоящий владелец может пользоваться системой, не замечая линукса. То есть все штатные выключения, перезагрузка и обновления работают как обычно. Загрузка в линукс происходит только в случае аварийного отключения. Таким образом, вор неизбежно попадает в фишинговый линукс, потому что не может корректно завершить сеанс юзера.
3. Мастер настройки предлагает выполнить первичную настройку системы и для этого просит подключиться к WiFi. Дальше рисует фейковый процесс загрузки чего-то, а сам в этот момент отстукивается на сервер и дает полный доступ настоящему владельцу.
4. Владелец по BSSID точек доступа WiFi находит местоположение ноутбука, может слушать звук с микрофона и смотреть на вора через камеру, и т.д. Пока интерфейс мастера настройки показывает фейковый процесс загрузки обновлений, владелец ноутбука уже едет по адресу.

В итоге серверную часть я так и не доделал, но вот исходники мастера настройки на Electron. Выглядит, кстати, очень правдоподобно, я бы даже сам повелся.

Демонстрация на видео:

Выводы

• Функция FindMy очень крутая. Шанс найти потерянную сумку с ноутбуком сильно повышается. Настройте ее правильно, обновите ОС на устройствах, чтобы минимум два устройства поддерживали эту функцию. Помните, что она работает только в программах на устройствах и не работает на сайте. Если у вас только одно устройство, эта функция работать не будет!
• Включите шифрование диска FileVault! Нет ни одной причины его не использовать. Оно не тормозит работу диска и не повышает его износ. Так вы не будете бояться потерять компьютер, отдать его в сервис или на экспертизу в случае ареста. Если вы боитесь, что не сможете восстановить данные в случае сбоя, то вы и так гарантированно потеряете свои данные, если до сих пор полагаетесь на один физический носитель, который точно скоро сломается безвозвратно. Научитесь делать бекапы, освойте тайм капсулу или попробуйте облачные сервисы для хранения файлов, как вам больше нравится.
• [Опционально]Можете включить гостевой аккаунт. Но тогда нужно будет отключить пароль на UEFI, иначе вор не сможет войти в Safari Only Mode. Выбирайте сами, какой из сценариев более вероятен в вашем случае.
• Установите пароль на UEFI. Это сильно усложнит отвязывание компьютера от учетных записей iCloud. Если боитесь забыть его, используйте такой же пароль, как от учетной записи.
• Выбирайте макбук с чипом T2. Если есть возможность, покупайте макбук с чипом Т2. Его нельзя так же просто очистить, как EEPROM на старых макбуках. Продать такой компьютер можно только на запчасти.

• Блог компании RUVDS.com
• Информационная безопасность
• Компьютерное железо
• Лайфхаки для гиков

Как найти украденный MacBook

Все мы в глубине души надеемся, что ноутбук могут украсть у кого угодно, но только не у нас. Да и банально потерять его или где-то забыть мы тоже не можем. Но как показывает практика, случаи кражи и потери ноутбуков не так уж редки. И не всегда сам факт пропажи устройства вызывает основные переживания, а потеря хранившейся на нем информации. Например, проекта, которым занимался последний год, исходников, важных документов и т.д. Поэтому, сегодня мы поговорим о том, как, во первых, максимально защитить свои данные, а во вторых, повысить шансы на возврат драгоценного MacBook.

Друзья, в интернете довольно много информации о настройке Find My iPhone (функции поиска техники Apple), есть даже мануал на официальном сайте. Но признаюсь честно, когда я сам впервые пытался разобраться в настройках, то окончательно запутался. Конечно это было давно, а я только начинал познавать азы использования Apple Mac, но возможно и среди вас сейчас найдутся такие новички. Поэтому в данном посте, я постараюсь как можно более подробно описать все процедуры по настройкам, а также рассказать о действиях после пропажи MacBook.

Итак, сперва инструкция по настройке Find My iPhone. Если вы уже включали эту функцию ранее, а сейчас находитесь в поисках пропавшего MacBook, тогда пропустите данную информацию и переходите далее. Для всех остальных, кто задумался о защите своего Mac, будут полезны эти пошаговые действия.

Шаг 1. В первую очередь установите надежный пароль пользователя на вход в систему своего Mac. Для этого перейдите в Настройки — Пользователи и Группы;

Шаг 2. Создайте аккаунт iCloud, или войдите в него если он уже создан;

Шаг 3. В открывшемся списке функций iCloud, поставьте галочку напротив пункта «Найти Mac»;

Шаг 4. Если на вашем MacBook не включена геолокация (служба местоположения), её необходимо включить. Для этого перейдите в Настройки-Безопасность и Приватность. Об этом будет подсказка в самом iCloud;

На этом, по сути, включение функции Find My iPhohe завершено, но есть один важнейший нюанс, о котором никто не пишет.

Шаг 5. Обязательно создайте учетную запись Гость, или любую другую без полномочий администратора! Это нужно для того, чтобы после кражи или потери MacBook, злоумышленник либо нашедший ноутбук, мог войти и подключиться к интернет. Только в этом случае, система сможет отправить команду на блокировку, уничтожение данных, или же сообщение с просьбой вернуть ноутбук.

Действия в случае кражи или потери MacBook

Шаг 1. С любого компьютера или телефона зайдите и залогиньтесь на сайте icloud.com;
Шаг 2. Нажмите иконку «Найти iPhone», дождитесь пока устройство определится и кликните по точке, чтобы открыть меню. Запустите команду заблокировать MacBook, стереть данные, отправьте сообщение с просьбой вернуть ноутбук, или информацией о том, что он украден и разыскивается владельцем. В сообщении обязательно укажите контакты для связи. Важно! Даже если на данный момент устройство не активно (без подключения к интернету), всё равно выполните вышеперечисленные действия. Изменения вступят в силу после первого же подключения ноутбука к сети;

Шаг 3. Отправьте серийный номер своего MacBook с уведомлением что он украден, в мастерские и сервисные центры Apple. Обязательно сбросьте эту информацию в сервис BashMac. Важно! Даже если не удалось заблокировать компьютер, все равно отправьте его серийный номер по адресу info@bashmac.ua. Его внесут в специальную базу, и если кто либо обратиться с просьбой разблокировать или отремонтировать данный Mac, специалисты идентифицируют его как краденный.

Во многих случаях, злоумышленник или человек нашедший ваш ноутбук будет искать сервисный центр, который сможет его разлочить. Конечно он расскажет миф о том, как забыл пароль на вход в систему. Профессиональные, авторитетные сервисы очень подозрительно относятся к таким обращениям, и скорее всего попытаются проверить Mac. Если вы с сайта icloud.com отправили сообщение о краже, специалисты его увидят, тем более если вы ранее прислали серийный номер украденного MacBook. После этого ноутбук просто изымут, возможно даже с вызовом наряда полиции.

Подобная система не миф, а реально работает. Например, сервисный центр BashMac в Киеве, собирает базу серийников краденных Mac, которые присылают владельцы. И уже несколько раз ребята изымали такие ноутбуки и возвращали владельцам, при том в некоторых случаях с помощью полиции. Один из таких примеров даже задокументировали по ссылке “Кто потерял MacBook Air или как работает Find My iPhone”. На этом всё, защитите свой MacBook и внимательно следите за ним. Если же случилась неприятность, надеюсь вам помогут изложенные здесь советы!

Поиск устройства в Локаторе на Mac

В приложении «Локатор» на Mac Вы можете посмотреть, где находится Ваше пропавшее устройство Apple, и получить уведомление, когда оно найдется. Пропавшее устройство можно найти, только если Вы добавили его в Локатордо его пропажи.

Совет. Также можно просмотреть геопозицию устройства онлайн в разделе «Найти устройства» на iCloud.com.

Просмотр местоположения устройства

1. В приложении «Локатор» на компьютере Mac нажмите «Устройства».
2. В списке устройств выберите устройство, которое хотите найти.
   • Если устройство удалось найти. Устройство появится на карте, и Вы сможете посмотреть, где оно находится. Текущее местонахождение и временная метка отображаются под именем устройства.
   • Если устройство не удалось найти. Под именем устройства появится надпись «Геопозиция не найдена». Если местонахождение устройства не найдено, возможно, его последняя геопозиция была отправлена в Apple более 7 дней назад.

Совет. Для поиска устройства также можно воспроизвести на нем звук.

Маршрут до устройства

1. В приложении «Локатор» на компьютере Mac нажмите «Устройства».
2. В списке устройств выберите устройство, к которому нужно проложить маршрут, и нажмите кнопку информации на карте.
3. Нажмите «Маршруты». Откроется приложение «Карты» , в котором будет показан маршрут от Вашего текущего местоположения до места, где находится устройство. См. раздел Получение маршрутов в приложении «Карты».

Получение уведомления о найденном устройстве

1. В приложении «Локатор» на компьютере Mac нажмите «Устройства».
2. В списке устройств выберите устройство, о котором Вы хотите получать уведомления.
3. Нажмите кнопку информации на карте, затем включите параметр «Уведомить о находке».

Примечание. Убедитесь, что Вы разрешили уведомления для приложения «Локатор». См. раздел Изменение настроек уведомлений.

Совет. Если Ваше устройство потеряно или украдено, Вы можете защитить информацию на нем, отметив его как пропавшее.

Предоставление доступа к геопозиции и поиск устройств доступны не во всех странах и регионах.