Sécurité du verrouillage d’activation

Verrouillage d’activation sur les pièces d’iPhone

Apple prolonge le verrouillage d’activation pour iPhone afin d’englober les pièces individuelles en vue de décourager la revente de pièces volées. Lors d’une réparation, si un iPhone détecte qu’une pièce prise en charge provient d’un autre iPhone dont le mode Verrouillage d’activation ou Perdu est activé, l’étalonnage est restreint pour cette pièce. Cette amélioration de la fonctionnalité de verrouillage d’activation renforce l’engagement d’Apple à protéger les utilisateurs tout en augmentant le choix des consommateurs en matière de réparations.

Comportement sur les iPad, iPhone et Apple Vision Pro

Sur les iPad, iPhone et Apple Vision Pro non supervisés, le verrouillage d’activation est activé automatiquement lorsque l’utilisateur connecte son appareil à son compte Apple et qu’il active Localiser.

Sur les appareils supervisés, le verrouillage d’activation est désactivé par défaut, mais un service de gestion des appareils peut permettre à l’utilisateur de l’activer. Le service de gestion des appareils peut ainsi mettre sous séquestre un code de contournement de l’appareil. Ce code de contournement pourra plus tard être utilisé afin de désactiver le verrouillage d’activation. Voici les situations lors desquelles un appareil génère un code de contournement :

• Première configuration de l’appareil

• Configuration de l’appareil après un effacement sans restauration à partir d’une sauvegarde de ce même appareil

• Configuration de l’appareil après un effacement et restauration à partir d’une sauvegarde d’un autre appareil

Sur les appareils gérés et supervisés, un service de gestion des appareils peut également communiquer directement avec les serveurs d’Apple afin d’activer le verrouillage d’activation. Comme l’opération est effectuée entièrement sur le serveur, elle ne dépend pas d’actions de l’utilisateur ou de l’état de l’appareil. Le service de gestion des appareils doit créer un code de contournement de 31 octets, puis l’envoyer aux serveurs d’Apple lorsqu’elle veut activer le verrouillage d’activation pour l’appareil. Le code de contournement du service doit être créé de façon aléatoire et unique pour chaque appareil.

Le verrouillage d’activation est mis en application par l’entremise du processus d’activation, tout de suite après l’écran de sélection du réseau Wi‑Fi d’Assistant réglages. Lorsqu’un appareil indique qu’il est en cours d’activation, il envoie une demande au serveur d’activation pour obtenir un certificat d’activation.

Les iPad, iPhone et Apple Vision Pro non supervisés qui sont verrouillés grâce au verrouillage d’activation peuvent être déverrouillés avec :

• les informations d’identification du compte Apple personnel utilisé pour activer le verrouillage d’activation;

• les codes de contournement précédemment utilisés.

Les iPad, iPhone et Apple Vision Pro supervisés qui sont verrouillés grâce au verrouillage d’activation peuvent être déverrouillés avec :

• les informations d’identification du compte Apple personnel utilisé pour activer le verrouillage d’activation;

• les informations d’identification du compte Apple géré utilisé pour associer le service de gestion des appareils à Apple School Manager ou Apple Business Manager;

• le code de contournement stocké sous séquestre par le service de gestion des appareils;

• le service de gestion des appareils faisant un appel côté serveur aux serveurs d’Apple avec le même code de contournement que celui utilisé pour activer le verrouillage d’activation.

Comportement sur Apple Watch

Le verrouillage d’activation sur une Apple Watch non supervisée est relatif à l’état du verrouillage d’activation de l’iPhone jumelé. Si le verrouillage d’activation est activé sur l’iPhone, l’Apple Watch a l’instruction de contacter les serveurs d’Apple à la fin du processus de jumelage pour activer le verrouillage d’activation. Si le verrouillage d’activation est désactivé sur l’iPhone au moment du jumelage, mais activé plus tard, l’iPhone :

• invite tous les appareils Apple Watch jumelés à contacter les serveurs Apple;

• peut activer le verrouillage d’activation sur l’Apple Watch.

Dans le cadre du processus de jumelage initial, l’iPhone envoie une demande au serveur d’activation pour obtenir un certificat d’activation pour l’Apple Watch.

Si l’Apple Watch est verrouillée à l’aide du verrouillage d’activation, l’utilisateur est invité à saisir les informations d’identification du compte Apple qui a été utilisé à ce moment-là pour activer le verrouillage d’activation en vue de déjumeler, d’effacer ou de réactiver l’Apple Watch.

Comportement sur Mac

Sur les Mac non supervisés, le verrouillage d’activation est activé automatiquement lorsque l’utilisateur connecte son appareil à son compte Apple et qu’il active Localiser. Sur les Mac supervisés, le verrouillage d’activation est désactivé par défaut, mais un service de gestion des appareils peut permettre à l’utilisateur de l’activer. Le service de gestion des appareils peut ainsi mettre sous séquestre un code de contournement de l’appareil. Ce code de contournement pourra plus tard être utilisé afin de désactiver le verrouillage d’activation. Voici les situations lors desquelles un appareil génère un code de contournement :

• Première configuration de l’appareil

• Première configuration de l’appareil après un effacement

Autre comportement sur les Mac avec puce Apple

Sur les Mac avec puce Apple, le chargeur d’amorçage de niveau inférieur (LLB) vérifie qu’un fichier LocalPolicy valide existe pour l’appareil et que les valeurs antirejeu LocalPolicy correspondent aux valeurs stockées dans le composant de stockage sécurisé. Le LLB démarre sur recoveryOS si :

• aucun fichier LocalPolicy n’existe pour la version actuelle de macOS;

• le fichier LocalPolicy n’est pas valide pour cette version de macOS;

• les valeurs de hachage de la valeur antirejeu LocalPolicy ne correspondent pas aux valeurs de hachage stockées dans le composant de stockage sécurisé.

recoveryOS conclut que l’ordinateur Mac n’est pas activé et communique avec le serveur d’activation pour obtenir un certificat d’activation.

Si l’appareil est verrouillé au moyen du verrouillage d’activation en recoveryOS, le verrouillage d’activation peut être déverrouillé à l’aide des informations suivantes :

• les informations d’identification du compte Apple personnel utilisé pour activer le verrouillage d’activation

• le mot de passe utilisé par l’utilisateur local qui a autorisé le verrouillage d’activation

• le code de contournement stocké sous séquestre par le service de gestion des appareils

Après l’obtention d’un certificat d’activation, la clé de ce certificat est utilisée pour obtenir un certificat RemotePolicy. Le Mac utilise la clé LocalPolicy et le certificat RemotePolicy pour produire un fichier LocalPolicy valide.

Autre comportement sur les Mac avec puce T2

Sur un Mac avec puce T2, le programme interne de la puce en question vérifie qu’un certificat d’activation valide est présent avant d’autoriser le démarrage de macOS. Le programme interne UEFI chargé par la puce T2 est chargé d’interroger l’état d’activation de l’appareil auprès de cette même puce. Le Mac démarre à partir de recoveryOS si :

• aucun certificat d’activation valide n’est présent;

• recoveryOS conclut que l’ordinateur Mac n’est pas activé et communique avec le serveur d’activation pour obtenir un certificat d’activation.

Si le Mac est verrouillé au moyen du verrouillage d’activation en recoveryOS, le verrouillage d’activation peut être déverrouillé à l’aide des informations suivantes :

• les informations d’identification du compte Apple personnel utilisé pour activer le verrouillage d’activation

• le mot de passe utilisé par l’utilisateur local qui a autorisé le verrouillage d’activation

• le code de contournement stocké sous séquestre par le service de gestion des appareils

Gestion du verrouillage d’activation dans Apple School Manager ou Apple Business Manager

Si un appareil Apple est enregistré auprès d’une organisation Apple School Manager ou Apple Business Manager, les utilisateurs détenant un rôle avec privilèges de gestion des appareils peuvent désactiver le verrouillage d’activation pour les appareils appartenant à l’organisation. Cette option n’est offerte que pour les appareils enregistrés auprès de l’organisation avant l’activation du verrouillage d’activation et qui n’ont pas été libérés. Le verrouillage d’activation étant désactivé durant les appels côté serveur, l’appareil n’a pas besoin d’être géré par un service de gestion des appareils.