Protection par mot de passe du programme interne sur un Mac avec processeur Intel
macOS sur les ordinateurs Mac avec processeur Intel et puce T2 Security d’Apple prend en charge l’utilisation d’un mot de passe de programme interne pour contribuer à empêcher la modification involontaire des réglages du programme interne sur un Mac donné. L’utilisation d’un mot de passe de programme interne est conçue pour empêcher la sélection d’autres modes de démarrage tels que recoveryOS ou le mode Utilisateur unique, le démarrage à partir d’un volume non autorisé ou le mode disque cible.
Remarque : Le mot de passe du programme interne n’est pas requis sur un Mac avec puce Apple, car la fonctionnalité visée du programme interne a été placée dans recoveryOS, et (lorsque FileVault est activé) ce dernier requiert l’authentification de l’utilisateur pour autoriser l’accès à ses fonctionnalités essentielles.
Le mode le plus élémentaire de protection par mot de passe de programme interne peut être activé dans l’utilitaire de mot de passe de programme interne de recoveryOS sur un ordinateur Mac avec processeur Intel sans puce T2, et dans l’utilitaire Sécurité au démarrage sur un Mac avec processeur Intel et puce T2. Des options avancées (comme l’activation de la demande du mot de passe à chaque démarrage) sont accessibles via l’outil de ligne de commande firmwarepasswd sous macOS.
La configuration d’un mot de passe de programme interne est particulièrement importante pour réduire le risque d’attaques contre les ordinateurs Mac avec processeur Intel sans puce T2 par un assaillant physiquement présent. Le mot de passe du programme interne peut aider à empêcher un assaillant de démarrer recoveryOS, où il serait autrement en mesure de désactiver la protection de l’intégrité du système. La restriction du démarrage à partir d’autres supports empêche un assaillant d’exécuter un code privilégié d’un autre système d’exploitation dans le but d’attaquer les programmes internes périphériques.
Un mécanisme de réinitialisation du mot de passe du programme interne vient en aide aux utilisateurs qui oublient leur mot de passe. Il suffit d’appuyer sur une combinaison de touches au démarrage pour obtenir une chaîne propre au modèle à fournir à AppleCare. AppleCare signe numériquement une ressource dont la signature est vérifiée par l’identifiant de ressource uniforme (URI). Si la signature est validée et que le contenu vise le Mac en question, le programme interne UEFI supprime le mot de passe du programme interne.
Pour les utilisateurs qui ne veulent pas que quelqu’un d’autre puisse supprimer le mot de passe du programme interne par des moyens logiciels, l’option -disable-reset-capability a été ajoutée à l’outil de ligne de commande firmwarepasswd sous macOS 10.15. Avant d’activer cette option, l’utilisateur doit comprendre que s’il oublie son mot de passe, il devra assumer les coûts du remplacement de la carte logique, qui sera alors nécessaire pour supprimer le mot de passe. Les organisations qui veulent protéger leurs ordinateurs Mac contre les assaillants externes et les employés doivent régler un mot de passe de programme interne sur les systèmes dont ils sont propriétaires. Cela peut être accompli sur l’appareil de l’une des façons suivantes :
manuellement au moment de l’approvisionnement, en utilisant l’outil de ligne de commande
firmwarepasswd;à l’aide d’outils de gestion tiers qui utilisent l’outil de ligne de commande
firmwarepasswd;à l’aide de la solution de gestion des appareils mobiles (GAM).