PanicLock - MacBook kapağı kapatıldığında Touch ID'yi devre dışı bırakıp yalnızca parola ile kilit açtıran yardımcı araç

• macOS menü çubuğu yardımcı aracı olarak çalışır; menüye tıklayarak, klavye kısayoluyla veya yalnızca dizüstü kapağını kapatarak ekranı kilitler ve Touch ID'yi geçici olarak devre dışı bırakarak parola girişini zorunlu kılar
• macOS'te Touch ID'yi anında kapatmanın bir yolu olmamasından kaynaklanan güvenlik durumunu tamamlar; oturumu kapatmadan veya sistemi kapatmadan yalnızca parola ile kilit açma durumuna geçiş yapılabilir
• Parola ile bir kez kilit açıldıktan sonra mevcut Touch ID ayarlarına otomatik olarak geri döner
• Varsayılan kısayol ⌃⌥⌘L
• Lock on Close seçeneği açıldığında Mac kapağı kapanır kapanmaz Touch ID devre dışı bırakılır ve ekran kilitlenir; parola ile yeniden giriş yapılana kadar bu durum korunur
• Arka planda SMJobBless privileged helper ile bioutil ve pmset komutlarını kullanarak Touch ID zaman aşımı değerini değiştirir ve ekran kilitleme işlemini yapar; ilk çalıştırmada yönetici parolası gerekir
• Ağ etkinliği, telemetri veya veri toplama yoktur; açık kaynak olarak sunulur ve en az yetki ilkesiyle çalıştığı için kapsamı ve incelenebilirliği nettir
• Ancak bu yardımcı araç yalnızca Touch ID'yi devre dışı bırakır
  • Apple Watch ile kilit açma
  • Güvenlik anahtarı
  • Diğer kilit açma yöntemleri
  • Bu yöntemler etkinse Mac'in kilidi bunlarla açılabilir
• MIT License

[GN⁺]

Hacker News görüşleri

• Apple Silicon'da lid sensor algılandıktan sonra gerçek sleep durumuna geçene kadar ne kadar süre olduğunu merak ediyorum. M2 için birkaç menü çubuğu uygulaması dağıtmıştım; NSWorkspaceWillSleepNotification dinlesem bile hissedilen süre sadece yaklaşık 200 ms gibi geliyor, bu kısa aralıkta bir de Secure Enclave'e gidiş-dönüş gerekiyorsa pratikte race condition gibi görünüyor
• Fikir ve uygulama bence çok iyi. Uygulamayı kurmaya bile gerek kalmadan sudo bioutil -ws -u 0; sleep 1; sudo bioutil -ws -u 1 one-liner'ı ile aynı etki elde edilebiliyor. Ekran kilidini de eklediğim bir Shortcuts bağlantısı da hazırlamıştım; genel kısayola atanınca oldukça kullanışlı oluyor
  • Bunu Crank ile bağlayıp lid angle 30° altı tetikleyicisine koyarsanız, kapağı hafifçe indirme hareketiyle otomatik çalışacak hale getirilebilir
• Touch ID'ye birden fazla parmak kaydedip parmağa göre farklı davranışlar betikleyebilmek güzel olurdu diye düşünüyorum. Örneğin orta parmak normal kilit açma, işaret parmağı ise Touch ID'yi devre dışı bırakıp parola girişini zorlasın gibi; oldukça faydalı görünüyor
  • Parmakları doğrudan farklı hesaplara eşlemek zaten mümkün. Bunu eskiden hesaplar arasında fast user switch yapmak için kullandığımı hatırlıyorum
• iOS tarafında yan düğme ile ses düğmesini uzun basıp güç kaydırıcısını açtıktan sonra iptal ederseniz, bir sonraki kilit açmada parola girişi zorunlu olur. Yan düğmeye 5 kez basıp Emergency SOS'u açmak da aynı etkiyi yapar. Bu yıllardır var olan ama şaşırtıcı derecede az bilinen bir özellik; Mac'te de benzer bir akış görülmesi hoşuma gitti
  • Bana göre güç düğmesine hızlıca 5+ kez basmak daha kolay
• Fikir çok hoş. Zorla kilit açtırma konusunun hukuki tartışması uzun süredir vardı; hatırladığım kadarıyla parmak izi zorla istenebilirken parola girişi daha zor kabul ediliyordu. Bu yüzden bu aracın asıl amacının böyle durumlara karşı koymak mı, yoksa başka hedefleri de var mı diye merak ettim
  • Bunu Washington Post muhabiri Hannah Natanson vakasını gördükten sonra yaptım. O gazeteci parmak iziyle bilgisayarının kilidini açmaya zorlandı ve bunun sonucunda masaüstündeki Signal de açılarak kaynaklarıyla yaptığı konuşmalar ifşa oldu. İlgili haberi Yahoo makalesinde görebilirsiniz; hukuki arka plan ve içtihatlar da uygulamanın tanıtım sayfasında daha ayrıntılı derlenmiş durumda
  • Bunun yalnızca ABD'ye özgü bir mesele olup olmadığını merak ediyorum. Hatırladığım kadarıyla Birleşik Krallık, makul olarak bilindiği varsayılabilecek parolaların teslimini zorlayabilmeye daha yakın bir yerdeydi
  • Bir başka sorun da cihaz yüzeyinde parmak izi izleri kalması. Net bir parmak izi görüntüsü elde edilebilirse, jelatin kopya gibi yöntemlerle birçok parmak izi sensörü kandırılabiliyordu. Eskiden Photoshop'ta temizleyip OHP filmine lazer yazıcıyla basarak kalıp gibi kullanma tekniğinden de sıkça söz edilirdi
  • Biyometri ile parola ve hukuki durum hakkında ek açıklamalar paniclock sitesinde var
  • Parola zorlamanın hukuken ne kadar meşru olduğu belirsiz olsa da, mahkemelerin bunu contest suçu değil contempt yoluyla fiilen süresiz gözaltı baskısına dönüştürüp parola girişini zorlayabildiğini de hesaba katmak gerekir
• Gerçek bir örnek olarak, yetkililerin hukuki zorlama ya da sözde rubber-hose cryptanalysis olmadan da bir bilgisayara tam erişim istediklerinde nasıl hareket ettiklerini iyi gösteren bir vaka var. Hedef giriş yapmış halde olana kadar bekleyip yakında bir kargaşa çıkarıyorlar, sonra açık duran dizüstünü doğrudan kapıp gidiyorlar. DPR tutuklama operasyonu şu yazıda özetlenmiş
• Bu gerçekten çok iyi. Normalde biyometrinin parolanın yerini almaması gerektiğine dair çok güvenlik tavsiyesi görüyorum ama benim durumumda kamusal alanda parola girerken biri tarafından kaydedilme ya da omuz üstünden izlenme riski daha büyük geliyor. Böyle gerçekçi durumlar düşünülünce bu araç dengeyi gayet iyi kuruyor
  • Apple platformlarında iki büyük boşluk görüyorum. Biri Touch ID ve biyometri için ayrıntılı yapılandırma profilleri, diğeri ise iCloud yedeklerinde sürümleme. Herkesin ihtiyaç duyduğu güvenlik seviyesi tamamen farklı; bu yüzden one-size-fits-all yaklaşımı uygun değil. Ortalama kullanıcı için biyometri, shoulder surfing riskini azaltıp güvenliği artıran iyi bir tercih ama bazı kullanıcılar Apple Watch gibi ikinci bir faktör eklemek, parola zorlamasına kadar geçen süreyi kısaltmak ya da doğrudan biyometri+parola birlikte zorunlu olsun isteyebilir. Şimdikinden çok daha ayrıntılı seçeneklere ihtiyaç var diye düşünüyorum
  • Burada gerçekten gereken şeyin çok faktörlü kimlik doğrulama olduğunu düşünüyorum. Örneğin hem parmak izi hem de cihaza özgü PIN istenmesi gibi. Ne yazık ki temel teknoloji zaten mevcut olsa da ürünlerde bu tür özellikler iyi sunulmuyor
• Touch ID düğmesine tıklandığında bu giriş denemesini geçersiz kılıp parola istemeye zorlamak mümkün olsa keşke. Normalde parmak iziyle giriş rahatlığını seviyorum ama gerektiğinde anında çıkış yapabileceğiniz bir kaçış düğmesi hissi olması daha iyi olurdu
• Mac'te ivmeölçer de var; kapağı kapatma kuvvetini algılamak ya da buna uygun bir vekil değer tahmin etmek mümkün olsaydı harika olurdu. Hafif kapatınca bir şey olmaz, biraz daha sert kapatınca Touch ID devre dışı kalır, gerçekten panikle slam shut yapılırsa tüm biyometri devre dışı bırakılır ve oturum durumu atılır, mümkünse RAM ve FileVault anahtarları bile silinirdi; ideal senaryo bu olurdu
  • Bu neredeyse tam bir rage quitting machine gibi. Kurumsal sürümünde kapağı tüm gücünüzle kapattığınız anda mevcut işvereninize profesyonel bir istifa mektubu da otomatik gönderirse tamamlanmış olur
  • Böyle bir son adımın makul olduğunu düşünüyorsanız muhtemelen kedi ya da çocuk ile yaşamayan birisinizdir
• “Hassas durumlarda birçok ülkede kolluk kuvvetleri ya da sınır görevlileri, paroladan farklı olarak biyometrik kilit açmayı zorlayabilir” açıklamasını anlıyorum; ancak tehdit modelinizde devlet düzeyinde aktörler varsa yalnızca biyometriyi kapatmak fiziksel bellekteki verileri korumaya yetmeyebilir. Böyle durumlarda disk şifrelemesini açmak ve RAM'de düz metin veri kalmaması için bilgisayarı anında kapatma ya da hibernate durumuna alacak bir panik düğmesi daha mantıklı görünüyor. Sitede kapatmanın zaman aldığı ve oturumu öldürdüğü söyleniyor ama hibernate düğmesi hız olarak benzer olurken oturumu da koruyabilir
  • En azından Apple Silicon bu tür saldırıları çok daha zor hale getiriyor. Tamamen imkânsız diyemem ama eskisine göre savunması daha güçlü görünüyor
  • Yine de polis sadece devlet adına çalışan bir yapı; genelde kastettiğimiz state-level actor ile tam olarak aynı şey değil