Firmware-beskyttelse
Hva er det?
Firmware er et slags program/operativsystem som ligger under alle nyere Macintosher. Før maskinen begynner å laste inn f.eks MacOSX, starter firmware.Det bestemmer f.eks hvilken harddisk maskinen skal startes fra. Man kan få tilgang til firmware ved holde nede eple-alt-o-f under oppstart. Vi har ikke her tenkt gå noe dypere inn på begrepet firmware, bare forklare hvordan man kan sette passordbeskyttelse på dette.
Hvem behøver tenke på dette
Dersom du ønsker å beskytte maskinen ekstra, eller dersom maskinen din står "offentlig" (eksempelvis på en termstue), skal du beskytte firmware. Dette gjøres for hindre tilgang til sensitive filer, hindre at ting slettes fra harddisken og at filer ikke blir modifisert slik at MacOSX-maskinen blir en sikkerhetsrisiko ved Universitetet. Det hinderer også at maskinen starter fra andre systemmapper enn den du har bestemt skal være den korrekte for maskinen. Pr i dag er ikke MacOS9-maskiner anbefalt på offentlige steder ved UiO, da man lett kan få tilgang på hele maskinen. Dette gjelder derfor kun for MacOSX. Merk at du må kjøre versjon 4.1.7 eller 4.1.8 eller senere av open firmware for å bruke dette - se her for mer info. Alle nyere maskiner har en nyere firmware.
Hvorfor
Selv om harddisken er beskyttet med korrekte rettigheter i henhold til standard Unix, betyr ikke dette at personer ikke kan kontrollere dette. En måte å gjøre det på er å sette inn en system-CD i maskinen, ta omstart og holde ned 'c' på tastaturet. Personen kan dermed i teorein få tilgang til alle filer. Det kan også tenkes at man installerer et eget OS på en iPod (MP3-spiller og harddisk). Det er bare å plugge inn denne og med noen enkle grep starte maskinen fra denne harddisken og dermed få full tilgang til maskinen. Man kan også starte maskinen i single user mode ved å holde ned eple-s og dermed ha root-tilgang på maskinen, dvs at man har full tilgang. I det hele tatt er det enkelt å manipulere en maskin som ikke er sikret. For visse kontormaskiner som kun har én bruker er kanskje ikke dette noe problem, men andre maskiner SKAL gjennomføre sikring.
Hvordan
Fysisk: Du bør først og fremst tenke på fysisk sikring. Dersom man har tilgang til innmaten av maskinen (harddisk/ram/hele maskinen for den saks skyld), så er man jo like langt. De fleste maskiner kan låses fast. Pass på at de ikke kan åpnes. Det behøver ikke ta mer enn et par minutter å fjerne en harddisk eller en rambrikke på dagens Macer, så vær oppmerksom.
Firmware: Deretter tar man frem sin MacOSX installeringCD. I mappen Applications finner man et program som heter "open firmware password".
Dersom du ikke har en CD tilgjengelig kan du laste ned programmer (hentet fra MacOSX 10.4 Tiger) her: Open Firmware password
OBS: Dette fungerer ikke på Intel-Macer. Intel-Macer bør sjekke system-DVDen som fulgte med maskinen for verktøy som kan hjelpe.
- Man kan også manipulere firmware ved å starte direkte i firmware, ved å bruke nvram-kommandoen i MacOSX eller ved å bruke open firmware password tool (se mer under)
Start programmet
Trykk "change" og fyll inn et passende firmware-passord som er lett å huske (men ikke lett å gjette). MERK: Ikke bruk stor bokstav "U" fordi det er en bug i firmware.
Hak av for "Require password to change Open Firmware settings".
Du må så autentisere deg som en admin-bruker eller root.
Dermes skulle alt være klart neste gang du starter maskinen
Så hva nå?
Dersom du nå skal starte fra en CD eller fra andre harddisker/systemmapper må du skrive inn firmware-passordet først. Booter du inn i open firmware eller i single user mode må du også skrive passordet først. Du (og med det andre) vil dermed ikke sånn helt uten videre kunne manipulere maskinen.
Open Firmware Password Tool
Det finnes også et tredjepartsverktøy som heter open firmware password tool. Her er instrukser i programmet fra macenterprise.orgThis tool can set the open firmware password without having to know the encryption method of the password.
The OFPW tool can change the security-mode regardless of the previous state of the nvram. Apple's /usr/sbin/nvram tool had a problem doing this in Mac OS X 10.3.9 and earlier. Apple fixed this bug in Mac OS X 10.4 (Tiger).
Download the OFPW tool, mount the disk image, and then install it in /usr/local/bin by entering this in the terminal:
sudo cp /Volumes/OFPW-Tool/OFPW /usr/local/bin/
Make sure that the owners and groups are correct and that the execute flag is set for the root user:
sudo chown root:admin /usr/local/bin/OFPW
sudo chmod 700 /usr/local/bin/OFPW
To set the Open Firmware password:
sudo /usr/local/bin/OFPW -pass [theClearTextPassword]
NOTE: For the password, use characters that have ASCII values from 32 to 127 (inclusive) and do NOT use the capital letter "U" due to a bug in Open Firmware.
To change the security mode: [0 = None, 1 = Command, 2 = Full]
sudo /usr/local/bin/OFPW -mode 1
MERK. Viktig: Legg merke til den siste kommandoen. Setter man security mode til "Full" (2) vil maskinen spørre etter firmware-passordet hver gang maskinen starter opp. "Command" (1) vil bare spørre etter passord dersom man forsøker å forandre på firmware uten å ha autentisert først (f.eks prøver å starte fra CD uten å ha autentisert som administrator). "None" (0) slår alt av.
Ved problemer
Dersom du vil lese Apple dokumentasjon rundt dette kan du lese denne artikkelen: http://docs.info.apple.com/article.html?artnum=106482
Det finnes også mye god informasjon om laboppsett/kioskoppsett, open firmware og andre aspekter på http://macenterprise.org og http://www.macosxhints.com
Viktig: Et "hack" for å fjerne firmware-passordet er å ta ut en rambrikke (eller flytte på disse) og slette PRAM (eple-alt-p-r) under oppstart. Harddisken kan selvfølgelig også settes inn i andre maskiner. Det er defor viktig å fysisk sikre maskinen.
Redaksjon: MacAdm, macadm@usit.uio.no
Forfatter: Dag Tore Antonsen, d.t.antonsen@usit.uio.no
Dokument opprettet: 03.10.2002, endret: 15.12.2005