Utilidad de Seguridad de Arranque en Mac

Hace unas semanas hablé de la Utilidad de Seguridad de Arranque en Mac en el artículo sobre Recuperación de macOS.

Decidí no profundizar mucho sobre su funcionamiento, así que hoy retomo lo que dejé pendiente el otro día.

La seguridad en el arranque de Mac existe desde la aparición del sistema operativo Mac OS X, allá por el 2001, entonces únicamente se llamaba la Contraseña del Firmware. Y, por supuesto, no realizaba todas las opciones de seguridad actuales.

Hace un tiempo hablé sobre el firmware en el artículo La contraseña del Firmware en tu Mac, y hoy retomo algunos conceptos.

Básicamente el firmware es un chip de ROM (Read Only Memory) que se encuentra en la placa lógica del Mac.

Podríamos decir que es "similar" a la BIOS de un PC pero en el caso de los Mac, no podemos realizar ninguna configuración del firmware. Únicamente las actualizaciones de Apple actualizan la configuración del firmware.

En los Mac con procesador Intel se le denomina EFI (Extensible Firmware Interface) y se compone de dos partes. La Versión del firmware del sistema y la Version SMC (Controlador de Gestión del Sistema).

Y en los Mac con chip de seguridad T2 de Apple aparece el famoso iBridge, del que hablé en el artículo Imágenes de instalación en macOS.
En este caso el SMC (Controlador de Gestión del Sistema) está integrado en el chip de seguridad T2 de Apple, al igual que Secure Enclave y la gestión del Estado del bloqueo de activación.

Evidentemente, Apple y también Intel, quien ha desarrollado EFI, han ido implementado EFI y la seguridad en los Mac hasta el punto que esta interactúa tanto con el chip de ROM de la placa (firmware), el chip de seguridad T2 de Apple e información en parte del volumen (disco) de nuestro Mac.

En estos momentos los Mac con procesador Intel utilizan la UEFI (Unified Extensible Firmware Interface).
 

¿QUÉ ES Y DE QUE SE ENCARGA LA EFI O UEFI?.

La EFI o UEFI es un software de "bajo nivel" que se inicia cuando arranca el Mac, antes de cargar sistema operativo macOS. Es un interface entre el firmware del ordenador y el sistema operativo.

Es una solución de gestión mucho más desarrollada que la BIOS (sí, la UEFI se utiliza en PC) que proporciona tiempos de arranque más rápidos, soporte para 32 y 64 bits, seguridad en el sistema operativo y en el hardware, uso de discos duros más grandes, hasta 128 particiones por disco, con una capacidad total de 8 ZB, y compatibilidad total con el esquema o mapa de particiones GUID (GPT). Además de ser independiente del tipo de arquitectura de CPU utilizada.

Si no tenéis nada que hacer los fines de semana o os cuesta dormir, os recomiendo leer la documentación Intel sobre UEFI.
 

OPCIONES EN UTILIDAD DE SEGURIDAD DE ARRANQUE

A. Seguridad en Mac Intel sin chip de seguridad T2 de Apple

Los pasos para que puedas activar la contraseña del Firmware en tu Mac, son:

1. Arranca tu Mac desde la partición de Recuperación de macOS, presionado las teclas teclas Comando+R.
2. Espera a que la partición de Recuperación de macOS se cargue. La carga es más lenta que en el arranque normal de tu sistema macOS.
3. Si tienes FileVault activado, selecciona una cuenta de usuario administrador, en la partición de Recuperación de macOS, e introduce la contraseña.
4. Clic en el menú Utilidades y selecciona la opción Utilidad de Seguridad de Arranque.
5. Clic en el botón Activar contraseña del firmware….
6. Define tu contraseña y repítela.
7. Cierra Utilidad de Seguridad de Arranque y reinicia tu Mac.

Con la contraseña del del Firmware activada, únicamente se podrá arrancar del volumen interno del sistema macOS especificado en Preferencias del Sistema, Disco de Arranque.

Si olvidas la contraseña del Firmware en tu Mac, tendrás que ir a Apple Store o Servicio Técnico Autorizado Apple, con la factura de tu Mac, para que la eliminen.

B. Seguridad en Mac Intel con chip de seguridad T2 de Apple

Los pasos para que puedas activar la contraseña del Firmware, el Arranque seguro y el Soporte de arranque permitido en tu Mac, son:

1. Arranca tu Mac desde la partición de Recuperación de macOS, presionado las teclas teclas Comando+R.
2. Espera a que la partición de Recuperación de macOS se cargue. La carga es más lenta que en el arranque normal de tu sistema macOS.
3. Si tienes FileVault activado, selecciona una cuenta de usuario administrador, en la partición de Recuperación de macOS, e introduce la contraseña.
4. Clic en el menú Utilidades y selecciona la opción Utilidad de Seguridad de Arranque.
5. Clic en el botón Activar contraseña del firmware….
6. Define tu contraseña y repítela.
7. Elige el nivel de Arranque Seguro.
8. Escoge si se puede o no arrancar de un soporte (disco) externo, en Soporte de arranque permitido.
9. Cierra Utilidad de Seguridad de Arranque y reinicia tu Mac.

Con la contraseña del del Firmware activada, únicamente se podrá arrancar del volumen interno del sistema macOS especificado en Preferencias del Sistema, Disco de Arranque.

Si olvidas la contraseña del Firmware en tu Mac, tendrás que ir a Apple Store o Servicio Técnico Autorizado Apple, con la factura de tu Mac, para que la eliminen.

Utilidad de Seguridad de Arranque en Mac Intel con chip de seguridad T2 de Apple, opciones de Arranque Seguro:

1. Seguridad máxima.
   Es el nivel más alto de seguridad y el ajuste por defecto.
   
   Se comprueba la integridad del sistema operativo en el disco de arranque y que su versión esté actualmente firmada por Apple. De no superar esta comprobación el Mac, se conectará a los servidores de Apple para actualizar la integridad del sistema operativo.
   
   Es necesario tener una conexión a Internet activa.
2. Seguridad media.
   Se comprueba que el sistema operativo en el disco de arranque esté firmado por Apple, en los sistemas macOS, o por Microsoft, en los sistemas Windows.
   
   No es necesario tener una conexión a Internet activa.
   Si fuera necesario descargar información de los servidores de Apple, nos pedirá activar una conexión a Internet.
3. Sin seguridad.
   En este caso, no se utiliza ninguna de las opciones de seguridad anteriores.

Utilidad de Seguridad de Arranque en Mac Intel con chip de seguridad T2 de Apple, Soporte Permitido:

1. No permitir el arranque desde un soporte externo o extraíble.
   Impide arrancar el Mac desde cualquier dispositivo que no esté protegido por el chip de seguridad T2 de Apple.
2. Permitir el arranque desde un soporte externo o extraíble.
   Permite arrancar el Mac desde cualquier dispositivo

C. Seguridad en Mac Silicon M1 de Apple

Los Mac Silicon M1 no llevan implementada contraseña del Firmware. Apple considera que el bloqueo de activación proporcionado por Buscar mi Mac desde iCloud y la activación de FileVault son medidas de seguridad suficientes.

A diferencia de los Mac Intel, donde la UEFI/EFI "controla" el firmware y el SMC, en los Mac M1 es iBoot quien "controla" el firmware.

Los pasos para que puedas acceder a la Utilidad de Seguridad de Arranque en Mac Silicon M1, son:

1. Arranca tu Mac presionando y aguantando el botón de encendido o Touch ID para iniciar las opciones de arranque y/o acceder a Opciones.
2. Clic en Opciones.
3. Si tienes FileVault activado, selecciona una cuenta de usuario administrador, en Recuperación de macOS, e introduce la contraseña.
4. Clic en el menú Utilidades y selecciona la opción Utilidad de Seguridad de Arranque.
5. Define la Política de seguridad en "Macintosh HD" o en cualquier otro volumen del que puedas arrancar macOS.
6. Cierra Utilidad de Seguridad de Arranque y reinicia tu Mac.

Utilidad de Seguridad de Arranque en Mac Silicon M1 de Apple, Política de seguridad de "Macintosh HD":
Se aplican políticas de seguridad al volumen de arranque seleccionado.

1. Seguridad máxima.
   Se comprueba la integridad del sistema operativo, en el disco de arranque, y que su versión esté actualmente firmada por Apple. De no superar esta comprobación el Mac, se conectará a los servidores de Apple para actualizar la integridad del sistema operativo.
   
   Es necesario tener una conexión a Internet activa.
2. Seguridad media.
   Se comprueba que el sistema operativo, en el disco de arranque, haya sido firmado por Apple en algún momento.

Si quieres saber mucho más sobre Utilidad de Seguridad de Arranque en Mac y todos los temas técnicos relacionados con macOS y macOS Server, suscríbete a mis cursos.

Puedes consultar la metodología de los cursos aquí.

Además, mis cursos de formación técnica macOS te proporcionan el conocimiento necesario para superar las Certificaciones Oficiales de Apple.