Password, blocchi e criteri di avvio
«Le combinazioni di tasti all'avvio del Mac» di Angelo Pugliese, redatta con il supporto di strumenti di intelligenza artificiale. Ultimo aggiornamento di questa pagina: .
Trent'anni di serrature aggiunte all'avvio del Mac, una alla volta. Messe in fila raccontano perché le combinazioni di tasti dovevano finire.
Le combinazioni di avvio sono nate in un mondo in cui chi aveva le mani sul computer era, per definizione, il suo proprietario. Erano una comodità. Il momento in cui i portatili hanno cominciato a essere rubati, e i dischi a contenere cose che non dovevano uscire, quelle stesse combinazioni sono diventate un problema: chiunque poteva avviare la macchina in un modo che scavalcava ogni protezione.
Da qui una successione di serrature, ognuna più stretta della precedente. Vale la pena vederle in fila, perché sono la spiegazione della pagina precedente e di quella sui Mac con chip Apple.
| Quando | Che cosa arriva |
|---|---|
| 2001 | Password di Open Firmware. La prima. Blocca C, N, T, ⌘S, ⌘V, ⌥⌘P R e chiede la password per la Gestione Avvio. |
| 2006 | Password del firmware sui Mac Intel: stessa idea, nuovo firmware. Si imposta dal Recupero. |
| 2015 | Protezione dell'integrità di sistema. Non blocca l'avvio, ma toglie senso alla modalità utente singolo: nemmeno l'amministratore può più toccare le cartelle di sistema. |
| 2017 | Avvio protetto col chip T2, su tre livelli, più il divieto di fabbrica di avviare da dischi esterni. |
| 2020 | Volume di sistema firmato in macOS 11: il sistema porta un sigillo verificato a ogni avvio. |
| 2020 | Chip Apple: le combinazioni spariscono. Il segnale per entrare in una modalità meno protetta può darlo solo una mano su una macchina spenta. |
| 2021 | Password di recoveryOS, da macOS 11.5: le organizzazioni possono chiudere anche la schermata delle opzioni di avvio. |
Quattro cose che si confondono di continuo
Portano nomi simili, si incontrano nello stesso pannello, e fanno cose diverse. Distinguerle serve a sapere a chi chiedere quando una macchina non parte.
- La password del firmware (Mac Intel) chiude le vie di avvio alternative. Se si perde, serve un centro di assistenza autorizzato con la prova d'acquisto: non esiste una scorciatoia.
- L'avvio protetto (Mac T2 e chip Apple) non chiede niente a nessuno: verifica che il sistema che sta per partire sia autentico. Si abbassa, dal Recupero, con l'autorizzazione di un amministratore.
- La password di recoveryOS (chip Apple) la mette solo un servizio di gestione aziendale, e chiude perfino la schermata delle opzioni di avvio. Ha un limite dichiarato: non impedisce il ripristino in modalità DFU — ma i dati, dopo, restano illeggibili.
- Il blocco attivazione non riguarda l'avvio ma la proprietà: lega il Mac a un account Apple. È quello che si incontra comprando una macchina usata da qualcuno che non l'ha dissociata.
Prima di comprare un Mac usato, chiedete di vederlo avviare da spento e di entrare nel Recupero davanti a voi. Sono due minuti, e distinguono una macchina libera da una che vi ritroverete a dover far sbloccare da una persona che non risponde più al telefono.
I livelli di sicurezza, e perché i nomi non coincidono
C'è un'ultima insidia, ed è terminologica. I Mac con chip T2 e quelli con chip Apple hanno entrambi tre livelli di sicurezza dell'avvio, e i nomi non sono gli stessi: una guida che parli dell'uno letta pensando all'altro manda a cercare voci che in quel pannello non ci sono.
| Mac Intel con chip T2 | Mac con chip Apple |
|---|---|
| Sicurezza totale | Sicurezza totale |
| Sicurezza media | Sicurezza ridotta |
| Nessuna sicurezza | Sicurezza permissiva (che Apple chiama anche «Sicurezza assente») |
E una differenza sostanziale sotto i nomi: sui Mac con chip Apple il livello più basso non si imposta dal pannello, serve un comando da Terminale nel Recupero. Inoltre il criterio vale per singola installazione di macOS e non per macchina: con due sistemi installati se ne può abbassare uno e lasciare l'altro protetto.