Źródło: unsplash.com/photos/mT7lXZPjk7U
Aktualizacja macOS Tahoe 26.4 wprowadziła zmianę w działaniu pęku kluczy logowania. Ręczne skopiowanie pliku z jednego Maca na drugi nadal może być możliwe na poziomie systemu plików, ale przeniesiony login Keychain nie musi już otworzyć się na innym komputerze. Powodem jest powiązanie ochrony danych z kluczami przechowywanymi przez Secure Enclave konkretnego urządzenia.
Jak opisuje Rich Trouton, pęk kluczy logowania jest bazą danych SQLite przechowywaną w katalogu domowym użytkownika. We wcześniejszych wersjach macOS można było skopiować ten plik na drugi komputer i korzystać z zapisanych w nim danych. Według analiz opublikowanych przez Troutona i Jeffa Johnsona aktualizacja macOS 26.4 zmieniła ten mechanizm w przypadku komputerów korzystających z Secure Enclave.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Chroniona baza danych zawierająca dane uwierzytelniające użytkownika, przechowywana w jego katalogu domowym.
Izolowany komponent sprzętowy używany do ochrony kluczy kryptograficznych i operacji związanych z bezpieczeństwem urządzenia.
Klucz używany do ochrony metadanych i atrybutów zapisanych w pęku kluczy.
Dla większości użytkowników domowych zmiana może pozostać niezauważona. Przywrócenie kopii zapasowej na tym samym komputerze nie wymaga przenoszenia pęku kluczy do innego środowiska, a migracja z użyciem systemowego Asystenta migracji również nie opiera się na prostym kopiowaniu pliku login Keychain. Inaczej wygląda sytuacja w organizacjach, które wykonują masowe migracje komputerów i korzystają z własnych procedur przenoszenia danych.
Administratorzy używający ręcznego kopiowania pęku kluczy powinni uwzględnić, że procedura działająca w macOS 26.3 może przestać działać po aktualizacji do wersji 26.4. Szczególnie problematyczny byłby scenariusz awaryjnej wymiany uszkodzonego Maca, gdy użytkownik oczekuje, że sama kopia pliku pozwoli odzyskać zapisane dane. Źródła opisujące zmianę wskazują, że stała się ona widoczna po marcowej aktualizacji, mimo że dotyczy pozornie niewielkiego wydania systemu.
Ręczna kopia login Keychain nie jest jedynym sposobem przenoszenia danych. Przed migracją można wyeksportować potrzebne elementy, korzystać z niestandardowych pęków kluczy albo używać zewnętrznego menedżera haseł. W przypadku użytkowników korzystających z urządzeń Apple praktyczną opcją pozostaje także iCloud Keychain. Synchronizuje on dane między zgodnymi urządzeniami, w tym iPhone'em, iPadem oraz innymi komputerami Mac, więc nie wymaga przenoszenia pojedynczego pliku powiązanego z konkretnym sprzętem.
Opisana zmiana zwiększa odporność pęku kluczy na sytuację, w której ktoś próbuje przenieść chroniony plik i otworzyć go poza oryginalnym urządzeniem. Jednocześnie ogranicza wygodę administratorów polegających na własnych skryptach i procedurach migracyjnych. Przed aktualizacją komputerów do macOS 26.4 warto sprawdzić, czy firmowy proces odzyskiwania danych korzysta z ręcznego kopiowania login Keychain, oraz przygotować alternatywną metodę migracji.
Brak komentarzy. Bądź pierwszy!
