← До повного змісту CIS Apple macOS 26 Tahoe Benchmark

CIS Benchmark

CIS BENCHMARK • MACOS 26 TAHOE

2.12 Біометрія Touch ID та паролі облікових записів

Заборона підказок паролів та регулювання біометричної автентифікації Touch ID.


Рекомендацій: 2


macOS 26 Tahoe v1.1.0

2.12.1 Переконайтеся, що облікові записи користувачів не мають підказки до пароля (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.12.1 Ensure Users’ Accounts Do Not Have a Password Hint (Automated)

Підказки паролів допомагають користувачеві згадати паролі для різних систем і/або облікові записи. У більшості випадків підказки щодо пароля прості та тісно пов’язані з паролем користувача пароль.

💡 Обґрунтування безпеки:

Підказки щодо пароля, тісно пов’язані з паролем користувача, є безпекою вразливість, особливо в епоху соціальних мереж. Більша ймовірність того, що неавторизовані користувачі вгадати пароль користувача, якщо є підказка до пароля. Підказка до пароля дуже чутливі до атак соціальної інженерії та поширення інформації в соціальних мережах мережі.

🔍 Аудит (перевірка налаштувань)
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/dscl . -list /Users hint \
/usr/bin/sudo /usr/bin/dscl . -list /Users hint . -list /Users hint
Очікуваний результат:
У вихідних даних буде перелік усіх користувачів. Якщо в списку користувача є будь-який текст, це означає, що машина є
не відповідає вимогам.
приклад:
підказка пароля першого користувача
підказка пароля другого користувача2
третій користувач
fourthuser
Гість

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб видалити підказку щодо пароля користувача, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Touch ID і паролі (або пароль для входу на Mac без Touch ID)
  3. Виберіть Змінити…
  4. Змініть пароль і переконайтеся, що в полі підказки пароля не введено жодного тексту
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/dscl . -list /Users hint . -delete /Users/ \
/usr/bin/sudo /usr/bin/dscl . -list /Users hint . -delete /Users/firstuser \
/usr/bin/sudo /usr/bin/dscl . -list /Users hint . -delete /Users/seconduser

ℹ️ Примітка: Це змінить лише пароль поточного користувача, а не інших
які не сумісні з Mac. Використовуйте метод терміналу, якщо в ньому немає кількох користувачів
відповідність.

ℹ️ Додаткова інженерна інформація (Additional Information):

Організації можуть розглянути можливість введення номера телефону служби підтримки організації або іншого тексту (наприклад, попередження для користувача). Номер довідкової служби підходить лише для організацій із навченим персоналом довідкової служби, який перевіряє ідентифікаційні дані користувачів для скидання пароля.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 5.2
IG 1, 2, 3
Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.

CIS Controls V7: 4.4
IG 1, 2
Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

2.12.2 Аудит Touch ID (Вручну)

• Рівень 1 (L1)Вручну

Оригінал: 2.12.2 Audit Touch ID (Manual)

Apple інтегрувала Touch ID у macOS і дозволяє багатьом користувачам використовувати відбитки пальців загальні операції. Будь-яке використання Touch ID вимагає наявності пароля та використовувати цей пароль після кожного перезавантаження або коли з тих пір минуло більше 48 годин пристрій востаннє розблоковано. Touch ID не замінює пароль. Використання Проте Touch ID може зробити використання паролів більш безпечним для авторизованих користувачів з фізичним доступом до Mac. Звичайні повсякденні робочі операції можуть усунути використання консольного введення пароля, якщо не потрібно перезавантаження, крім понеділка ранок. Рідке розблокування екрана паролем може зробити більш складним парольна фраза, яка рідко використовується. Коли використовується Touch ID, він усуває ризик плечовий серфінг (включаючи відеоспостереження) для захоплення облікових даних консолі. там було багато повідомлень про захоплення паролів для серфінгу на плечі на пристроях iOS. Звіти не були широко розповсюджені на комп’ютерах Mac, але пошук паролів простіше ніж інші методи злому зашифрованого Mac. Коли SmartCard або YubiKey надані організацією та доступні для Консольна автентифікація, яка є набагато безпечнішим варіантом, ніж використання Touch ID і є кращим.

💡 Обґрунтування безпеки:

Touch ID дозволяє за відбитком пальця, зареєстрованим в обліковому записі, отримати доступ до ключа, який використовує a наданий раніше пароль.

⚠️ Вплив на робочий процес (Impact):

Touch ID більш зручний для використання з агресивними елементами керування блокуванням екрана.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Щоб перевірити налаштування Touch ID, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Touch ID & Password
  3. Переконайтеся, що налаштування Touch ID відповідають вимогам вашої організації
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo -u  /usr/bin/bioutil -r \
/usr/bin/sudo /usr/bin/bioutil -r -s | /usr/bin/awk '/timeout/'
Очікуваний результат:
Конфігурація User Touch ID:
Touch ID для розблокування: <0,1>
Touch ID для ApplePay: <0,1>
Ефективний Touch ID для розблокування: <0,1>
Ефективний Touch ID для ApplePay: <0,1>
Час очікування Touch ID (у секундах):

ℹ️ Примітка: Вихід для розблокування та ApplePay становить 0 для вимкненого та 1 для ввімкненого. The
Значення тайм-ауту становить секунди і може бути встановлено будь-яке значення.
приклад:
% /usr/bin/sudo -u firstuser /usr/bin/bioutil -r

Конфігурація User Touch ID:

Touch ID для розблокування: 1

Touch ID для ApplePay: 1

Ефективний Touch ID для розблокування: 1

Ефективний Touch ID для ApplePay: 1

% /usr/bin/sudo usr/bin/bioutil -r -s | /usr/bin/awk ‘/timeout/’

Час очікування Touch ID (у секундах): 172800
У наведеному вище прикладі користувач увімкнув Touch ID для розблокування системи
і для Apple Pay. Максимальний час очікування для Touch ID становить 48 годин (172800
секунд).

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб налаштувати Touch ID відповідно до вимог вашої організації:

  1. Відкрийте налаштування системи
  2. Виберіть Touch ID & Password
  3. Налаштуйте налаштування Touch ID відповідно до вимог вашої організації
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo -u  /usr/bin/bioutil -w -u <0,1> \
/usr/bin/sudo -u  /usr/bin/bioutil -w -a <0,1> \
/usr/bin/sudo usr/bin/bioutil -w -s -o  \
/usr/bin/sudo -u  /usr/bin/bioutil -w -u 1 \
/usr/bin/sudo -u  /usr/bin/bioutil -w -a 1 \
/usr/bin/sudo usr/bin/bioutil -w -s -o 86400

ℹ️ Примітка: Параметр -s позначає конфігурацію системи, і його не потрібно запускати для кожного користувача.

📋 CIS Controls & Нормативні посилання
  1. https://support.apple.com/guide/mac-help/touch-id-mchl16fbf90a/mac
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 5.2
IG 1, 2, 3
Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14- character password for accounts not using MFA.

CIS Controls V7: 4.4
IG 1, 2
Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Apple macOS Benchmark →