MDM блокировка: что это и как убрать
Техника Apple известна, в первую очередь, своей безопасностью. Система FileVault зашифрует 265-битным ключом загрузочный диск для предотвращения несанкционированного доступа к данным.
А функция «Найти Мак» или iPhone позволит удаленно найти на карте и заблокировать доступ к части данных в украденной технике Apple.
MDM блокировка
Но есть еще одна система блокировки MDM (система управления мобильными устройствами).
В крупных компаниях, чтобы администратору можно было быстро и удаленно управлять устройствами, он устанавливает на них MDM профиль. Используя удаленное управление, администратор может отключать функции, устанавливать или удалять приложения, отслеживать и ограничивать ваш интернет-трафик, а также удаленно стирать данные с Mac и iPhone.
Профиль MDM можно установить на б/у или новую технику Apple. Обычная компания или учебное заведение обращается в Apple, чтобы занести серийные номера купленных устройств в базу данных. Затем все права передаются администратору, который настраивает эти машины по своему усмотрению. Админ отслеживает работу сотрудников компании и следит, чтобы устройство не украли и не продали на вторичном рынке.
Как выявить MDM профиль при покупке б/у Mac
Способ 1. На компьютере Mac откройте меню Apple — Системные настройки и найти папку с профилями. Если она есть, как на скрине ниже, значит Mac заблокирован.
Способ 2. Либо на ноутбуке будет периодически вылазить окошко с предложением установить профиль. До обновления системы на Big Sur такие уведомления обычно не появляются.
Способ 3. Через утилиту Мониторинг системы, вкладка ЦП — отыскать процесс «mdmclient«. Если он есть, значит компьютер подключен к сервису поддержки устройств Apple и он имеет MDM блокировку.
Вывод: до тех пор, пока у вас нет папки с установленными профилями в системных настройкам, вашим устройством никто управлять не может. Но будет регулярно появляться надоедливое уведомление, через которое можно установить профиль. Плюс у вас будут проблемы с активацией устройства после полного форматирования Mac.
Переустановка системы при MDM блокировке
Самый надежный способ переустановить систему при MDM блокировке — это полное удаление диска с его форматированием, а затем установка последней версии macOS.
Шаг 1. Выключите компьютер, а при его включении зажмите и удерживайте Command+R (или кнопку питания для Mac на чипе M1 до появление шестерни около 10 секунд). Так вы запустите восстановление системы на macOS.
Шаг 2. В окошке запускаем дисковую утилиту и форматируем все разделы нажатием кнопки «Стереть».
Этот способ хорош тем, что если Mac привязан к учетной записи, или активирована функция «Найти Mac», то прежде, чем произойдет это действие, необходимо отключить эти опции, введя пароль. Т.е.
Побороть проблему можно откатом до заводской ОС, а затем обновлением системы до macOS Big Sur. Тогда MDM профиль не будет установлен в системных настройках, но будет регулярно появляться уведомление.
MDM блокировка на iPhone и iPad
На iPhone, iPod или iPad сведения об MDM профиля обычно отображаются в верхней части настроек.
Или могут находиться в основных настройках, Профили.
MDM блокировку в iPhone можно и не найти потому, что есть утилита, которая деактивирует такие профили. И вы узнаете, что ваш iPhone «залочен» только после полного форматирования или обновления до версии iOS, в которой Apple улучшила защиту. Например, как это было с iOS 13.4.
Если после установки системы и активации iPhone не появится такое окно, значит с вашим iPhone все в порядке, MDM блокировки нет.
При покупке iPhone новое устройство всегда нужно распечатывать и активировать, и только в таком случае вы узнаете,что девайс не залочен. Если вы попали в такую ситуацию, когда проверять уже поздно, есть несколько вариантов.
Вывод: покупайте новую технику Apple только у официалов. А при покупке б/у проверяйте на наличие профилей MDM блокировки. Не гоняйтесь за дешевыми ценами на технику Apple.
Своими историями и опытом покупки различной техники делитесь в комментариях.
При написании стать использованы материалы с каналов: Intune Support Team, ProTech, Apple Tech 752, Fix mobile.
Обзор безопасности управления мобильными устройствами
Обзор
Операционные системы Apple поддерживают работу с системами управления мобильными устройствами (MDM), благодаря чему организации могут выполнять безопасную настройку и управлять масштабным развертыванием устройств Apple. Работа функций MDM основана на существующих технологиях операционной системы, таких как профили конфигурации, регистрация по беспроводной сети и служба Apple Push Notification (APNs). Например, APNs используется для вывода устройства из режима сна, чтобы оно могло напрямую связаться с системой MDM через безопасное соединение. Конфиденциальная или корпоративная информация через APNs не передается.
Используя MDM, отделы ИТ могут безопасно внедрять устройства Apple в корпоративную среду, устанавливать и обновлять настройки по беспроводной сети, следить за соответствием корпоративным политикам, управлять политиками обновления программного обеспечения и даже удаленно стирать данные или блокировать управляемые устройства.
Помимо стандартных способов регистрации устройств, поддерживаемых в iOS, iPadOS, macOS и tvOS, в операционных системах iOS 13 или новее, iPadOS 13.1 или новее и macOS 10.15 или новее был добавлен новый тип регистрации — регистрация пользователя. Регистрация пользователя — это регистрация в MDM, которая разработана для программы использования сотрудниками личных устройств на работе (BYOD), когда устройство принадлежит пользователю, но используется в управляемой среде. Регистрация пользователя предоставляет системе MDM меньше полномочий, чем регистрация неконтролируемых устройств, и обеспечивает криптографическое разделение пользовательских и корпоративных данных.
Типы регистрации
Регистрация устройства. Этот тип регистрации позволяет пользователям организаций вручную регистрировать устройства и управлять различными аспектами использования устройств, в том числе возможностью стирания данных на устройстве. Администратору доступен большой набор полезных нагрузок и ограничений, которые можно применять к устройству. Когда пользователь удаляет профиль регистрации, также удаляются все профили конфигурации, включая связанные с ними настройки и управляемые приложения, использующие этот профиль регистрации.
Автоматическая регистрация устройства. Этот тип регистрации позволяет организациям настраивать устройства и управлять ими с момента извлечения из коробки (этот тип регистрации также называется полностью автоматическим развертыванием). Такие устройства также называются контролируемыми. На контролируемых устройствах можно запретить удаление профиля MDM пользователем. Автоматическая регистрация возможна только для устройств, принадлежащих организации.
Ограничения устройств
Управление настройками код-паролей и паролей
По умолчанию код-пароль пользователя является цифровым. На устройствах iOS и iPadOS с Touch ID или Face ID минимальная длина код-пароля составляет четыре цифры. Рекомендуется использовать более длинные и сложные код-пароли, поскольку их труднее подобрать или взломать.
Для принудительного применения сложных код-паролей и других политик администраторы могут воспользоваться системой MDM или Microsoft Exchange ActiveSync, а также обязать пользователей вручную установить профили конфигурации. Для установки полезной нагрузки политики код-паролей macOS требуется пароль администратора. Некоторые политики код-паролей могут требовать задания код-паролей определенной длины, а также использования в них определенных символов и других атрибутов.
Как управлять сразу несколькими устройствами Apple
Еще 10-15 лет назад о компании Apple было мало известно на российском рынке. Ситуация изменилась после выхода первого iPhone и iPhone 3G, но даже после этого компьютеры Mac продолжали ассоциироваться у многих с «экзотикой». Отсюда сформировался популярный миф о том, что Mac нужны только в офисах видео- и аудиозаписи, в издательских компаниях или дизайн-студиях. Однако со временем техника Apple стала ассоциироваться не только с чем-то «премиальным», но и с простотой эксплуатации и надежностью. Ведь именно пользователи Mac одними из первых перестали бояться вредоносного ПО, тогда как на Windows до сих пор правят антивирусы.
Управлять устройствами Apple можно несколькими способами
С чего началась популярность техники Apple в России
Сильный рост спроса на продукцию «яблочной» компании начался в РФ в 2010 году и продолжается до сих пор. Этому поспособствовали сразу несколько факторов:
Сейчас у сотрудников российских компаний появились не только iPhone или iPad, но и компьютеры Mac. Причем все больше сотрудников используют эту технику не только для развлечений или серфинга в интернете, но и решения большого объема задач, в том числе рабочих. Удобство и безопасность сыграли решающую роль при переходе с Windows на Mac. Не говоря о том, что им просто нравится держать в руках и ощущать надежное устройство из стекла и металла.
Кстати, переходить с Windows на Mac не только приятно, но и выгодно.
Однако преимущества использования техники Apple в корпоративной среде очевидны не всем. Несмотря на то, что сейчас многие руководители компаний стали гибкими по отношению к новым технологиям и смело решаются попробовать новое, все еще есть заблуждение, что iPhone, iPad и Mac сложно централизованно управлять. В то же время Apple не просто предлагает полноценную корпоративную платформу, компания также реализовала инструмент для управления своими устройствами в корпоративной среде — MDM.
Как управлять устройствами Apple в компании
MDM позволяет организовать управление всеми устройствами
На самом деле MDM — штука далеко не новая, но широкое распространение она получила за последние несколько лет. Аббревиатура полностью оправдывает свою расшифровку (Mobile Device Management): технология позволяет не только устанавливать конфигурационные профили, но и также полностью стирать информацию с устройства и даже сбрасывать системный пароль.
AaaS – услуга предоставления продуктов Apple как сервиса, предлагаемая компанией Softline. Компания предоставляет не только мобильные устройства, но и сервисы, без которых эти устройства не будут полноценно работать. Среди этих сервисов MDM – решение для удаленного управления устройствами.
Зачем нужны конфигурационные профили
Профиль конфигурации позволяет распространять на устройства Apple индивидуальные настройки. Например, это может быть корпоративный сертификат, параметры VPN, данные для электронной почты. Такие профили удобны тем, что их можно распространять на большое количество гаджетов — особенно актуально, если в компании 100 устройств от Apple или больше.
Вот лишь немногие из параметров, которые настраиваются при помощи конфигурационных профилей:
Для повышения безопасности профили можно подписывать сертификатом — это обеспечивает целостность и аутентичность профиля. Конфигурационные профили можно устанавливать на устройства несколькими способами — можно отправить его приложение Apple Configurator, «по воздуху» с помощью сервера MDM, просто разместить ссылку на странице или даже отправить профиль по электронной почте.
Как работает MDM
MDM использует Push-уведомления и протокол TLS. Сначала устройство должно быть зарегистрировано в MDM, в дальнейшем сервер MDM информирует подконтрольные ему устройства о назначенных им задачах с помощью Apple Push Notification Service. Собственно задачи устройства получают от MDM по защищенному TLS-каналу. Удобство MDM в том, что iPhone или iPad совсем не обязательно находиться в одной сети с сервером для получения обновленных настроек, они могут подключиться к MDM-серверу из любой точки мира.
Удобство MDM в том, что iPhone или iPad совсем не обязательно находиться в одной сети с сервером
Как привязать устройство к MDM
Чтобы настроить MDM даже для небольшой компании, необходим отдельный IT-отдел и специальные навыки. Или можно полностью доверить настройку сервиса MDM компании Softline, которая предоставляет полноценный сервис от продажи устройства до его безопасной интеграции в существующую экосистему.
Взаимодействие устройства с MDM
После добавления iPhone или iPad в MDM, управление происходит в рамках стандартного набора действий:
А как же Mac?
Из расшифровки аббревиатуры MDM ясно, что изначально данное средство было разработано для управления мобильными устройствами. Однако впоследствии, когда возникла необходимость такой же интеграции компьютеров Mac, MDM дополнили новыми возможностями.
MDM позволяет настроить политики безопасности, права доступа для пользователей, возможности администрирования для приложений, — рассказывает руководитель бизнеса Apple в компании Softline Антон Карпов.
Почему MDM стоит попробовать
С каждым годом количество техники Apple в компаниях растет, сотрудники покупают и приносят свои устройства, также все больше организаций предпочитают закупать iPhone, iPad и Mac для создания корпоративной инфраструктуры (в чем, кстати, очень помогает подход Softline — Apple as a Service). MDM позволяет привязать как уже существующие устройства сотрудников, так и настроить новые. А с помощью авторизованных реселлеров, которые существенно расширяют возможности отдельных элементов инфраструктуры Apple, из этого можно извлечь максимум пользы и сделать работу сотрудников более эффективной.
Что такое mobile device management и в какой области он применим?
MDM (Mobile Device Management) в переводе с английского — управление мобильными устройствами. MDM — это решения, предназначенные для контроля смартфонов и планшетов, на сегодняшний день можно применять и на ноутбуках с MacOS или Windows 10. Все мы знаем, что сейчас из-за эпидемиологической обстановки многие работают из дома, используя личные смартфоны или планшеты. Количество «мобильных» пользователей неуклонно растет, причём часто такими пользователями являются ключевые сотрудники и топ-менеджеры. Через мобильное устройство можно осуществить вирусную рассылку, раскрыть конфиденциальные данные; устройство с ценной информацией, в конце концов, может быть просто украдено. Для защиты подобного рода угроз и служит MDM. Поэтому в основном решение применяется в корпоративных отраслях.
MDM защищает конфиденциальную информацию от утечки, от вредоносных приложений и прошивок, которые могут как раскрыть или уничтожить ценную информацию компании, так и навредить лично пользователю. Защищает также от перехвата передаваемой информации через недоверенные каналы связи. Ну и выполняет ряд прикладных задач: централизованная установка приложений на весь парк корпоративных устройств, отключение неиспользуемых функций.
Организации выбирают MDM системы в целях экономии средств. Установить систему на устройства сотрудников будет явно дешевле, чем покупать каждому рабочий девайс. Но есть в MDM системе значительный минус (особенно для сотрудника). С установленной на устройстве MDM вы больше не являетесь единственным владельцем устройства. Защищая корпоративную информацию, MDM-система также получает доступ ко всем личным данным.
Как отключить геолокацию на iPhone: во всей системе или для конкретных приложений
У вас есть возможность достаточно гибко настроить работу с определением местоположения своего iPhone. Вы можете полностью избавиться от использования геолокации, ограничить его для конкретных приложений и системных служб, а также узнать, когда своим разрешением воспользовались в последнее время.
Содержание
Как отключить абсолютно все «Службы геолокации» на iPhone
Шаг 1. Откройте «Настройки».
Шаг 2. Перейдите в раздел «Конфиденциальность».
Шаг 3. Разверните меню «Службы геолокации».
Шаг 4. Переведите в неактивное положение переключатель «Службы геолокации».
Обратите внимание: если вы отключите службы геолокации на iPhone, они также автоматически не будут использоваться на Apple Watch. Тем не менее, местоположение продолжит определяться на других устройствах Apple, которые привязаны к одной и той же учетной записи Apple ID.
Как отключить геолокацию для конкретных приложений
Шаг 1. Откройте «Настройки».
Шаг 2. Перейдите в раздел «Конфиденциальность».
Шаг 3. Разверните меню «Службы геолокации».
Шаг 4. Выберите пункт конкретного приложения.
Шаг 5. Определите вариант использования геолокации:
Рекомендую также обратить внимание на переключатель «Точная геопозиция». Если перевести его в неактивное положение, приложения смогут определять текущее местоположение устройства только лишь приблизительно. Эта возможность появилась вместе с переходом на iOS 14.
Какие из «Системных служб» геолокации можно выключить
В меню «Настройки» > «Конфиденциальность» > «Службы геолокации» > «Системные службы» есть целый ряд переключателей, которые связаны с определением местоположения iPhone. В данном разделе параметров мобильного устройства нет четких определений, поэтому я помогу вам разобраться с теми, которые можно отключить.
«Геопредложения» — служба, которая используется в рекламных целях и помогает приложениям и сервисам предлагать вам товары и услуги с привязкой к местоположению.
«Геопредупреждения» — служба, которая отвечает за работу напоминаний с использованием изменения местоположения, а также автоматизаций для «Быстрых команд».
«Данные и беспроводн. cети» — служба, которая предназначена для более точного определения позиции гаджета внутри помещения с использованием чипа U1.
«Идентиф. продавца Pay» — служба, которая определяет ваше местоположение во время оплаты товаров и услуг с помощью фирменного платежного сервиса Apple.
«Калибровка компаса» — служба, которая ускоряет определение направления движения при использовании картографических сервисов.
«Калибровка учета движения» — служба, которая дает возможность увеличить точность определения пройденного расстояния.
«Найти iPhone» — служба, привязанная к приложению «Локатор», которая нужна для поиска потерянного мобильного устройства Apple.
«Настройка системы» — служба, которая отвечает за функцию оптимизированной зарядки и некоторые другие системные фишки смартфонов Apple.
«Поделиться геопозицией» — служба, которая, к примеру, дает возможность отправить свое местоположение любому знакомому через социальные сети или мессенджеры.
«Поиск сотовой сети» — служба, которая упрощает поиск вышек мобильной связи во время перемещения пешком, в поезде или на автомобиле.
«Установка часового пояса» — служба, которая нужна для правильной корректировки времени: это особенно важно во время воздушных перелетов между странами.
«Экстренные вызовы и SOS» — служба, которая определяет ваше точное местоположение при использовании функции SOS.
«Device Management» — служба для удаленного конфигурирования гаджетов, которая применяется в учебных заведениях.
«HomeKit» — служба, отвечающая за срабатывание сценариев автоматизации и другие возможности приложения «Дом».
«Важные геопозиции» — служба, которая запоминает наиболее частые местоположения пользователя и конфигурирует рекомендации на основании этой информации.
Как определить недавнее использование геолокации на iPhone
Возле пунктов приложений и системных служб в меню «Настройки» > «Конфиденциальность» > «Службы геолокации» периодически появляются индикаторы местоположения в виде стрелок в разном исполнении: серые и фиолетовые, заполненные или контуром. Вот что они показывают:
Вы также можете добавить значок геолокации в строку меню мобильного устройства, который на iPhone с использованием Face ID будет отображаться в «Пункте управления». Чтобы сделать это, нужно перевести в активное положение переключатель «Значок в меню статуса» в меню «Настройки» > «Конфиденциальность» > «Службы геолокации».
⚠️ Если инструкция перестала работать или у вас возникли проблемы на каком-то шаге — пожалуйста, сообщите об этом в комментариях. Мы обязательно изучим проблему и обновим статью.
