PanicLock - Utilitaire qui désactive Touch ID quand on referme le MacBook et impose le déverrouillage par mot de passe

• Fonctionne comme un utilitaire de barre de menus macOS et permet de verrouiller l’écran ainsi que de désactiver temporairement Touch ID via un clic dans le menu, un raccourci clavier ou simplement la fermeture du capot de l’ordinateur portable, afin d’imposer la saisie du mot de passe
• Comble une situation de sécurité due au fait que macOS ne propose pas de moyen de désactiver immédiatement Touch ID, et permet de basculer vers un état de déverrouillage par mot de passe uniquement sans fermer la session ni éteindre le système
• Après un premier déverrouillage par mot de passe, les réglages Touch ID existants sont automatiquement restaurés
• Le raccourci par défaut est ⌃⌥⌘L
• Si l’option Lock on Close est activée, la désactivation de Touch ID et le verrouillage de l’écran s’exécutent dès que le capot du Mac est refermé, et l’état est conservé jusqu’à une nouvelle connexion par mot de passe
• En interne, l’outil utilise un helper privilégié SMJobBless ainsi que les commandes bioutil et pmset pour modifier la valeur de temporisation de Touch ID et verrouiller l’écran, avec saisie du mot de passe administrateur requise au premier lancement
• Aucune activité réseau, télémétrie ni collecte de données, open source, avec application du principe du moindre privilège, ce qui rend son périmètre d’action et sa capacité d’audit clairement identifiables
• Cet utilitaire désactive uniquement Touch ID
  • Déverrouillage via Apple Watch
  • Clé de sécurité
  • Autres moyens de déverrouillage
  • Si ces méthodes sont activées, elles peuvent toujours être utilisées pour déverrouiller le Mac
• Licence MIT

[GN⁺]

Avis Hacker News

• Je me demande combien de temps il s’écoule sur Apple Silicon entre la détection du lid sensor et la mise en veille effective. J’ai déjà publié quelques apps de barre de menu pour M2, et même en écoutant NSWorkspaceWillSleepNotification, on n’a en pratique que 200 ms environ, donc s’il faut en plus un aller-retour avec la Secure Enclave dans cette courte fenêtre, ça ressemble en fait à une race condition
• Je trouve l’idée et l’implémentation vraiment très bonnes. Même sans installer d’app, on peut obtenir le même effet avec ce one-liner : sudo bioutil -ws -u 0; sleep 1; sudo bioutil -ws -u 1. J’ai aussi préparé un lien Shortcuts qui ajoute en plus le verrouillage de l’écran, et avec un raccourci global c’est assez pratique
  • En le reliant à Crank avec un déclencheur sur lid angle inférieur à 30°, on peut l’exécuter automatiquement en abaissant simplement un peu le capot
• Je me disais que ce serait bien de pouvoir enregistrer plusieurs doigts pour Touch ID et script­er un comportement différent selon le doigt. Par exemple, le majeur pour un déverrouillage normal, l’index pour désactiver Touch ID et forcer la saisie du mot de passe : ça semblerait assez utile
  • Il est déjà possible d’associer chaque doigt à un compte différent. Je me souviens avoir utilisé ça autrefois pour faire du fast user switch entre comptes
• Sur iOS, si on maintient le bouton latéral et un bouton de volume pour afficher le curseur d’extinction puis qu’on annule, le prochain déverrouillage impose la saisie du code. Déclencher Emergency SOS avec 5 pressions sur le bouton latéral produit le même effet. La fonction existe depuis longtemps, mais elle est étonnamment peu connue, donc je suis content de voir un flux similaire arriver sur Mac
  • Personnellement, je trouve plus simple d’appuyer rapidement 5 fois ou plus sur le bouton d’alimentation
• Je trouve l’idée excellente. Il y a depuis longtemps un débat sur la légalité du déverrouillage forcé, et d’après mes souvenirs, on considère qu’on peut contraindre plus facilement quelqu’un à fournir son empreinte qu’à saisir un mot de passe. Du coup, je me demandais si c’était le but principal de cet outil, ou s’il visait aussi autre chose
  • J’ai créé ça après avoir vu le cas de la journaliste du Washington Post Hannah Natanson. On l’a forcée à déverrouiller son ordinateur avec son empreinte, ce qui a aussi ouvert Signal sur le bureau et exposé ses conversations avec ses sources. Un article connexe est disponible sur Yahoo, et j’ai résumé davantage le contexte juridique et la jurisprudence sur la page de présentation de l’app
  • Je me demande si c’est un problème propre aux États-Unis. De mémoire, au Royaume-Uni, on est plus proche d’un cadre où l’on peut vous obliger à remettre un mot de passe que vous êtes raisonnablement censé connaître
  • Un autre problème, c’est que des traces d’empreintes restent sur l’appareil. Si on peut produire une image nette de l’empreinte, beaucoup de capteurs peuvent être trompés avec une reproduction en gélatine. À une époque, on évoquait souvent aussi la technique consistant à nettoyer l’image dans Photoshop puis à l’imprimer au laser sur un transparent OHP pour s’en servir comme moule
  • Il y a davantage d’explications sur biométrie contre mot de passe, ainsi que sur le contexte juridique, sur le site paniclock
  • Même si la légalité de la contrainte à saisir un mot de passe reste floue, il faut aussi prendre en compte que les tribunaux peuvent en pratique faire pression pour obtenir ce mot de passe via le contempt plutôt qu’une infraction de type contest, avec à la clé une détention potentiellement indéfinie
• Il existe un exemple concret qui montre bien comment les autorités peuvent obtenir un accès complet à un ordinateur sans contrainte légale ni rubber-hose cryptanalysis : attendre que la cible soit connectée, provoquer une diversion à proximité, puis arracher directement le portable déjà ouvert. L’opération d’arrestation de DPR est racontée dans cet article
• C’est vraiment très bien. On voit souvent comme conseil de sécurité que la biométrie ne devrait jamais remplacer un mot de passe, mais dans mon cas, le risque qu’on me filme ou qu’on observe mon mot de passe dans un lieu public me paraît plus élevé. En tenant compte de ce type de situation bien réel, cet outil trouve un bon équilibre
  • Je vois deux grandes lacunes dans les plateformes Apple. La première concerne les profils de réglage fins pour Touch ID et la biométrie, la seconde la gestion des versions dans les sauvegardes iCloud. Les besoins en sécurité varient énormément selon les personnes, donc une approche one-size-fits-all ne convient pas. Pour l’utilisateur moyen, la biométrie réduit le shoulder surfing et améliore la sécurité, mais certains voudront peut-être ajouter un second facteur comme l’Apple Watch, réduire le délai avant obligation du mot de passe, ou même exiger biométrie + mot de passe simultanément. J’ai l’impression qu’il faudrait des options bien plus granulaires qu’aujourd’hui
  • Ce qu’il faudrait vraiment ici, c’est du multifactor. Par exemple, demander à la fois une empreinte et un PIN spécifique à l’appareil. Malheureusement, alors que la technologie de base existe déjà, ce genre de fonction est rarement bien proposé dans les produits
• Je pense que ce serait bien de pouvoir annuler une tentative de connexion quand on clique sur le bouton Touch ID, et d’exiger à la place le mot de passe. J’apprécie la commodité de la connexion par empreinte au quotidien, mais j’aimerais encore plus avoir une sorte de bouton de sortie pour s’en extraire instantanément si besoin
• Comme les Mac ont aussi un accéléromètre, je trouverais génial qu’on puisse détecter la force avec laquelle on ferme le capot, ou au moins en estimer un proxy raisonnable. Si on le ferme doucement, il ne se passe rien ; un peu plus fermement, Touch ID se désactive ; et en cas de slam shut vraiment urgent, l’idéal serait de désactiver toute biométrie, invalider l’état de session, et si possible effacer aussi la RAM et les clés FileVault
  • On dirait presque une machine à rage quit. Dans une version entreprise, ce serait parfait si, au moment où on claque le capot de toutes ses forces, une lettre de démission professionnelle était aussi envoyée automatiquement à l’employeur du moment
  • Si cette dernière étape vous paraît raisonnable, j’ai tendance à penser que vous ne vivez probablement pas avec des chats ou des enfants
• Je comprends l’explication selon laquelle, « dans des situations sensibles, les forces de l’ordre ou les agents frontaliers de nombreux pays peuvent imposer un déverrouillage biométrique contrairement à un mot de passe », mais si votre modèle de menace inclut des acteurs étatiques, désactiver seulement la biométrie risque de ne pas suffire à protéger les données présentes en mémoire physique. Dans ce cas, il semble plus judicieux d’avoir le chiffrement du disque activé et un bouton panique qui éteint immédiatement ou met en veille prolongée l’ordinateur afin qu’aucune donnée en clair ne reste dans la RAM. Le site dit que l’extinction prend du temps et tue la session, mais un bouton de veille prolongée offrirait une vitesse comparable tout en préservant la session
  • Au moins, Apple Silicon rend ce type d’attaque nettement plus difficile. Je ne dirais pas que c’est totalement impossible, mais la défense semble meilleure qu’avant
  • Cela dit, la police travaille pour l’État, mais ce n’est généralement pas tout à fait ce qu’on entend par state-level actor