PanicLock - Utilidad que desactiva Touch ID al cerrar la tapa de la MacBook y permite desbloquear solo con contraseña

• Funciona como una utilidad de barra de menú de macOS y permite bloquear la pantalla y desactivar temporalmente Touch ID con un clic en el menú, un atajo de teclado o simplemente al cerrar la tapa de la laptop, forzando el ingreso de la contraseña
• Refuerza un escenario de seguridad que existe porque macOS no ofrece una forma de desactivar Touch ID de inmediato, y permite cambiar al estado de desbloqueo solo con contraseña sin cerrar la sesión ni apagar el sistema
• Después de desbloquear una vez con contraseña, restaura automáticamente la configuración previa de Touch ID
• El atajo predeterminado es ⌃⌥⌘L
• Si se activa la opción Lock on Close, al cerrar la tapa de la Mac se ejecutan de inmediato la desactivación de Touch ID y el bloqueo de pantalla, y ese estado se mantiene hasta volver a iniciar sesión con contraseña
• Internamente usa un helper privilegiado SMJobBless y los comandos bioutil y pmset para cambiar el valor de tiempo de espera de Touch ID y bloquear la pantalla; al ejecutarlo por primera vez requiere ingresar la contraseña de administrador
• No hay actividad de red, telemetría ni recolección de datos; es de código abierto y aplica el principio de privilegios mínimos, por lo que su alcance de funcionamiento y posibilidad de auditoría son claros
• Sin embargo, esta utilidad solo desactiva Touch ID
  • Desbloqueo con Apple Watch
  • Llave de seguridad
  • Otros métodos de desbloqueo
  • Si esos métodos están habilitados, será posible desbloquear la Mac con ellos
• MIT License

[GN⁺]

Comentarios en Hacker News

• Me da curiosidad cuánto tiempo pasa en Apple Silicon desde que el lid sensor detecta el cierre hasta que realmente entra en sleep. He publicado varias apps de barra de menú para M2 y, aun escuchando NSWorkspaceWillSleepNotification, da la impresión de que solo hay como 200 ms, así que si dentro de esa ventana tan corta además hace falta una ida y vuelta al Secure Enclave, en la práctica parece casi una race condition
• La idea y la implementación me parecen muy buenas. Sin siquiera instalar una app, con el one-liner sudo bioutil -ws -u 0; sleep 1; sudo bioutil -ws -u 1 se puede lograr el mismo efecto. Incluso hice un enlace de Shortcuts que además bloquea la pantalla, y si lo asignas a un atajo global resulta bastante práctico
  • Si conectas esto a Crank y lo pones con un trigger de ángulo de tapa menor a 30°, puedes hacer que se ejecute automáticamente con solo bajar un poco la tapa
• Creo que estaría bueno poder registrar varios dedos en Touch ID y scriptar acciones distintas según cada dedo. Por ejemplo, dedo medio para desbloqueo normal, índice para desactivar Touch ID y forzar ingreso de contraseña; algo así se ve bastante útil
  • Sí es posible mapear cada dedo a una cuenta distinta. Recuerdo que hace tiempo usé eso para hacer fast user switch entre cuentas
• En iOS, si mantienes presionados el botón lateral y el de volumen para mostrar el deslizador de apagado y luego cancelas, en el siguiente desbloqueo se fuerza el ingreso del código. Lo mismo pasa si activas Emergency SOS con 5 pulsaciones del botón lateral. Es una función que existe desde hace mucho y, sorprendentemente, no es tan conocida; me da gusto ver un flujo parecido también en Mac
  • Para mí, presionar el botón de encendido rápidamente 5 veces o más es todavía más fácil
• La idea me parece genial. Desde hace tiempo existe debate sobre la legalidad del desbloqueo forzado, y según recuerdo se sabía que podían exigir una huella dactilar por la fuerza, pero era más difícil obligar a introducir una contraseña. Por eso me preguntaba si el objetivo principal de esta herramienta es responder a ese tipo de situaciones o si también busca otra cosa
  • Hice esto después de ver el caso de la periodista del Washington Post Hannah Natanson. La obligaron a desbloquear su computadora con la huella y, como resultado, hasta se abrió Signal de escritorio y quedaron expuestas conversaciones con sus fuentes. La nota relacionada puede verse en este artículo de Yahoo, y en la página de presentación de la app dejé más información sobre el contexto legal y la jurisprudencia
  • Me pregunto si esto es un problema solo de EE. UU.. Según recuerdo, en el Reino Unido están más cerca de poder obligarte a entregar contraseñas que razonablemente deberías conocer
  • Otro problema es que quedan rastros de huellas sobre la superficie del dispositivo. Si se puede obtener una imagen nítida de la huella, muchos sensores podían engañarse con métodos como réplicas de gelatina. Antes también se mencionaba mucho la técnica de limpiarla en Photoshop y luego imprimirla con láser en una transparencia OHP para usarla como molde
  • Hay más explicación sobre biometría vs. contraseña y sobre la situación legal en el sitio de paniclock
  • Aunque la legalidad de obligar a dar una contraseña tenga zonas grises, también hay que considerar que los tribunales pueden usar el desacato, no el contest, para presionar con una detención de duración prácticamente indefinida hasta que introduzcas la contraseña
• Hay un caso real que muestra muy bien cómo actúan las autoridades cuando quieren acceso total a una computadora sin recurrir a la coerción legal ni a la llamada rubber-hose cryptanalysis. Esperaron a que el objetivo estuviera con la sesión iniciada, armaron un alboroto cerca y luego simplemente le arrebataron la laptop abierta. El operativo de arresto de DPR está resumido en este artículo
• Esto me parece realmente bueno. Normalmente se ve mucho el consejo de seguridad de que la biometría no debería reemplazar a la contraseña, pero en mi caso siento que el riesgo de que alguien me grabe o me mire cuando escribo la contraseña en un lugar público es mayor. Si piensas también en esas situaciones realistas, esta herramienta logra un buen equilibrio
  • Creo que en la plataforma de Apple hay dos grandes vacíos. Uno son los perfiles de configuración detallados para Touch ID y la biometría; el otro es el control de versiones en los respaldos de iCloud. Las necesidades de seguridad cambian muchísimo de una persona a otra, así que un one-size-fits-all no funciona. Para el usuario promedio, la biometría es una buena opción porque reduce el shoulder surfing y mejora la seguridad, pero hay quienes quizá quieran añadir un segundo factor como Apple Watch, acortar el tiempo hasta forzar la contraseña o incluso exigir biometría + contraseña al mismo tiempo. Siento que hacen falta opciones mucho más granulares que las actuales
  • Lo que de verdad hace falta aquí es multifactor. Por ejemplo, pedir tanto la huella como un PIN específico del dispositivo. Lamentablemente, aunque la tecnología base ya existe, casi no ofrecen estas funciones en productos reales
• Creo que estaría bueno que al hacer clic en el botón de Touch ID se pudiera invalidar ese intento de inicio de sesión y pasar a pedir contraseña. Me gusta la comodidad del login con huella en el día a día, pero sería mejor si, cuando hiciera falta, hubiera una sensación de botón de salida inmediato
• Como la Mac también tiene acelerómetro, me parece que estaría genial si pudiera detectar la fuerza con la que se cierra la tapa, o al menos estimar un buen valor proxy. Si la cierras suave, no pasa nada; si la cierras con algo más de fuerza, desactiva Touch ID; y si la azotas de verdad en una emergencia, desactiva toda la biometría y descarta el estado de la sesión, y si fuera posible hasta borra la RAM y las llaves de FileVault; eso sería ideal
  • Eso ya sería casi una máquina de renuncia por enojo. En la versión empresarial quedaría completa si, en el momento en que cierras la tapa con toda tu fuerza, además envía automáticamente una carta de renuncia profesional a tu empleador actual
  • Si te parece razonable esa última etapa, probablemente seas una persona que no vive con gatos ni con niños
• Entiendo la explicación de que, “en situaciones sensibles, las fuerzas del orden o los agentes fronterizos de muchos países pueden obligarte a desbloquear con biometría a diferencia de una contraseña”, pero si en tu modelo de amenazas entra un actor estatal, apagar solo la biometría podría no bastar para proteger los datos que estén en la memoria física. En ese caso, parece más sensato tener activado el cifrado de disco y contar con un botón de pánico que apague de inmediato la computadora o la ponga en hibernación, para que no queden datos en texto plano en RAM. En el sitio dicen que apagar tarda y mata la sesión, pero un botón de hibernación podría ofrecer una velocidad parecida y al mismo tiempo conservar la sesión
  • Al menos en Apple Silicon, este tipo de ataque es bastante más difícil. No diría que es totalmente imposible, pero sí parece mucho mejor defendido que antes
  • Aun así, la policía solo trabaja para el Estado; no la veo, por lo general, en la misma categoría que lo que solemos llamar un state-level actor