Что такое блокировка mdm
Обход / удаление блокировки активации корпоративного MDM профиля на iPhone и iPad
У вас есть iPhone либо iPad с блокировкой активации профиля конфигурации MDM?
Почему это лучшее решение для устройств Apple c блокировкой активации MDM?
Как обойти / удалить блокировку MDM мгновенно с помощью программы iActivate?
Большинство владельцев мобильной техники Apple даже не подозревают, что для операционной системы iOS существуют «корпоративные профили конфигурации» или другими словами «управление мобильными устройствами» (Remote Management).
Корпоративный MDM профиль компании также упрощает распространение, настройку собственных приложений компании и управление ими. Организациям часто требуется распространять приложения для повышения продуктивности сотрудников. В то же время, любой компании необходимо следить, как приложения подключаются к внутренним ресурсам, и гарантировать безопасность корпоративных данных в том случае, если пользователь часто меняет место работы. Таким образом, система iOS и профиль конфигурации MDM вместе предоставляют дополнительные возможности управления устройством, обеспечивая безопасность и качество работы пользователя. Контроль расширяет возможности управления девайсами, которые являются собственностью компании: для них можно установить дополнительные ограничения – отключить iMessage и Game Center, также запретить пользователям вносить изменения в свои учётные записи Apple Id и iCloud.
По умолчанию все iOS-устройства являются неконтролируемыми. Для управления дополнительными настройками и ограничениями контроль сочетается вместе с удаленным управлением через MDM. При использовании Программы регистрации устройств (DEP) контроль осуществляется через Wi-Fi в процессе настройки айфона, айпеда. Или же это реализуется с помощью программы Apple Configurator.
Каждое корпоративное устройство на котором установлен профиль удаленного управления (Remote Management) всегда защищен логином и паролем, установленные администратором и которые являются уникальными для каждого сотрудника компании!
У вас есть iPhone либо iPad с блокировкой активации профиля конфигурации MDM?
Итак если Вы стали обладателем устройства Apple на котором установлен профиль удаленного управления MDM и хотите избавится от всех ограничений и удалить блокировку iOS MDM Profile Activation Lock с iPhone или iPad, в таком случае Вы можете позвонить в службу поддержки компании от которой был установлен профиль конфигураци, и возможно сотрудник ИТ-отдела (администратор) сможет отправить команду на ваше устройство, которая удалит профиль компании, что позволит вам разблокировать устройство.
Тем не менее, есть много iPhone и iPad, которые принадлежат бывшим сотрудникам компаний. Большинство из них по-прежнему имеют профиль MDM, установленный на устройстве и который блокирует его для использования без каких либо ограничений.
Мы с удовольствием хотим представить вам программное обеспечение iActivate, которое предоставляет быстрое решение для обхода и удаления профиля конфигурации Mobile Device Management на любом устройстве iOS.
Для начала, Вы должны активировать свое устройство, чтобы ответить на этот вопрос:
Внимание! Не путайте блокировку MDM, с блокировкой активации iCloud, программа iActivate не сможет удалить профиль удаленного управления (Remote Management) если на вашем устройстве включена функция “Найти iPhone”
Почему это лучшее решение для устройств Apple c блокировкой активации MDM?
Как обойти / удалить блокировку MDM мгновенно с помощью программы iActivate?
Внимание! Ни в коем случае не восстанавливайте корпоративный (MDM) iPhone, iPad из ранее созданной резервной копии iTunes. После восстановления, стирания, полного сброса настроек – блокировка MDM снова появиться на вашем устройстве Apple.
Решение для вашей проблемы:
Не позволяйте компаниям контролировать каждый ваш шаг. Разблокируйте свой корпоративный iPhone или iPad для личного использования без ограничений, которые позволяют компании следить за вашей повседневной деятельностью.
Вопроси & Ответы
У вас возникли вопросы? Может у нас уже есть ответ на них?
Да, можем удалить всё, нет, мы не читаем ваши SMS
Когда говорят об MDM, который Mobile Device Management, все почему-то сразу представляют kill-switch, который дистанционно подрывает утерянный телефон по команде сотрудника ИБ. Нет, в целом это тоже есть, только без пиротехнических эффектов. Но есть ещё куча других рутинных задач, которые с MDM выполняются намного проще и безболезненнее.
Бизнес стремится к оптимизации и унификации процессов. И если раньше новому сотруднику приходилось идти в таинственный подвал с проводами и лампочками, где мудрые красноглазые старцы помогали настроить корпоративную почту на его Blackberry, то теперь MDM вырос до целой экосистемы, которая позволяет выполнять эти задачи в два клика. Будем говорить о безопасности, огуречно-смородиновой «Кока-Коле» и отличиях MDM от MAM, EMM и UEM. А ещё — о том, как удалённо наняться на работу по продаже пирожков.
Пятница в баре
Даже самые ответственные люди иногда отдыхают. И, как нередко это бывает, они забывают рюкзаки, ноутбуки и мобильные телефоны в кафе и барах. Самая большая проблема в том, что потеря этих устройств может обернуться дикой головной болью для отдела ИБ, если они содержат чувствительную для компании информацию. Сотрудники того же Apple умудрились отметиться как минимум дважды, потеряв вначале прототип iPhone 4, а затем — iPhone 5. Да, сейчас большинство мобильных телефонов идёт с шифрованием из коробки, но те же корпоративные ноутбуки далеко не всегда настраиваются с шифрованием жёсткого диска по умолчанию.
Плюс начали возникать такие угрозы, как целенаправленная кража корпоративных устройств с целью добычи ценных данных. Телефон зашифрован, всё максимально безопасно и всё такое. Вот только заметили ли вы камеру наблюдения, под которой вы разблокировали телефон перед тем, как его украли? С учётом потенциальной ценности данных на корпоративном устройстве такие модели угроз стали вполне реальны.
Вообще люди — те еще склеротики. Многие компании в США вынужденно начали относиться к ноутбукам как к расходникам, которые будут неизбежно забыты в баре, отеле или в аэропорту. Есть данные, что в тех же аэропортах США забывают около 12 000 ноутбуков каждую неделю, из которых минимум половина содержит конфиденциальную информацию без какой-либо защиты.
Всё это изрядно прибавило седых волос безопасникам и привело к разработке вначале MDM (Mobile Device Management). Затем появилась потребность в управлении жизненным циклом мобильных приложений на подконтрольных устройствах, и появились решения MAM (Mobile Application Management). Несколько лет назад они стали объединяться под общим названием EMM (Enterprise Mobility Management) — единая система для управления мобильными устройствами. Апогеем всей этой централизации являются решения UEM (Unified Endpoint Management).
Дорогая, мы купили зоопарк
Первыми начали появляться вендоры, которые предлагали решения для централизованного управления мобильными устройствами. Одна из самых известных компаний — Blackberry — до сих пор жива и неплохо себя чувствует. Даже в России присутствует и продаёт свои продукты, в основном для банковского сектора. На этот рынок также зашли SAP и разные компании поменьше вроде Good Technology, позже купленной тем же Blackberry. В это же время набирала популярность концепция BYOD, когда компании пытались экономить на том, что сотрудники таскали свои личные девайсы на работу.
Правда, очень быстро выяснилось, что техподдержка и ИБ уже вздрагивают от запросов вида «Как мне настроить MS Exchange на моем Arch Linux» и «Мне нужен прямой VPN до приватного Git-репозитория и продуктовой БД с моего MacBook». Без централизованных решений вся экономия на BYOD оборачивалась кошмаром в плане поддержания всего зоопарка. Компаниям нужно было, чтобы всё управление было автоматическим, гибким и безопасным.
В розничной торговле история развивалась немного иначе. Примерно лет 10 назад компании внезапно осознали, что появились мобильные устройства. Это раньше сотрудники сидели за тёплыми ламповыми мониторами, а где-то рядом незримо присутствовал бородатый обладатель свитера, заставлявший всё это работать. С появлением полноценных смартфонов функции редких специализированных КПК теперь можно перекладывать на обычное недорогое серийное устройство. Одновременно с этим пришло понимание, что этим зоопарком нужно как-то управлять, так как платформ много, и они все разные: Blackberry, iOS, Android, затем — Windows Phone. В масштабах крупной компании любые ручные телодвижения — это выстрел себе в ногу. Такой процесс съест ценные человеко-часы IT-подразделения и поддержки.
Вендоры в самом начале предлагали отдельные MDM-продукты для каждой платформы. Вполне типичной была ситуация, когда управлялись только смартфоны на iOS или на Android. Когда со смартфонами более или менее разобрались, выяснилось, что терминалами сбора данных на складе тоже надо как-то управлять. При этом вам очень нужно отправить нового сотрудника на склад, чтобы он просто отсканировал штрих-коды на нужных коробках и внёс эти данные в базу. Если у вас склады — по всей стране, то поддержка становилась весьма непростой. Надо каждое устройство подключить к Wi-Fi, установить приложение и обеспечить доступ к базе данных. С современными MDM, а точнее, EMM, вы берёте админа, выдаёте ему консоль управления и конфигурируете тысячи устройств с шаблонными сценариями из одного места.
Терминалы в McDonald’s
В рознице наблюдается интересная тенденция — уход от стационарных касс и точек оформления товара. Если раньше в том же М.Видео понравился чайник, то нужно было звать продавца и топать с ним через весь зал к стационарному терминалу. По дороге клиент успевал десять раз забыть, зачем шёл, и передумать. Терялся тот самый эффект импульсивной покупки. Сейчас MDM-решения позволяют продавцу сразу подойти с POS-терминалом и провести оплату. Система объединяет и конфигурирует терминалы склада и продавцов из одной консоли управления. В своё время одной из первых компаний, которая начала менять модель традиционной кассы, стал McDonald’s с его интерактивными панелями для самообслуживания и девушками с мобильными терминалами, которые принимали заказы прямо посреди очереди.
Burger King тоже начал развивать свою экосистему, добавив приложение, которое позволяло сделать заказ дистанционно, чтобы его приготовили заранее. Всё это объединялось в гармоничную сеть с управляемыми интерактивными стойками и мобильными терминалами у сотрудников.
Сам себе кассир
Многие продуктовые гипермаркеты снижают нагрузку на кассиров установкой касс самообслуживания. «Глобус» пошёл дальше. Они на входе предлагают взять терминал Scan&Go с интегрированным сканером, которым вы просто сканируете весь товар на месте, расфасовываете по пакетам и выходите, оплатив. Потрошить на кассе разложенные по пакетам продукты не нужно. Все терминалы также управляются централизованно и интегрируются как со складами, так и с другими системами. Некоторые компании пробуют аналогичные решения, интегрированные в тележку.
Тысяча вкусов
Продаём пирожки
Вся прелесть MDM/UEM-систем в том, что вы можете быстро масштабировать свой бизнес, подключая новых сотрудников дистанционно. Вы вполне можете организовать продажу условных пирожков в другом городе с полноценной интеграцией со своими системами в два клика. Выглядеть это будет примерно так.
Сотруднику привозят новое устройство. В коробке — бумажка с баркодом. Сканируем — устройство активируется, регистрируется в MDM, берёт прошивку, применяет и перезагружается. Пользователь вводит свои данные либо одноразовый токен. Всё. Теперь у вас есть новый сотрудник, который имеет доступ к корпоративной почте, данным по остаткам на складе, нужные приложения и интеграцию с мобильным платёжным терминалом. Человек приезжает на склад, забирает товар и везёт его непосредственным клиентам, принимая оплату с помощью этого же устройства. Почти как в стратегиях нанять пару новых юнитов.
Как это выглядит
Одна из самых функциональных систем UEM на рынке — VMware Workspace ONE UEM (бывший AirWatch). Она позволяет интегрироваться практически с любой мобильной и десктопной ОС и с ChromeOS. Даже Symbian был до недавнего времени. А ещё Workspace ONE поддерживает Apple TV.
Ещё один важный плюс. Apple позволяет только двум MDM, в том числе Workspace ONE, заранее поковыряться в API перед выпуском новой версии iOS. Всем в лучшем случае — за месяц, а им — за два.
Вы просто задаёте необходимые сценарии использования, подключаете девайс, и дальше оно работает, что называется, automagically. Прилетают политики, ограничения, предоставляются нужные доступы к внутренним сетевым ресурсам, заливаются ключи и устанавливаются сертификаты. Через несколько минут у нового сотрудника — уже полностью готовое для работы устройство, с которого непрерывно льётся необходимая телеметрия. Количество сценариев огромное начиная от блокировки камеры телефона в конкретной геолокации и заканчивая SSO по отпечатку пальца или лицу.
Админ конфигурирует лаунчер со всеми приложениями, которые прилетят пользователю.
Так же гибко настраиваются все возможные и невозможные параметры вроде размера иконок, запрета на их перемещение, запрета на иконку звонка и контактов. Такой функционал полезен при использовании Android-платформы в качестве интерактивного меню в ресторане и тому подобных задач.
Интересные решения есть и у других вендоров. Например, EMM SafePhone от НИИ СОКБ предоставляет сертифицированные решения для безопасной передачи голоса и сообщений с шифрованием и возможностью записи.
Рутованные телефоны
Головной болью для ИБ являются рутованные телефоны, где пользователь имеет максимальные права. Нет, чисто субъективно это идеальный вариант. Твой девайс должен давать тебе полные права на управление. К сожалению, это идёт вразрез с корпоративными задачами, которые требуют отсутствия у пользователя возможности влиять на корпоративное ПО. Например, он не должен иметь возможности залезть в защищённый раздел памяти с файлами или подсунуть фейковый GPS.
Поэтому все вендоры так или иначе стараются обнаруживать любые подозрительные активности на управляемом устройстве и блокировать доступ при обнаружении рут-прав или нестандартной прошивки.
В Android обычно полагаются на SafetyNet API. Время от времени тот же Magisk позволяет обойти его проверки, но, как правило, Google это очень быстро фиксит. Насколько мне известно, тот же Google Pay так и не заработал снова на рутованных девайсах после весеннего обновления.
Вместо вывода
Если вы крупная компания, то вам стоит задуматься о внедрении UEM/EMM/MDM. Современные тенденции говорят о том, что такие системы находят всё более широкое применение — от залоченных iPad в качестве терминалов в кондитерской до крупных интеграций со складскими базами и курьерскими терминалами. Единая точка управления и быстрая интеграция или смена роли сотрудника дают очень большие преимущества.
Отключение профиля DEP и MDM на Mac OS Big Sur
Описанные ниже действия лишают компанию или организацию, которая выдала вам компьютер, возможности следить за вашим устройством и получать дистанционно доступ к данным на нем.
В описанном методе не применяется какой-либо внешний инструментарий и используются только штатные средства Mac OS.
При использовании данного метода ОТКЛЮЧАЕТСЯ ШИФРОВАНИЕ FileVault накопителя. Если такое действие неприемлемо – НЕ ИСПОЛЬЗУЙТЕ данный метод. Тестирование с последующей активацией шифрования не проводилось.
Автор с уважением относится к компаниям и администраторам, которые настраивают системы контроля DEP и MDM.
Также автор уважает свободный осознанный выбор конечных пользователей по снятию систем слежения и дистанционного доступа к данным, если это не нарушает их обязательств перед компанией и закон.
Все инструкции пользователь выполняет на свой страх и риск. Автор не несет никакой ответственности на нанесенный вред или ущерб, в результате выполняемых действий, равно как не призывает к их выполнению.
Немного про DEP и MDM
Update: Спасибо @agafon_aga за существенные замечания:
Описанная здесь ситуация актуальна при использовании Apple Device Enrollment Program (DEP). Смысл ее — привязка устройств на аккаунт компании для облегчения управления, инвентаризации и прочего.
Внутри системы DEP имеет самый высокий приоритет (после Apple, разумеется).
Mobile Device Management (MDM) системы, имеют приоритет ниже чем AppleID пользователя устройства. Удалить профиль именно MDM (а не DEP) пользователь может легко. Для этого достаточно быть админом в системе.
Итого, уровень приоритетов выстраивается (от высшего к низшему):
Apple — DEP — User AppleID — MDM Profile
Профили DEP (Device Enrollment Program) и MDM (англ. Mobile Device Management), как правило, устанавливается пользователям на устройства, которые выданы им крупными компаниями, а также некоторыми школами и университетами в пользование. Профиль позволяет автоматизировать настройку практически всех программных компонентов устройства. При этом он также позволяет полностью контролировать устройство дистанционно. Возможности контроля ограничены лишь фантазией администратора, который его настраивал.
Корпоративный профиль устанавливается на заводе во время заказа партии для того или иного крупного заказчика и не может быть удален окончательно программно. Как правило, после полного сброса во время активации устройства профиль загружается из интернета и снова пробует себя развернуть на устройстве. Назойливость этих попыток может быть разной, и наша сегодняшняя задача избавиться от этого.
Решение с обходом блокировки на Mac OS Catalina достаточно прямолинейное и без труда находится в интернете. С Big Sur все намного сложнее. В новой операционной системе реализован новый механизм защиты целостности системы. Поэтому весь алгоритм действий усложнился.
Установка чистой системы
Отключение MDM профиля
2. Перезагружаемся в режиме восстановления:
Удерживаем (Command+R) во время загрузки до появления полосы загрузки.
4. Смотрим индентификатор тома:
5. Если вы не трогали название разделов во время установки, то название по умолчания должно остаться «Macintosh HD». Здесь и далее будем использовать его.
Записываем на листик индентификатор тома «/Volumes/Macintosh HD»
Внимание! Индентификатор тома и название тома в последующих примерах команд подставляем свои!
6. Отключаем том и копируем файлы агентов в отдельную папку bak:
7. Отключаем Signed System Volume (SSV):
8. Сохраняем текущий статус диска в снепшот, чтобы система не ругалась на изменение системных файлов:
9. Закрываем терминал и перезагружаемся.
Готово. Агенты MDM профиля больше системой не видятся.
Работоспособность метода проверена на Mac OS Big Sur до версии 11.1.
MDM блокировка: что это и как убрать
Техника Apple известна, в первую очередь, своей безопасностью. Система FileVault зашифрует 265-битным ключом загрузочный диск для предотвращения несанкционированного доступа к данным.
А функция «Найти Мак» или iPhone позволит удаленно найти на карте и заблокировать доступ к части данных в украденной технике Apple.
MDM блокировка
Но есть еще одна система блокировки MDM (система управления мобильными устройствами).
В крупных компаниях, чтобы администратору можно было быстро и удаленно управлять устройствами, он устанавливает на них MDM профиль. Используя удаленное управление, администратор может отключать функции, устанавливать или удалять приложения, отслеживать и ограничивать ваш интернет-трафик, а также удаленно стирать данные с Mac и iPhone.
Профиль MDM можно установить на б/у или новую технику Apple. Обычная компания или учебное заведение обращается в Apple, чтобы занести серийные номера купленных устройств в базу данных. Затем все права передаются администратору, который настраивает эти машины по своему усмотрению. Админ отслеживает работу сотрудников компании и следит, чтобы устройство не украли и не продали на вторичном рынке.
Как выявить MDM профиль при покупке б/у Mac
Способ 1. На компьютере Mac откройте меню Apple — Системные настройки и найти папку с профилями. Если она есть, как на скрине ниже, значит Mac заблокирован.
Способ 2. Либо на ноутбуке будет периодически вылазить окошко с предложением установить профиль. До обновления системы на Big Sur такие уведомления обычно не появляются.
Способ 3. Через утилиту Мониторинг системы, вкладка ЦП — отыскать процесс «mdmclient«. Если он есть, значит компьютер подключен к сервису поддержки устройств Apple и он имеет MDM блокировку.
Вывод: до тех пор, пока у вас нет папки с установленными профилями в системных настройкам, вашим устройством никто управлять не может. Но будет регулярно появляться надоедливое уведомление, через которое можно установить профиль. Плюс у вас будут проблемы с активацией устройства после полного форматирования Mac.
Переустановка системы при MDM блокировке
Самый надежный способ переустановить систему при MDM блокировке — это полное удаление диска с его форматированием, а затем установка последней версии macOS.
Шаг 1. Выключите компьютер, а при его включении зажмите и удерживайте Command+R (или кнопку питания для Mac на чипе M1 до появление шестерни около 10 секунд). Так вы запустите восстановление системы на macOS.
Шаг 2. В окошке запускаем дисковую утилиту и форматируем все разделы нажатием кнопки «Стереть».
Этот способ хорош тем, что если Mac привязан к учетной записи, или активирована функция «Найти Mac», то прежде, чем произойдет это действие, необходимо отключить эти опции, введя пароль. Т.е.
Побороть проблему можно откатом до заводской ОС, а затем обновлением системы до macOS Big Sur. Тогда MDM профиль не будет установлен в системных настройках, но будет регулярно появляться уведомление.
MDM блокировка на iPhone и iPad
На iPhone, iPod или iPad сведения об MDM профиля обычно отображаются в верхней части настроек.
Или могут находиться в основных настройках, Профили.
MDM блокировку в iPhone можно и не найти потому, что есть утилита, которая деактивирует такие профили. И вы узнаете, что ваш iPhone «залочен» только после полного форматирования или обновления до версии iOS, в которой Apple улучшила защиту. Например, как это было с iOS 13.4.
Если после установки системы и активации iPhone не появится такое окно, значит с вашим iPhone все в порядке, MDM блокировки нет.
При покупке iPhone новое устройство всегда нужно распечатывать и активировать, и только в таком случае вы узнаете,что девайс не залочен. Если вы попали в такую ситуацию, когда проверять уже поздно, есть несколько вариантов.
Вывод: покупайте новую технику Apple только у официалов. А при покупке б/у проверяйте на наличие профилей MDM блокировки. Не гоняйтесь за дешевыми ценами на технику Apple.
Своими историями и опытом покупки различной техники делитесь в комментариях.
При написании стать использованы материалы с каналов: Intune Support Team, ProTech, Apple Tech 752, Fix mobile.