לדלג לתוכן

שיעור 02: ניהול משתמשים ואבטחת נתונים

מדריך העברה למרצה

1. משתמשים ותיקיות

🎯 מטרת החלק: התלמידים יבינו את ההבדלים בין סוגי החשבונות הלוקאליים ב-Mac, יכירו את היררכיית תיקיית הבית, וידעו לפתור בעיות הרשאות בסיסיות בעזרת תיקיית Shared.

פסקת הכוונה למרצה (Direction)

הרבה מהסטודנטים מגיעים מרקע של Windows, שם תיקיות C:\ מנוהלות אחרת ויש פחות הפרדה מוחלטת ב-Home Folders עבור משתמשי קצה רגילים. החלק הזה נועד להמחיש את הבסיס היוניקסי של macOS (Multi-User) ולהציג להם את תיקיית /Users/Shared בתור הפתרון המובנה לבעיות העברת קבצים במחשב משותף.

🎤 הרצאה

  • מי גר בתוך ה-Mac שלנו?
    • macOS מבוססת UNIX – היא מערכת רב-משתתפים (Multi-User) מיומה הראשון.
    • לכל משתמש יש "חדר פרטי" משלו: ה-Home Folder.
  • מי מקבל את המפתחות לממלכה?
    • המשתמש הראשון שמקים את המחשב הוא ה-Administrator.
    • שאר העובדים בארגון יכולים ורצוי שיהיו משתמשי Standard.
    • משתמש רגיל (Standard) עובד ומתקין אפליקציות בשטחו, ללא גישה לקבצי מערכת קריטיים.
  • איך משתפים קבצים בין משתמשים באותו מחשב?
    • העברה ישירה בין תיקיות מסמכים חסומה בגלל הרשאות.
    • הפתרון של אפל: תיקיית /Users/Shared.
    • זהו אזור "מפורז" (כמו חדר מדרגות משותף). כולם יכולים לקרוא ולכתוב אליו בבטחה.

🖥️ הדגמה

  • הגדרות משתמשים:
    • פתח System Settings -> Users & Groups.
    • הצג את ההבדלים: שים לב לכיתוב תחת כל שם (Admin, Standard).
  • יצירת חשבון חדש:
    • לחץ על Add Account והזן סיסמת מנהל.
    • הצג את סוגי המשתמשים בתפריט הנפתח.
    • התמקד ב-Sharing Only: הסבר שהוא נועד לשיתוף רשת ללא ממשק מקומי.
  • תיקיות הבית והשיתוף (Finder):
    • נווט ל-Macintosh HD -> Users.
    • הראה את אייקון הבית מול תיקיות רגילות.
    • הכנס לתיקיית Shared.
    • הדגם: משתמש א' לא יכול למחוק קובץ של משתמש ב' מהתיקייה.
Instructor Deep-Dive: למה אי אפשר למחוק קבצים של אחרים מתיקיית Shared?
  • הסוד הוא ב-Sticky Bit: דגל הרשאה ברמת מערכת הקבצים.
  • במערכות UNIX, תיקיה עם Sticky Bit מונעת מחיקת קבצים על ידי מי שאינו הבעלים.
  • מי כן יכול למחוק? רק הבעלים המקורי של הקובץ, בעל התיקיה עצמה, או ה-Root.
  • ב-macOS, הרשאה זו מופעלת כברירת מחדל ב-/Users/Shared למניעת השחתת נתונים בשוגג.
  • כיצד לראות זאת? הפקודה ls -la /Users (נציג אותה בהמשך) מראה את האות t בסוף מחרוזת ההרשאות.

2. ניהול סודות

🎯 מטרת החלק: התלמידים ילמדו על ארכיטקטורת ה-Keychain של מערכת ההפעלה, כיצד היא משתלבת עם אפליקציית ה-Passwords החדשה (ב-Tahoe 26), ויבינו מה קורה כאשר סיסמת המחשב וסיסמת מחזיק המפתחות יוצאות מסנכרון.

פסקת הכוונה למרצה (Direction)

ניהול סיסמאות באפל הפך מבלבל. מצד אחד יש לנו את אפליקציית Passwords המהממת החדשה, ומצד שני יש את Keychain Access המיושן וההיסטורי שעדיין מנהל את הכל מאחורי הקלעים ומוביל להתראות סיסמה אינסופיות בארגונים (חוסר סנכרון של Login Keychain). המטרה כאן היא להסביר את המתח הזה ואיך פותרים אותו.

🎤 הרצאה

  • איך שומרים סודות ב-macOS?
    • בעבר הסתמכנו על מנגנון Keychain מקומי דרך אפליקציית Keychain Access המיושנת.
    • מ-macOS Sequoia והלאה, ובמיוחד ב-macOS 26 (Tahoe), יש אפליקציית Passwords ייעודית וחדשה.
  • מהי אפליקציית Passwords?
    • לא מאגר חדש, אלא פנים מודרניות ויפות ל-iCloud Keychain.
    • מרכזת סיסמאות, קודי 2FA ו-Passkeys במקום אחד ברור וידידותי.
  • האתגר של אנשי IT:
    • ה-Keychain המקומי והישן (Login Keychain) עדיין חי מאחורי הקלעים!
    • כשה-MDM מאלץ החלפת סיסמה מרחוק, המאגר המקומי לא תמיד מספיק להתעדכן.
    • התוצאה (ו"כאב הראש" של ה-Help Desk): התראות מטרידות שמבקשות סיסמה שוב ושוב בגלל חוסר סנכרון.

🖥️ הדגמה

  • היכרות עם Passwords:
    • פתח אפליקציית Passwords (הדגם כניסה ביומטרית).
    • הצג קטגוריות: All, Passkeys, Wi-Fi, Security (הדגם התרעות על סיסמאות שדלפו).
  • היכרות עם Keychain Access:
    • פתח במקביל את Keychain Access מתוך תיקיית Utilities.
    • הסבר: Login Keychain נפתח עם הלוג-אין ושומר את הסודות האישיים.
    • הסבר: System Keychain שומר סודות רשת (Wi-Fi) וזמין לפני התחברות החשבון.
  • הדגמת תרחיש תקלה:
    • מה קורה כשמשנים את סיסמת המחשב אבל סיסמת ה-Keychain נשארת ישנה?
    • הראה כיצד לבצע שינוי סיסמה ב-Keychain כדי לסנכרן בחזרה לסיסמת הלוגין החדשה.
Instructor Deep-Dive: הארכיטקטורה של Login Keychain אל מול iCloud Keychain
  • Login Keychain: מאגר בסיס מקומי (login.keychain-db). נפתח סינכרונית עם סיסמת החשבון המקומית.
  • iCloud Keychain: לא קובץ יחיד, אלא מנגנון סנכרון מאובטח End-to-End. הנתונים מוצפנים ונשמרים ב-Secure Enclave ללא גישה לאפל או לתהליכים זרים.
  • פתרון תקלות "Local Items" (חוסר סנכרון):
    • שלב א': שינוי סיסמה ידני בתוך Keychain Access לתיאום עם סיסמת המחשב.
    • שלב ב' (באין ברירה): מחיקת Local Cache ויצירת Keychain חדש לחלוטין (פעולה שמוחקת סודות מקומיים שלא גובו).

3. העידן ללא סיסמה ואבטחה

🎯 מטרת החלק: התלמידים יכירו את קונספט ה-Passkeys כתחליף עתידי לסיסמאות, יבצעו מעבדה מעשית ליצירת Passkey, ויחשפו למנגנוני ההרשאות המתקדמים (POSIX, ACL, TCC ו-SIP).

פסקת הכוונה למרצה (Direction)

שינוי הרגלים: משתמשים התרגלו לסיסמאות, ופתאום מציעים להם להתחבר רק עם מגע אצבע, ללא מחרוזת טקסט שמגבה אותם. חשוב להרגיע ולהסביר את מודל ה-FIDO. בנוסף, בחלק הזה אנחנו עושים Teaser למערכת האבטחה והפרטיות המורכבת של אפל (TCC ו-SIP) כהכנה לשיעור 03.

🎤 הרצאה

  • עידן ה-Passkeys (מפתחות גישה):
    • סיסמאות שייכות לעבר – הסכנה העיקרית שלהן היא פישינג (Phishing).
    • אפל, יחד עם קואליציית FIDO, מובילות את מהפכת ה-Passkeys. במקום סיסמה, נוצר צמד מפתחות קריפטוגרפי ב-Secure Enclave שאי אפשר "לגנוב" מרחוק.
  • אבטחה לוקאלית - מעבר ל-POSIX:
    • הרשאות POSIX רגילות (קריאה/כתיבה לכולם או לבעלים) לא תמיד מספיקות בארגון.
    • הפתרון המורחב הוא ACL (Access Control Lists) לשליטה גרגולרית במערכת הקבצים.
  • פרטיות ואבטחת מערכת (TCC ו-SIP):
    • TCC (Transparency, Consent, and Control):

      ← Forward Reference: מנגנון ה-TCC מנהל הרשאות פרטיות כמו מצלמה ומיקרופון, ומרבה לצוץ כפופ-אפים. אנו נחקור ונתרגל חסימות TCC לעומק בשיעור הבא (שיעור 03).

    • SIP (System Integrity Protection): נועל את קבצי המערכת אפילו מפני משתמש root כדי למנוע מנוזקות (Malware) להשתלט על קבצי ליבה.

🖥️ הדגמה

  • יצירת Passkey:
    • כנס בדפדפן (Safari) לאתר המעבדה webauthn.io.
    • הזן שם משתמש וצור Authenticator חדש.
    • הראה את קפיצת הבקשה לאישור באמצעות Touch ID.
  • הדגמת SIP:
    • הראה את מסך Privacy & Security ב-System Settings והסבר איך מאשרים לאפליקציות גישה בסיסית.
Instructor Deep-Dive: איך ה-Passkeys מסונכרנים וההבדל בין TCC ל-ACL?
  • סנכרון Passkeys: מתבצע דרך מנגנון ה-Escrow של iCloud Keychain. שרתי אפל מעבירים רק BLOB מוצפן. הפענוח קורה רק בתוך 'מעגל האמון' (Circle of Trust) של המכשירים המאושרים.
  • TCC לעומת ACL:
    • ACL: נשמר כ-Extended Attribute בקובץ עצמו (במערכת APFS) ואוכף הרשאות יוזרים ברמת הקובץ.
    • TCC: מנוהל במסד נתונים סגור של מערכת ההפעלה (SQLite database) ללא תלות בקובץ עצמו, וחוסם גישה ברמת האפליקציה (App-level sandboxing).

4. תיבול ארגוני (Enterprise Seasoning)

🎯 מטרת החלק: התלמידים ילמדו על המגבלות והיתרונות של Managed Apple Accounts בארגון, ויכירו את הארכיטקטורה של Platform SSO המאפשרת הזדהות חלקה (Zero-touch) מול ספקיות זהות בענן ללא Active Directory מקומי.

פסקת הכוונה למרצה (Direction)

סגירת המעגל הארגוני. בעבר, מק לא דיבר טוב עם סביבת Windows או שרתי ענן (חיבור למייקרוסופט). היום, ה-Platform SSO מאפשר חוויית Zero-Touch מושלמת שבה הזדהות אחת לענן פותחת למשתמש את הכל. חשוב להראות כמה התקדמנו מ-Active Directory מקומי (On-Premises).

🎤 הרצאה

  • Managed Apple Accounts (MAID):
    • חשבונות Apple ששייכים לארגון ונפתחים דרך פורטל Apple Business Manager.
    • נועדו כדי לשמור על בעלות הארגון על הנתונים המסחריים, למנוע רכישות באפסטור ולשלוט בשירותי iCloud שפתוחים לעובד (הפרדה מ-Apple ID פרטי).
  • Federated Authentication:
    • אין צורך לזכור סיסמה נוספת לחשבון האפל.
    • כשמקלידים אימייל עבודה ב-Setup Assistant, המערכת מזהה את הדומיין ומקפיצה מסך אימות ארגוני (למשל Microsoft Entra ID או Okta).
  • Platform SSO:
    • בעבר הצמדנו את המחשב לשרת פיזי (Active Directory).
    • היום ה-Platform SSO מאפשר למסך הלוג-אין 'לדבר' ישירות עם שרתי הענן דרך תוסף מיוחד.
    • הזנת סיסמה ארגונית (או זיהוי ביומטרי) פותחת את המחשב ומתחברת לכל יישומי הענן בבת אחת (Single Sign-On).

🖥️ הדגמה

  • חוויית ההתחברות הארגונית:
    • הדגם (או הראה צילום מסך) כיצד מסך ה-Setup Assistant עובר אוטומטית ל-Federated Authentication.
  • אבחון פרופיל SSO בטרמינל:
    • הנחיה למרצה: גם פה – הסבר לכיתה שזהו רק 'פרומו'. אל תתעכב על התחביר של פקודות הצינור (|) או הפילטור (grep), רק הראה להם שקיימים פרופילים נסתרים. את שורת הפקודה נלמד בשיעור 08.
    • הרץ את הפקודה בטרמינל: system_profiler SPConfigurationProfileDataType | grep -i SSO
    • הסבר כיצד מחפשים פרופיל מסוג Extensible Enterprise SSO כדי לאבחן האם התוסף הותקן בהצלחה.
Instructor Deep-Dive: כיצד ה-Platform SSO מתמודד עם מצב אופליין?
  • התרחיש: עובד שינה את סיסמת ה-IdP (כגון Entra ID) בנייד, אך פותח את המק בטיסה ללא אינטרנט. מה יקרה?
  • הפתרון למצב אופליין: העובד יפתח את ה-Mac באמצעות הסיסמה הישנה, אשר שמורה ב-Local Cache של המערכת.
  • מה קורה כשחוזרים לרשת?
    • תוסף ה-Platform SSO מזהה אוטומטית שטוקן הסיסמה הישנה פקע מול שרת הענן (API token expired).
    • המערכת תקפיץ התראת macOS המבקשת להזין את הסיסמה החדשה, ואז תסנכרן את ה-Local Cache וה-Login Keychain באופן אוטומטי מבלי לשבור הרשאות קיימות.