שיעור 14: סביבת שחזור ומחיקה¶

חלק ב': מדריך העברה למרצה

שיעור זה מתמקד בהישרדות המערכת (Recovery) ובפעולות הקיצוניות של שחזור ופרמוט, תוך דגש מיוחד על הארכיטקטורה של Apple Silicon (ה-1TR) ומנגנון המחיקה הקריפטוגרפית (EACS). הפוקוס הוא שימוש בכלים הגרפיים (GUI) המובנים במערכת, כמו Disk Utility, System Settings ו-Recovery app. בנוסף, נכסה את החידושים ב-macOS 26 Tahoe, בדגש על ה-Device Recovery Assistant (DRA). בסיום נציג את ההיבט הארגוני של ניהול מרחוק ושחרור נעילות Activation Lock. הקפד לשמור על קצב דינמי.

1. ה-1TR (One True Recovery): כיצד המחיצה הזו שורדת ומדוע היא חסינה למחיקות דיסק¶

מטרת השיעור (Objective): הסטודנטים יבינו את המבנה החדש של RecoveryOS במחשבי Apple Silicon ואת שרידותה לעומת מחיצות השחזור של העבר, ויכירו את ה-Device Recovery Assistant (DRA) החדש ב-macOS 26 Tahoe.

תסריט שיחה (Discussion - Script):

"בואו נדבר על המקום שאליו הולכים כשהכל קורס – macOS Recovery."
היסטוריה (עד 2011 ועידן ה-Intel):
בעבר הסתמכנו על מחיצות שחזור פגיעות או על Internet Recovery דרך ה-Wi-Fi.
ההווה (Apple Silicon וה-1TR):
כל הסיפור השתנה! יש לנו את ה-1TR (One True Recovery).
מדובר ב-Container ייעודי ונפרד לחלוטין בתוך ה-APFS.
אפילו אם תמחקו את כונן המערכת והנתונים – ה-1TR שורד.
macOS 26 Tahoe - ה-Device Recovery Assistant (DRA):
הכירו את פיצ'ר ה-DRA (מסומן בסמל ⊕).
מערכת אוטומטית לטיפול בכשלי עלייה (Boot Failures) ללא צורך בהפעלת Disk Utility בצורה ידנית.
איך נכנסים?
פשוט לוחצים ומחזיקים את כפתור ההפעלה.
ב-Tahoe, חפשו את האייקון החדש בצורת 3D SSD עבור דיסק השחזור.

הדגמה מעשית (Demonstration):

הראה שקף או צילום מסך של מסך ה-Startup Options:
הצבע על אייקון ה-3D SSD החדש של ה-Recovery.
הצבע על אייקון גלגל השיניים (Options).
הדגמה חיה (אם אפשר):
בצע הפעלה מחדש למק שלך.
החזק את כפתור ההפעלה בזמן העלייה והדגם את הכניסה ל-RecoveryOS.

Instructor Deep-Dive: 1TR, Fallback Recovery, DRA & DFU

One True Recovery (1TR): מקושר (Paired) לגרסת המערכת המקומית. מריץ גרסת macOS ייעודית.
Fallback Recovery (frOS): גיבוי משני. מופעל על ידי לחיצת "di-dah" (לחיצה כפולה והחזקה) של כפתור ההפעלה. אינו מאפשר שינוי במדיניות ה-Secure Boot.
Device Recovery Assistant (DRA): כלי חילוץ אוטומטי חדש ב-Tahoe. יכול להסתיים במצבים של Fully Repaired, Partially Repaired, או No Problems Detected. משתלב עם יכולת שחזור הנתונים מ-iCloud לאחר התיקון.
DFU Mode: מוצא אחרון למחשבים "מתים". דורש Mac תקין, כבל USB-C ואת האפליקציה Apple Configurator כדי לבצע Revive או Restore לקושחה.

2. כלים גרפיים במצב שחזור: שימוש מעמיק ב-Disk Utility, טרמינל מקומי והתקנת מערכת¶

מטרת השיעור (Objective): הסטודנטים יכירו את הכלים הזמינים בממשק הגרפי של RecoveryOS וילמדו מתי ואיך להשתמש בהם.

תסריט שיחה (Discussion - Script):

"נכנסנו ל-RecoveryOS, ויש מולנו חלון מרכזי – ה-Recovery app."
קודם כל אבטחה:
מערכת השחזור המודרנית דורשת הזדהות (Authentication). חובה להיות משתמש בעל Secure Token כדי לפתוח את ה-Data Volume.
הכלים:
כלי העזר לכוננים (Disk Utility): הכלי להרצת First Aid (שמריץ מאחורי הקלעים fsck_apfs) על ה-Containers.
התקנה מחדש (Reinstall macOS): מורידה מערכת הפעלה שלמה וסגורה קריפטוגרפית שנקראת Sealed System Volume (SSV).
שיתוף כונן (Share Disk):
כלי ה-Target Disk Mode מת. תגידו שלום ל-Share Disk שעובד על גבי SMB ברשת או בחיבור פיזי.

הדגמה מעשית (Demonstration):

הראה את חלון ה-Recovery app עם האפשרויות:
Restore from Time Machine.
Reinstall macOS.
Safari.
כלי העזר לכוננים (Disk Utility).
הצג את שורת התפריטים (Menu Bar):
Window > Recovery Log לפתרון בעיות בתקשורת רשת.
Utilities > Share Disk.

Instructor Deep-Dive: Advanced Recovery CLI Tools

מסוף הפקודות (Terminal) במצב שחזור:
רץ כ-bash תחת המשתמש root.
פקודות שימושיות:
resetpassword: מזניק את האשף הגרפי לאיפוס סיסמאות.
recoverydiagnose: (חידוש ב-Tahoe) יוצר ארכיון דיאגנוסטיקה מקיף לחיבור התקן USB חיצוני, לניתוח שגיאות מתקדם.
ls -la /Volumes: לבדוק האם ה-Data Volume אכן הורכב בהצלחה.
No Administrator Found: אם נתקלתם בהודעה זו, השרשרת הקריפטוגרפית נשברה. חובה להשתמש ב-PRK, IRK או לבצע מחיקה טוטאלית.

3. מחיקה מאובטחת ומיידית (EACS) בממשק: Crypto-shredding¶

מטרת השיעור (Objective): הסטודנטים יבינו ויבצעו את ה-Erase All Content and Settings (EACS) דרך ה-System Settings.

תסריט שיחה (Discussion - Script):

"איך היינו מוחקים מחשב בעבר?"
כניסה ל-Recovery, מחיקה ב-Disk Utility, והתקנה מחדש של macOS. שעות של עבודה.
המהפכה של macOS המודרנית (EACS):
פיצ'ר חדש ומהיר בממשק הגרפי דרך System Settings.
איך זה עובד מאחורי הקלעים?
כונן ה-Mac תמיד מוצפן (גם אם FileVault כבוי).
EACS לא מבזבז זמן בכתיבת אפסים (Zero-out) על תאי הזיכרון.
המערכת משתמשת בשיטת "Crypto-shredding" - השמדה פיזית של מפתח ההצפנה (VEK) בתוך ה-Secure Enclave.
התוצאה:
ללא המפתח – כל המידע הופך תוך שנייה לרעש מתמטי בלתי קריא.
ה-System Volume (SSV) נשמר בשלמותו. המק מאתחל ישירות ל-Setup Assistant תוך שניות!

הדגמה מעשית (Demonstration):

פתח את האפליקציה System Settings.
נווט אל General > Transfer or Reset.
הפעל את אשף ה-Erase All Content and Settings.
הצג את חלון ההתראות (אך אל תשלים את תהליך המחיקה בפועל!).

Instructor Deep-Dive: Cryptographic Erasure (Crypto-shredding)

השמדת מפתחות: תהליך המשמיד את ה-VEK בתוך ה-Secure Enclave.
SSV Retention: ה-Sealed System Volume לא נפגע מכיוון שהוא חתום קריפטוגרפית ומוגדר כ-Read-Only.
חיסכון אדיר בזמן: המערכת פשוט יוצרת Data Container חדש וריק בבוט הבא, וחוסכת הורדה מחדש של למעלה מ-12GB קבצי מערכת.

4. ניהול ארגוני: Remote Wipe ו-Activation Lock¶

מטרת השיעור (Objective): הסטודנטים ילמדו כיצד ארגונים משתמשים בכלים כמו שירותי MDM ו-Activation Lock Bypass כדי להגן ולשחזר מחשבים מנוהלים.

תסריט שיחה (Discussion - Script):

"מחשב שייך לארגון = צורך בשליטה מרחוק."
Remote Wipe:
מה עושים כשהמחשב נגנב? מנהל ה-IT שולח פקודת Remote Wipe (EraseDevice).
הפקודה מפעילה את ה-Crypto-shredding (EACS) מרחוק ומשמידה את המידע מיד.
האתגר – Activation Lock:
מה קורה כשעובד עוזב וחיבר את ה-Apple ID הפרטי שלו (Find My)?
המחשב יינעל ויהפוך ל"משקולת" (Bricked) על ידי ה-Activation Lock!
הפתרון של איש ה-IT:
Activation Lock Bypass Code. הקוד הזה מיוצר ונשמר אוטומטית (Escrowed) בשרת ה-MDM בשלב רישום המכשיר.
תהליך השחרור:
ניגשים אל ה-Recovery Assistant מתפריט שורת התפריטים.
בוחרים ב-"Activate with MDM Key" ומזינים את הקוד.
הנעילה משתחררת מיד והמחשב מוכן לשימוש.

הדגמה מעשית (Demonstration):

הצג צילום מסך של קונסולת ניהול MDM (למשל Jamf Pro):
הדגש את כפתור ה-"Send Wipe Command" או "EraseDevice".
הצג צילום מסך של כלי ה-Recovery Assistant:
הראה את התפריט העליון ובחירת "Activate with MDM key".
הראה את מסך הזנת ה-Bypass Code.

Instructor Deep-Dive: Activation Lock & Recovery Lock Management

מצבי Activation Lock: נעילה ברמת משתמש (Find My) אל מול נעילה ארגונית (Apple Business Manager).
סביבת השחזור (Recovery) Lock: המחליף המודרני לסיסמת הקושחה (Firmware Password). זהו קוד של 14 תווים הנשלח דרך MDM וחוסם גישה ל-1TR ולבוט חיצוני.
תלות רשת: פקודת ה-EraseDevice מחייבת חיבור APNs. במידה ואין Bypass Code במערכת, צוות ה-IT יאלץ ליצור קשר עם התמיכה לארגונים של אפל ולספק חשבונית הוכחת רכישה כדי שאפל תסיר את הנעילה משרתיהם.

[סוף שיעור 14 - Facilitator Guide]

דלג לאותו שלב בשיעור הבא ⬅️