לדלג לתוכן

שיעור 14: סביבת שחזור ומחיקה

חלק ב': מדריך העברה למרצה

הערה למדריך: מסמך זה משמש כמערך השיעור (Lesson Plan) וכולל את התסריט להעברת החומר מול הכיתה, תרחישי הדגמה, ומידע טכני מורחב שיעזור לך להתמודד עם שאלות קשות. שמור על טון שיחתי (Conversational), נגיש ומעשי, כפי שהוגדר בפרוטוקול הקורס. ההדגמות מבוססות על ממשק המשתמש הגרפי (GUI) במחשב עצמאי (Standalone), בעוד תרשימי ה-MDM ושחרור ה-Activation Lock מתוך המצגת משמשים להעמקה מאחורי הקלעים.

1. ה-1TR (One True Recovery): כיצד המחיצה הזו שורדת ומדוע היא חסינה למחיקות דיסק

🎯 מטרת החלק: הסטודנטים יבינו את המבנה החדש של RecoveryOS במחשבי Apple Silicon ואת שרידותה לעומת מחיצות השחזור של העבר, ויכירו את ה-Device Recovery Assistant (DRA) החדש ב-macOS 26 Tahoe.

התחילו את החלק הזה עם קצת דרמה. הראו להם שהיום, לפרמט את המק זה לא סוף העולם ואין סכנה "לדפוק" את מחיצת השחזור. ה-1TR שינה את כללי המשחק בכך שהוא לחלוטין מבודד משאר המערכת בתוך Container נפרד ב-APFS.

← בשיעור 06 למדנו על מבנה ה-Containers ב-APFS — כאן רואים כיצד מכולת ה-Preboot וה-Recovery שוכנות בבידוד מלא מנפח ה-Data.

🎤 הרצאה

  • שאלת פתיחה והשוואה היסטורית:
    • "מי מכם זוכר את הימים באינטל שבהם משתמש פירמט את כל הדיסק ב-Disk Utility ומחק בטעות גם את מחיצת ה-Recovery, ונאלץ לחכות שעות ל-Internet Recovery?"
  • המהפכה ב-Apple Silicon — ה-One True Recovery (1TR):
    • ב-Apple Silicon, מחיצת ה-Recovery אינה סתם תיקייה בכונן המשתמש, אלא מכולה (Container) עצמאית ומבודדת קריפטוגרפית.
    • אפילו אם תבצעו Erase מוחלט לכונן המערכת (Macintosh HD) ולכונן המידע (Data Volume) — מחיצת ה-1TR תישאר שלמה ומתפקדת!
  • רשת הביטחון הכפולה: Fallback Recovery (frOS):
    • מה עושים אם ה-1TR הראשי נפגע עקב תקלת חשמל באמצע שדרוג?
    • אפל הטמיעה עותק שחזור משני: Fallback Recovery (frOS).
    • איך מפעילים? לחיצת "די-דה" (לחיצה קצרה ואז לחיצה ממושכת רצופה על כפתור ההפעלה).
    • ה-frOS מאפשר התקנה ותיקון דיסק, אך אינו מאפשר שינוי רמות אבטחה ב-Startup Security Utility.
  • חידוש ב-macOS Tahoe: ה-Device Recovery Assistant (DRA):
    • כלי חילוץ חכם (מסומן בסמל ⊕) הפועל אוטומטית בעת זיהוי כשל באתחול.
    • ה-DRA מאבחן את הדיסק ומדווח על אחד מ-3 מצבים:
      1. Fully Repaired: התקלה תוקנה במלואה והמערכת מוכנה לעלייה.
      2. Partially Repaired: הדיסק תוקן חלקית, מומלץ לגבות מידע מיידית.
      3. No Problems Detected: לא זוהתה שגיאת מערכת קבצים (מכווין לבדיקת חומרה/DFU).
  • שחזור קושחה מוחלט (DFU Mode):
    • אם כל שרשרת האתחול וה-Recovery נשברו, מחברים את המק בכבל USB-C למק מארח ומריצים Revive או Restore דרך Apple Configurator.

🔗 עזרים ויזואליים

עזר מה מראה
📸 L14_DeepDive_Explainer_Recovery_p1_41.jpeg ארכיטקטורת מכולות ה-Recovery ו-Preboot ב-APFS
📸 L14_DeepDive_An_illustrated_guide_to_Recovery_on_Apple_silicon__p2_61.jpg תרשים זרימה של כניסה ל-1TR מול Fallback Recovery

🖥️ הדגמה

  • שלב 1 (הצגת מסך ה-Startup Options):
    • הקרינו מתוך העזרים הוויזואליים את צילום המסך המציג את כונני ה-macOS לצד אייקון גלגל השיניים (Options).
  • שלב 2 (הסבר על מחוות כפתור ההפעלה):
    • הדגימו פיזית על מק ההדרכה: לחיצה ממושכת של כ-10 שניות עד להופעת הכיתוב Loading startup options.
    • הסבירו את לחיצת ה-"די-דה" (לחיצה קצרה ואז לחיצה רצופה) להפעלת ה-Fallback Recovery.
Instructor Deep-Dive: ארכיטקטורת 1TR, frOS ו-DFU
  • 1TR Pairing: ה-RecoveryOS מקושר (Paired) ישירות לגרסת ה-macOS המותקנת ומתעדכן יחד איתה דרך ה-UpdateBrain.
  • DFU Revive מול Restore:
    • Revive: מעדכן את הקושחה (Firmware / LLB / iBoot) ואת ה-RecoveryOS מבלי לגעת במידע המשתמש.
    • Restore: מוחק את ה-NAND לחלוטין, מתקין קושחה נקייה ומערכת macOS חדשה (מחיקה טוטאלית).

2. כלים גרפיים במצב שחזור: שימוש מעמיק ב-Disk Utility, טרמינל מקומי והתקנת מערכת

🎯 מטרת החלק: הסטודנטים יכירו את הכלים הזמינים בממשק הגרפי של RecoveryOS וילמדו מתי ואיך להשתמש בהם לאבחון, התקנה מחדש, ופתרון בעיות.

זהו השלב שבו המשתמש פוגש את ממשק ההתאוששות. חשוב להדגיש את סדר הפעולות: קודם כל אימות זהות (Authentication) בעזרת משתמש בעל Secure Token, ורק לאחר מכן קבלת גישה לנתונים המוצפנים.

← בשיעור 07 דיברנו על גיבויי Time Machine — כאן רואים כיצד משחזרים גיבוי שלם דרך ה-Recovery app.

🎤 הרצאה

  • אימות משתמש (Volume Owner Authentication):
    • בכניסה ל-Recovery app, המערכת מציגה את רשימת המשתמשים בעלי ה-Secure Token.
    • חובה להקליד סיסמת מנהל כדי לפתוח את מפתח ההצפנה (VEK) של כונן המידע (Macintosh HD - Data).
  • 4 הכלים המרכזיים ב-Recovery App:
    • 1. Restore from Time Machine: שחזור מלא של כל הקבצים וההגדרות מגיבוי חיצוני או מ-Snapshot מקומי.
    • 2. Reinstall macOS: מוריד עותק נקי של ה-Sealed System Volume (SSV) מאפל ומתקין אותו מעל המערכת הקיימת — ללא שום פגיעה במידע האישי או באפליקציות של המשתמש! (הפתרון האולטימטיבי לתקלות מערכת).
    • 3. Safari: דפדפן מאובטח במצב בידוד לגלישה באתרי תמיכה והורדת מדריכים.
    • 4. Disk Utility: הרצת First Aid (fsck_apfs) על ה-Containers לתיקון מבנה מערכת הקבצים.
  • כלי שיתוף כונן (Share Disk) — המחליף של Target Disk Mode:
    • ב-Apple Silicon בוטל מצב Target Disk הישן (מקש T).
    • במקומו יש Share Disk (Utilities > Share Disk): המק הופך לשרת SMB מאובטח, ומאפשר לחבר כבל Thunderbolt למק אחר ולהעתיק קבצים באמצעות הזנת סיסמת מנהל.
  • כלי הטרמינל בסביבת השחזור:
    • רץ תחת משתמש root.
    • resetpassword — הפעלת אשף איפוס סיסמאות גרפי.
    • recoverydiagnose — (חידוש ב-Tahoe) הפקת דוח דיאגנוסטיקה מקיף לכונן USB חיצוני.

🔗 עזרים ויזואליים

עזר מה מראה
📸 L14_DeepDive_Getting_more_from_Recovery_on_Apple_silicon_Macs_p0_9.png מסך 4 הכלים הראשיים של Recovery app
📸 L14_DeepDive_What_to_do_when_your_Mac_can_t_get_to_the_login_wi_p2_65.jpeg ממשק כלי ה-Share Disk ושחזור סיסמאות

🖥️ הדגמה

  • שלב 1: הקרינו את צילום המסך של ה-Recovery app והסבירו את 4 האפשרויות הראשיות.
  • שלב 2: הראו את שורת התפריטים העליונה של ה-Recovery:
    • Utilities > Terminal.
    • Utilities > Startup Security Utility.
    • Utilities > Share Disk.
  • שלב 3: הסבירו את השימוש ב-Window > Recovery Log לאיתור תקלות רשת או חיבור לשרתי אפל בזמן הורדת מערכת הפעלה.
Instructor Deep-Dive: שגיאת No Administrator Found ואיפוס סיסמאות
  • שגיאת No Administrator Found: אם מסך ה-Recovery אינו מציג אף משתמש, שרשרת ה-Secure Token נשברה. במצב זה לא ניתן לגשת למידע ללא Personal Recovery Key (PRK) או מחיקה מלאה של ה-Data Volume.
  • ממשק Terminal בשחזור: מריץ סביבת zsh/bash בסיסית. הפקודה diskutil apfs unlockVolume מאפשרת פתיחה ידנית של כונן מוצפן מתוך ה-CLI.

3. מחיקה מאובטחת ומיידית (EACS) בממשק: Crypto-shredding

🎯 מטרת החלק: הסטודנטים יבינו את מנגנון ה-Erase All Content and Settings (EACS) דרך System Settings, ויכירו את טכנולוגיית ה-Crypto-shredding שמאפשרת איפוס מלא בשניות ספורות.

כאן אנחנו מציגים את ה"קסם" של EACS. חשוב להסביר לתלמידים מדוע מחיקה היום לוקחת 10 שניות במקום 3 שעות, וכיצד השמדת מפתח ההצפנה מייתרת לחלוטין את הצורך בכתיבת אפסים (Zero-out) על גבי שבבי SSD.

← בשיעור 04 למדנו על ה-Volume Encryption Key (VEK) — כאן רואים כיצד השמדתו הופכת את כל המידע לרעש בלתי קריא ברגע.

🎤 הרצאה

  • איך היינו מוחקים מק בעבר (Intel)?
    • כניסה ל-Recovery, פתיחת Disk Utility, מחיקת כונן עם כתיבת אפסים (שחיקת ה-SSD), והמתנה של שעות להתקנה מחדש של ה-macOS.
  • המהפכה המודרנית — Erase All Content and Settings (EACS):
    • החל מ-macOS Monterey ובמיוחד ב-macOS 26 Tahoe, איפוס מק מתבצע ישירות מתוך ה-GUI ב-System Settings > General > Transfer or Reset.
  • איך זה עובד? טכנולוגיית ה-Crypto-shredding:
    • במחשבי Apple Silicon, כונן האחסון תמיד מוצפן בחומרה ע"י ה-Secure Enclave (גם אם FileVault כבוי!).
    • בעת הפעלת EACS, המערכת אינה מוחקת קבצים פיזית, אלא משמידה פיזית את מפתח ההצפנה (VEK) השמור ב-Secure Enclave.
    • התוצאה: כל המידע בדיסק הופך ברגע לרעש מתמטי חסר פשר (Cryptographic Static) שלא ניתן לשחזור באף מעבדה בעולם!
  • שימור ה-Sealed System Volume (SSV):
    • מכיוון שמערכת ההפעלה (SSV) נעולה וקרואה-בלבד, ה-EACS מוחק רק את מפתח ה-Data Volume.
    • המק מאתחל ישירות למסך ה-Setup Assistant תוך פחות מדקה — מוכן לחלוטין למשתמש הבא ללא צורך בהתקנת OS מחדש!

🔗 עזרים ויזואליים

עזר מה מראה
📸 L14_DeepDive_What_to_do_when_your_Mac_can_t_get_to_the_login_wi_p2_65.jpeg אשף ה-Erase Assistant ורשימת הפריטים הנמחקים

🖥️ הדגמה

  • שלב 1: פתחו את System Settings > General > Transfer or Reset.
  • שלב 2: לחצו על כפתור Erase All Content and Settings....
  • שלב 3: הזינו סיסמת אדמין והציגו את אשף ה-Erase Assistant:
    • הראו את רשימת הפריטים שהאשף מסיר אוטומטית: חשבונות Apple ID, טביעות Touch ID, התקני Bluetooth משויכים ומפתחות הצפנה.
    • אזהרה למרצה: לחצו על Cancel ואל תמשיכו את תהליך המחיקה בפועל על מחשב ההדרכה!
Instructor Deep-Dive: השמדת מפתחות והגנת SSD
  • מניעת שחיקת SSD: כתיבת אפסים (Zero-fill) על כונני Flash מקצרת משמעותית את תוחלת החיים של התאים (Write Endurance). Crypto-shredding פותר בעיה זו לחלוטין מכיוון שאינו דורש כתיבה על הדיסק.
  • בדיקת תאימות EACS: הפקודה diskutil apfs list מציגה האם ה-Container מוגדר כ-Hardware Encrypted ותומך ב-EACS.

4. תיבול ארגוני: מחיקה מרחוק (Remote Wipe) ושחרור Activation Lock

🎯 מטרת החלק: הסטודנטים ילמדו כיצד ארגונים משתמשים בפקודות MDM לביצוע Remote Wipe מיידי, וכיצד מתמודדים עם מחשבים שננעלו ב-Activation Lock ע"י עובדים שעזבו בעזרת ה-Bypass Code.

החלק הזה קושר את השחזור והמחיקה למציאות הארגונית. אנשי IT רבים נתקלים במקים שהפכו ל"משקולת נייר" (Bricked) בגלל שעובד חיבר את ה-Apple ID הפרטי שלו. כאן נראה כיצד ה-MDM מנהל את המפתחות ומאפשר שחרור מלא.

← בשיעור 13 למדנו על ה-Recovery Lock — כאן רואים את ה-Activation Lock Bypass Code שמשחרר את המכשיר בעת איפוס מלא.

🎤 הרצאה

  • מחיקה מרחוק בעת אובדן או גניבה (Remote Wipe):
    • כאשר מק ארגוני נגנב, מנהל ה-IT שולח פקודת EraseDevice מתוך קונסולת ה-MDM (Jamf / Intune).
    • פקודה זו מפעילה מרחוק את מנגנון ה-Crypto-shredding (EACS), משמידה את המידע ומחזירה את המק למסך ההגדרה הראשוני.
  • האתגר הארגוני — נעילת Activation Lock:
    • אם עובד התחבר עם ה-Apple ID האישי שלו והפעיל את Find My, המק ננעל בעת האיפוס.
    • ללא סיסמת העובד — המחשב ננעל לחלוטין מול שרתי אפל.
  • הפתרון: Activation Lock Bypass Code:
    • בעת רישום המק ב-Automated Device Enrollment (ADE), שרת ה-MDM מייצר קוד שחרור ייעודי בן 16 תווים ומפקיד אותו בשרת (Escrowed).
  • תהליך השחרור המעשי ע"י איש ה-IT:
    • מדליקים את המק הנעול במסך ה-Activation Lock.
    • בתפריט העליון בוחרים ב-Recovery Assistant > Activate with MDM key (או לחיצה על האפשרות להזין קוד עקיפה).
    • מקלידים את הקוד בן 16 התווים מקונסולת ה-MDM — והנעילה משתחררת מיד ללא צורך במעורבות העובד!

🔗 עזרים ויזואליים

עזר מה מראה
📸 L14_DeepDive_What_to_do_when_your_Mac_can_t_get_to_the_login_wi_p2_65.jpeg מסך ה-Recovery Assistant ותפריט Activate with MDM Key

🖥️ הדגמה

  • שלב 1 — הצגת ממשק ה-MDM (בעזרים ויזואליים):
    • הקרינו מתוך העזרים הוויזואליים של השיעור את צילום המסך של פקודת Erase Device ב-MDM ואת שדה ה-Activation Lock Bypass Code השמור בכרטיס המכשיר.
  • שלב 2 — הסבר על מסך ה-Recovery Assistant:
    • הראו בתמונה כיצד מופיע תפריט ה-Recovery Assistant בשורת התפריטים של מסך ה-Activation Lock, וכיצד מזינים את קוד העקיפה לשחרור המכשיר.
Instructor Deep-Dive: Activation Lock מנוהל (ABM) ותלות רשת
  • Managed Activation Lock: בארגונים המשתמשים ב-Apple Business Manager (ABM), ה-MDM יכול לחסום לחלוטין מראש את האפשרות של משתמשי קצה להפעיל Activation Lock אישי (allowActivationLock=FALSE).
  • שחרור ללא Bypass Code (Apple Support): אם מכשיר ננעל ואין קוד גיבוי ב-MDM, הדרך היחידה לשחררו היא פנייה רשמית לתמיכת Enterprise של אפל עם הצגת חשבונית רכישה מקורית של הארגון.

עזרים ויזואליים

המחשה ויזואלית (עזר לתלמיד)

תמונות אלו ממחישות את הממשק או המנגנון הרלוונטי לנושא השיעור.

An_illustrated_guide_to_Recovery_on_Apple_silicon__p2_61 Explainer_Recovery_p1_41 Getting_more_from_Recovery_on_Apple_silicon_Macs_p0_9 What_to_do_when_your_Mac_can_t_get_to_the_login_wi_p2_65