PanicLock - MacBookのふたを閉じるとTouch IDを無効化し、パスワードでのみロック解除できるユーティリティ

• macOSのメニューバーユーティリティとして動作し、メニューのクリックやショートカット、またはノートPCのふたを閉じるだけで画面をロックし、Touch IDを一時的に無効化してパスワード入力を強制する
• macOSにはTouch IDを即座に無効化する方法がないことで生じるセキュリティ上の状況を補完し、セッション終了やシステム終了をせずにパスワード専用のロック解除状態へ切り替え可能
• 一度パスワードでロック解除すると、既存のTouch ID設定に自動で復元される
• デフォルトのショートカットは ⌃⌥⌘L
• Lock on Close オプションを有効にすると、Macのふたを閉じた瞬間にTouch IDの無効化と画面ロックが実行され、パスワードで再ログインするまでその状態を維持する
• 内部的にはSMJobBless privileged helperとbioutil、pmsetコマンドを使ってTouch IDのタイムアウト値を変更し、画面ロックを実行するため、初回実行時に管理者パスワードの入力が必要
• ネットワーク通信・テレメトリ・データ収集なし、オープンソースで公開され、最小権限の原則を適用しているため、動作範囲とレビュー可能性が明確なツール
• ただし、このユーティリティはTouch IDのみを無効化する
  • Apple Watchによるロック解除
  • セキュリティキー
  • その他のロック解除手段
  • 上記の方法が有効になっている場合、それらの手段でMacのロック解除が可能
• MIT License

[GN⁺]

Hacker Newsのコメント

• Apple Siliconで lid sensor が検知されてから実際に sleep するまでどれくらい時間があるのか気になる。M2向けのメニューバーアプリをいくつか配布したことがあるが、NSWorkspaceWillSleepNotification を拾っても体感では 200ms程度 しかなく、その短い間に Secure Enclave への往復まで必要なら、実質的にレースコンディションのように見える
• アイデアも実装もとても良いと感じる。わざわざアプリを入れなくても sudo bioutil -ws -u 0; sleep 1; sudo bioutil -ws -u 1 という ワンライナー で同じ効果を出せる。さらに画面ロックまで付けた Shortcutsリンク も作ってあって、グローバルショートカットに割り当てればかなり実用的
  • これを Crank に繋いで lid angle 30°以下 をトリガーにすれば、ふたを少し下ろす動作だけで自動実行させられる
• Touch ID に 複数の指 を登録して、指ごとに動作を変えてスクリプトできたらいいと思う。たとえば中指は通常のロック解除、人差し指は Touch ID を無効化してパスワード入力を強制する、といった具合ならかなり便利そう
  • 指ごとにまったく 別のアカウント にマッピングすることは可能だ。以前それを使ってアカウント間の fast user switch をしていた記憶がある
• iOSでは側面ボタンと音量ボタンを長押しして電源スライダーを表示し、その後キャンセルすると、次回のロック解除で パスコード入力 が強制される。側面ボタンを5回押してEmergency SOSを出しても同じ効果がある。かなり前からある機能なのに意外と知られておらず、Macにも似た流れが出てきたのはうれしい
  • 自分としては電源ボタンを 素早く5回以上 押すほうが簡単
• 発想がすばらしいと感じる。以前から 強制解除 の適法性をめぐる議論があり、記憶では指紋は強制されうるが、パスワード入力の強制はそれより難しいとされていた。なので、このツールの主目的もそうした状況への対処なのか、それとも別の狙いもあるのか気になった
  • 私は Washington Post の記者 Hannah Natanson の事例を見てこれを作った。その記者は指紋でコンピュータのロック解除を強要され、その結果デスクトップの Signal まで開かれて取材源との会話が露出した。関連記事は Yahooの記事 で読めるし、法的背景と判例は アプリ紹介ページ にさらに整理してある
  • これが アメリカ特有の問題 なのか気になる。英国は記憶違いでなければ、合理的に知っているはずのパスワードは提出を強制できる方向により近かった気がする
  • 別の問題として、デバイス表面に 指紋の痕跡 が残る点がある。鮮明な指紋画像を作れれば、ゼラチン複製のような方法で多くの指紋センサーをだませた。昔はPhotoshopで整えたあと、OHPフィルムにレーザープリントしてモールドのように使う手法もよく話題になっていた
  • 生体認証とパスワード、そして 法的状況 についての追加説明は paniclockサイト にある
  • パスワード強制の適法性に不明瞭な部分はあるとしても、裁判所は 異議申立て(contest) ではなく contempt を通じて、事実上無期限の拘束圧力でパスワード入力を強制できる点も考慮すべき
• 現実の事例として、当局が法的強制やいわゆる rubber-hose cryptanalysis なしでもコンピュータ全体へのアクセスを欲しがる場合にどうするかをよく示す例がある。対象がログイン済み状態になるまで待ち、近くで騒ぎを起こして、開いたノートPCをそのままひったくるという方法だった。DPR逮捕作戦は この記事 にまとめられている
• これは本当に良いと思う。普通は生体認証がパスワードを置き換えるべきではないという セキュリティ助言 をよく目にするが、自分の場合は公共の場所でパスワードを打つときに、誰かに撮影されたり覗き見されたりするリスクのほうが大きく感じる。そういう現実的な状況まで考えると、このツールはバランスがうまく取れている
  • Appleプラットフォームには大きく2つの 穴 があると思う。1つは Touch ID と生体認証に関する細かな設定プロファイル、もう1つは iCloud バックアップのバージョン管理だ。人によって求めるセキュリティ水準はまったく違うので、one-size-fits-all ではうまくいかない。平均的なユーザーにとって生体認証は shoulder surfing を減らして安全性を高める良い選択だが、Apple Watch のような第2要素を追加したい人や、パスワード強制までの時間を短くしたい人、あるいは 生体認証+パスワードの同時要求 を望む人もいる。今よりはるかに細かな選択肢が必要だと感じる
  • ここで本当に必要なのは マルチファクタ だと思う。たとえば指紋とデバイスごとのPINの両方を要求する形だ。残念ながら基盤技術はすでにあるのに、こうした機能は製品としてうまく提供されていない
• Touch ID ボタンをクリックしたとき、そのログイン試行を 無効化 してパスワードを要求できたらいいと思う。普段は指紋ログインの利便性が好きだが、必要なときにすぐ抜けられる 出口ボタン のような感覚があるとさらに良い
• Macには加速度計もあるので、ふたを閉じる 力の強さ を検知したり、適当なプロキシ値を推定したりできたら本当に面白いと思う。軽く閉じれば何も起きず、少し強めなら Touch ID を無効化、かなり切迫して slam shut したら、すべての生体認証を無効化してセッション状態を破棄し、可能ならRAMとFileVaultキーまで消す、といった感じが理想
  • それはほとんど rage quitting machine みたいだ。企業向け版では、ふたを全力で閉じた瞬間に現在の雇用主へ プロフェッショナルな辞表 まで自動送信すれば完成だと思う
  • その最後の段階が合理的だと思うなら、おそらく 猫や子ども と一緒に暮らしていない人だろうと思う
• 「機微な状況では、多くの国の捜査機関や国境職員は、パスワードと違って 生体認証による解除 を強制できる」という説明は理解できるが、脅威モデルに国家級アクターが含まれるなら、生体認証だけを切っても物理メモリ内のデータは守れない可能性がある。そうであれば、ディスク暗号化を有効にし、RAMに平文データが残らないよう、コンピュータを即座に 電源断または休止状態 にするパニックボタンのほうが賢明に見える。サイトではシャットダウンは時間がかかるしセッションを殺すとしているが、休止ボタンなら速度は同程度でセッションは保てる
  • 少なくとも Apple Silicon では、こうした種類の攻撃はかなり難しくなっている。完全に不可能とは言えないが、以前よりは防御力が高そうだ
  • ただし警察は国家のために働いているとはいえ、普通に言う state-level actor とは少し性質が違うと思う