Apple традиционно делает ставку на безопасность экосистемы, и одно из ключевых звеньев в этой цепи — Secure Boot. На Mac с чипами Apple Silicon это не просто галочка в настройках, а целая система взаимных проверок — от ROM-подписи до валидации корневого хеша файловой системы.
🚦 Базовые проверки
Для обычного пользователя Apple предлагает быстрый чек-лист:
🖥 System Information → Controller — здесь отображается статус Secure Boot: Full Security или Reduced Security. Если стоит «сниженный уровень», значит система допускает работу неподписанных kext-ов (например, для старого софта).
🛠 Startup Security Utility в режиме восстановления — именно там можно включить/выключить Secure Boot и проверить FileVault.
🔑 FileVault в настройках «Конфиденциальность и безопасность» — шифрует весь диск, без него говорить о полной защите не приходится.
🔍 Глубокий анализ через логи
Но если хочется пойти дальше, Apple предоставляет инструмент LogUI, позволяющий заглянуть в первые 10 секунд загрузки. В логах можно найти ключевые «вехи» безопасности:
🧩 Trusted Execution Monitor (TXM) — проверка целостности кода.
🚀 iBoot и его версии — именно он загружает ядро.
🔒 CoreCrypto — криптографический модуль ядра.
📜 AMFI, Sandbox, Apple System Policy — политики безопасности macOS.
🧬 Secure Enclave (SEP) — отдельный процессор для ключей и криптографии.
🌳 SSV root hash — подтверждение целостности корневого тома APFS.
Если все эти записи присутствуют и завершаются без ошибок — система действительно стартовала в доверенном режиме.
🧠 Личное мнение
Как разработчик и админ, я вижу в этом две стороны. С одной — это мощный слой защиты, делающий невозможной подмену ядра или драйверов без ведома пользователя. С другой — пользователи часто сами понижают уровень безопасности ради совместимости с «устаревшими, но нужными» утилитами (например, сетевыми фильтрами или эмуляторами).
Мне кажется, будущее за гибридными сценариями: когда система сама предупреждает о рисках и предлагает изолировать несовместимые компоненты в «песочнице», а не просто снижать уровень Secure Boot.
Отдельно стоит отметить идею Remote Attestation (о которой упоминают в комментариях к статье). На iPhone она уже реализована: устройство может доказать серверу, что загрузилось в «чистом» состоянии. На macOS пока такого механизма нет, но для корпоративных MDM-сценариев это было бы логично — особенно в эпоху удалённой работы.
⚡ Вывод
Secure Boot на Apple Silicon — это не «маркетинговая фича», а реальный многоуровневый щит. Проверка логов может показаться паранойей, но именно там видно, что защита работает не на словах, а на уровне кремния.
И да, не забудьте включить FileVault: без него весь разговор о безопасности теряет смысл.
🔗 Источники:
- Оригинальная статья: How to check if your Apple Silicon Mac is booting securely