macOS MDM

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

¿Trabajas en una empresa de ciberseguridad? ¿Quieres ver tu empresa anunciada en HackTricks? ¿O quieres tener acceso a la última versión de PEASS o descargar HackTricks en PDF? ¡Consulta los PLANES DE SUSCRIPCIÓN!
Descubre The PEASS Family, nuestra colección de exclusivos NFTs
Consigue el oficial PEASS & HackTricks swag
Únete al 💬 grupo de Discord o al grupo de telegram o sígueme en Twitter 🐦@carlospolopm.
Comparte tus trucos de hacking enviando PRs al repositorio de hacktricks y al repositorio de hacktricks-cloud.

Conceptos básicos

¿Qué es MDM (Mobile Device Management)?

Mobile Device Management (MDM) es una tecnología comúnmente utilizada para administrar dispositivos informáticos de usuario final como teléfonos móviles, portátiles, ordenadores de sobremesa y tabletas. En el caso de las plataformas de Apple como iOS, macOS y tvOS, se refiere a un conjunto específico de características, APIs y técnicas utilizadas por los administradores para gestionar estos dispositivos. La gestión de dispositivos a través de MDM requiere un servidor MDM comercial o de código abierto compatible que implemente soporte para el Protocolo MDM.

Una forma de lograr una gestión centralizada de dispositivos
Requiere un servidor MDM que implemente soporte para el protocolo MDM
El servidor MDM puede enviar comandos MDM, como borrado remoto o "instalar esta configuración"

¿Qué es DEP (Device Enrolment Program)?

El Device Enrollment Program (DEP) es un servicio ofrecido por Apple que simplifica la inscripción en la gestión de dispositivos móviles (MDM) al ofrecer una configuración sin contacto de disposit

Paso 7: Escuchando comandos MDM

Después de que se complete la verificación de MDM, el proveedor puede emitir notificaciones push utilizando APNs
Al recibirlas, son manejadas por mdmclient
Para buscar comandos MDM, se envía una solicitud a ServerURL
Se hace uso de la carga útil MDM previamente instalada:
- ServerURLPinningCertificateUUIDs para fijar la solicitud
- IdentityCertificateUUID para el certificado de cliente TLS

Ataques

Inscripción de dispositivos en otras organizaciones

Como se comentó anteriormente, para intentar inscribir un dispositivo en una organización, solo se necesita un número de serie que pertenezca a esa organización. Una vez que el dispositivo está inscrito, varias organizaciones instalarán datos sensibles en el nuevo dispositivo: certificados, aplicaciones, contraseñas de WiFi, configuraciones de VPN y así sucesivamente.
Por lo tanto, esto podría ser un punto de entrada peligroso para los atacantes si el proceso de inscripción no está protegido correctamente:

{% content-ref url="enrolling-devices-in-other-organisations.md" %} enrolling-devices-in-other-organisations.md {% endcontent-ref %}

Referencias