macOS MDM

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

Travaillez-vous dans une entreprise de cybersécurité ? Voulez-vous voir votre entreprise annoncée dans HackTricks ? ou voulez-vous avoir accès à la dernière version de PEASS ou télécharger HackTricks en PDF ? Consultez les PLANS D'ABONNEMENT!
Découvrez The PEASS Family, notre collection exclusive de NFTs
Obtenez le swag officiel PEASS & HackTricks
Rejoignez le 💬 groupe Discord ou le groupe telegram ou suivez moi sur Twitter 🐦@carlospolopm.
Partagez vos astuces de piratage en soumettant des PR au repo hacktricks et au repo hacktricks-cloud.

Fondamentaux

Qu'est-ce que MDM (Mobile Device Management) ?

Mobile Device Management (MDM) est une technologie couramment utilisée pour administrer les appareils informatiques des utilisateurs finaux tels que les téléphones mobiles, les ordinateurs portables, les ordinateurs de bureau et les tablettes. Dans le cas des plates-formes Apple telles que iOS, macOS et tvOS, il fait référence à un ensemble spécifique de fonctionnalités, d'API et de techniques utilisées par les administrateurs pour gérer ces appareils. La gestion des appareils via MDM nécessite un serveur MDM commercial ou open source compatible qui implémente la prise en charge du protocole MDM.

Un moyen d'atteindre une gestion centralisée des appareils
Nécessite un serveur MDM qui implémente la prise en charge du protocole MDM
Le serveur MDM peut envoyer des commandes MDM, telles que l'effacement à distance ou « installer cette configuration »

Fondamentaux Qu'est-ce que DEP (Device Enrolment Program) ?

Le Device Enrollment Program (DEP) est un service proposé par Apple qui **simplifie l'inscription

Étape 7 : Écoute des commandes MDM

Après la vérification MDM, le fournisseur peut émettre des notifications push en utilisant APNs
À la réception, géré par mdmclient
Pour interroger les commandes MDM, une demande est envoyée à ServerURL
Utilise la charge utile MDM précédemment installée :
- ServerURLPinningCertificateUUIDs pour l'épinglage de la demande
- IdentityCertificateUUID pour le certificat client TLS

Attaques

Inscription de dispositifs dans d'autres organisations

Comme précédemment commenté, pour essayer d'inscrire un dispositif dans une organisation, seul un numéro de série appartenant à cette organisation est nécessaire. Une fois le dispositif inscrit, plusieurs organisations installeront des données sensibles sur le nouveau dispositif : certificats, applications, mots de passe WiFi, configurations VPN et ainsi de suite.
Par conséquent, cela pourrait être un point d'entrée dangereux pour les attaquants si le processus d'inscription n'est pas correctement protégé :

{% content-ref url="enrolling-devices-in-other-organisations.md" %} enrolling-devices-in-other-organisations.md {% endcontent-ref %}

Références