OS X에서 일상적인 비 관리자 계정을 사용할 때 어떤 점이 있습니까?

이 조언은 오래되었지만 유행으로 돌아옵니다. 최근에 여러 Mac 웹 사이트 나 포럼에서 많이 보았습니다. " '매일'사용자 계정은 관리자 계정이 아니어야합니다.이 목적을 위해 만들어진 표준 계정이어야하며 실제 관리자 작업을 수행하기 위해서만 관리자 계정에 로그인해야합니다.»

이것은 Windows 세계에서 일반적인 조언 인 것처럼 보이지만 최신 OS X 시스템의 경우 어떤 이점이 있는지 이해할 수 없습니다. 그것을 파헤 치자.

• OS X 관리자 계정은 루트 계정 이 아닙니다 . 어쨌든 루트로 이동하려는 응용 프로그램은 암호를 요구하므로 여기에 추가 보안 계층이 표시되지 않습니다. /var휴지통 에 넣으 십시오.
• El Capitan의 SIP는 관리자, 루트 또는 아무도 여부에 관계없이 가장 중요한 파일로의 깊은 OS 수정 또는 코드 주입을 방지했습니다. 더욱이, 여전히 허용되는 민감한 장소에서 그러한 수정은 최소한 관리자 계정에서도 루트 암호가 필요하므로 첫 번째 주장으로 되돌아갑니다.
• 스파이웨어, 개인 정보 보호 문제 및 이와 같은 종류의 경우 표준 계정을 사용하면 추가 보호 기능이 거의 없습니다. 내가 아는 한, 표준 계정에서 사용하더라도 앱은 사용자의 개인 파일에 대한 모든 액세스 권한과 모든 네트워크 액세스 권한 (방화벽 제외)을 갖습니다. 나쁜 앱이 문서를 집으로 보내려면 표준 계정에서 완벽하게 할 수 있습니다.
• 기본 방어선 (방화벽, 신뢰할 수있는 앱 실행 등)은 시스템 전체에 적용됩니다.
• 반면에 관리자 계정으로 전환 한 다음 표준 계정으로 전환하는 것은 번거로운 일입니다. 이것은 실제로 시간을 절약하고 번거 로움을 처리하기 위해 업데이트 또는 관리자 유지 관리를 지연시키는 결과를 낳을 수 있습니다.

그렇다면 왜 관리자 계정을 사용하지 않습니까? 이것이 중복으로 표시되지 않기를 바랍니다.이 문제와 관련된 다른 질문은 이러한 주장을 해결하지 못했습니다.

편집 : 질문은 귀하가 소유하고 제어하는 ​​컴퓨터에 적용됩니다.

모든 OS X 컴퓨터 에는 하나의 루트 계정 만 있으며 기본적으로 비활성화 되어 있습니다. 비밀번호가 없으므로 디렉토리 유틸리티 를 사용하고 활성화 하지 않으면 루트로 로그인 할 수 없습니다 . 루트 로 로그인 하면 시스템이 모든 인증을 우회하므로 비밀번호를 요구하지 않기 때문에 위험 합니다. 이러한 측면에서 OS X 컴퓨터는 실제로 루트 가 없으며 A Good Thing ™입니다.

관리자 계정은 단순히 관리자 그룹 에있는 표준 계정입니다 . 로그인 한 사용자가 수행 한 OS X의 모든 조치는 권한 데이터베이스에 대해 점검됩니다 ( /System/Library/Security/authorization.plist 에서 해당 규칙을 확인하여 인증이 필요하지 않은지 또는 다음과 같이 인증 될 수 있는지를 확인할 수 있습니다) 세션 소유자 (로그인 한 표준 사용자)이거나 관리자 그룹의 구성원이어야하며 매우 세밀한 제어를 제공하므로 시스템 환경 설정 과 같은 세 가지 가능성이 발생할 수 있습니다.잠긴 자물쇠를 클릭하면 클릭하면 인증없이 간단하게 잠금을 해제 할 수 있습니다. 계정 이름이 이미 입력 된 인증 대화 상자를 제공하거나 (사용자임을 확인하십시오) 계정 이름과 비밀번호 필드가 비어있는 인증 대화 상자를 제공 할 수 있습니다 (관리자가 아닌 경우, 자격 증명을 입력하려면 관리자에게 문의하십시오).

일반적으로 컴퓨터의 다른 사용자 (시스템 전체 변경)에 영향을 줄 수있는 모든 항목에는 관리 인증이 필요합니다. 그러나 그보다 더 복잡합니다. 예를 들어 표준 사용자는 / Apps 폴더 (시스템 전체 변경)의 Mac App Store에서 응용 프로그램을 설치할 수 있지만 자체 데이터 내에서만 서명되지 않은 응용 프로그램을 실행하기 위해 GateKeeper를 무시할 수는 없습니다. 표준 사용자는 10-15 분 후에 인증을 요구하지 않는 부작용이있는 sudo 를 호출 할 수 없습니다 . 영리하게 설계된 스크립트는 승인 한 것에 대한 관리자 인증을 요구하지만 그 후에는 알지 못하는 모든 종류의 엉뚱한 것들을 수행합니다.

표준 사용자는 자녀 보호 또는 구성 프로필을 통해 관리 할 수 ​​있으며 암호 정책을 시행 할 수 있습니다. 관리자는 그런 일을 할 수 없습니다.

시스템 무결성 보호 는 사람들이 설치 프로그램 패키지를 통해 클릭하고 암호를 쉽게 제공 하여 사용자 가 가장 약한 링크 가 된 사실을 해결합니다 . SIP는 단지 시스템을 부유 상태로 유지하려고 시도하지만 그 밖의 어떤 것도 실패합니다.

컴퓨터에 한 명의 사용자 (관리자 계정이기도 함)가 있고 계정 암호가 없어도 로그인 창 활동의 형태로 약간의 성가신 감소를 인식하기 위해 내가 본 사람들의 수를 믿지 못할 것입니다.

필요한 경우 관리자 계정으로 전환하기가 어렵다는 귀하의 의견에 동의 할 수 없습니다. 터미널에있는 경우 /System/Library/CoreServices/Finder.app/Contents/MacOS/Finder 를 실행 하여 sudo를 실행하거나 다른 사용자로 Finder 를 시작하는 등의 작업을 수행하기 전에 myadminacct 만 실행하면됩니다 .

GUI에서는 Mac App Store 업데이트 (OS X 업데이트 포함)에 관리자 인증이 필요하지 않습니다. Adobe Flash 업데이트를 포함하여 Downloads 폴더에있는 설치 프로그램 패키지 는 추가 작업을 수행하고 올바른 위치에서 올랐는지 확인 하기 전에 세심한주의를 기울여야 합니다.

그렇기 때문에 표준 계정으로 Mac을 사용하는 것이 내 실수와 감독으로부터 나를 보호하기 때문에 관리자보다 안전하고 안전하다고 생각합니다. 많은 지식이있는 사용자조차도 다운로드 한 모든 스크립트를 한 줄씩 검사하여 비린내가 있는지 확인하지는 않습니다.

예를 들어 앱 (또는 스크립트 또는 실행 파일)을 실행할 수 있거나 네트워크에 액세스 할 수 있거나 실행하지 않은 경우 실행 파일이 시작되지 않을 수있는 조건이나 일정을 도입하는 등 향후 컨트롤이 더욱 엄격해질 수 있기를 바랍니다. 지난 달 정도에 (인증 대화 상자) 명시 적으로 허용하지 않았습니다.

보안은 다중 계층, 다중 벡터 전략 으로 구현하는 것이 가장 좋습니다 .

최소 권한 의 원칙 (POLP) 은 컴퓨터를 안전하게 유지하는 또 다른 장치입니다.

당신이 거기에 나열한 모든 것이 좋지만 그 중 어느 것도 Dropped Drive Hack 과 같은 익스플로잇으로 누군가가 당신의 컴퓨터를 인계하지 못하게 할 것 입니다.

• 방화벽은 드라이브에 원격 제어 익스플로잇이 내장 된 사용자가 USB를 삽입하는 것을 어떻게 방지합니까?

• SIP가 키로거가 키 입력을 캡처하지 못하게하려면 어떻게합니까?

• 관리자 가 SIP를 쉽게 비활성화 할 수있는 경우 SIP를 갖는 것이 어떻게 중요 합니까?

• 무단 / 불법 라이센스 소프트웨어가 설치되는 것을 어떻게 방지합니까? 제한된 사용자 계정은 소프트웨어를 설치하지 않아야하는 사용자가 소프트웨어를 설치하지 않도록합니다.

마지막 방어 라인은 관리자 계정 이 아닌 계정을 사용 하므로 맬웨어가 스스로 설치하려고 할 때 다른 보안 계층 ​​(사용자 인증)을 설정하여 위협을 완화 할 수 있습니다.

나는 지금 이온처럼 보이는 것에 대해 이것을 말하고있다 :

"보안"은 귀하가 구매하는 제품이 아니라 전환하는 스위치가 아닙니다. 그것은의 연습 그것의, 사고 위험을 최소화하기 위해 당신이 할 수있는 모든 도구를 활용.

일반적으로 필요한 것 이상의 권한이없는 계정을 사용하는 것이 가장 좋습니다. 이것이 의미하는 바는 일반적으로 가능한 한 가장 낮은 권한 수준을 가진 계정을 사용해야하며 더 높은 권한이 필요한 특정 작업에 필요할 때 권한을 상승시켜야합니다.

그러나 이것은 오히려 성가시다. 그 이유는 사용자 또는 나에게 간단한 작업처럼 보이는 것 ( "Wi-Fi 만 켜고 싶었 음")이 OS의 특권 작업으로 간주되기 때문입니다 ( "네트워크 장치를 활성화하고 기기를 허용하려고합니다" 임의의 네트워크에 연결합니다 ").

편리함과 보안 사이의 균형을 잡는 것은 소리보다 훨씬 어렵고 개인적 느낌은 OS X가 Windows와 같은 다른 OS보다 훨씬 더 잘 작동한다는 것입니다.

항상 관리자 권한으로 실행하는 경우 실수로 스크랩웨어가 포함 된 사이트에 대한 링크가 포함 된 전자 메일을 클릭 할 수 있으며 사용자 모르게 일부 재구성을 수행하는 스크립트가 자동으로 실행됩니다. 그러나 권한이없는 사용자로 실행중인 경우 해당 스크립트가 실행 되 자마자 OS는 "이 악의적 인 스크립트가 컴퓨터에 무언가를하려고합니다. 암호를 입력하여 확인하십시오"라는 대화 상자가 나타납니다. 그 시점에서 예상되는 것이 아닌 경우 일반적으로 경보 또는 놀라움을 유발할 수 있습니다.

또한 더 중요한 것은 다른 사람을 위해 컴퓨터를 설정하는 것입니다. 가족이 컴퓨터를 배우지 않는 사람. 그들에게 권한이없는 로그인을 제공하고 관리자 암호를 직접 유지하는 것이 좋습니다. 따라서 다음 번에 오래된 쓰레기를 클릭하면 컴퓨터에 크래프웨어를 감염시킬 수 없습니다. 그들은 당신이 이것을 할 때 때때로 불평하지만 IE 6에 35 개의 툴바가 설치되어 있음을 상기시켜야합니다 .Google 검색을 할 때마다 pornographc 팝업 페이지가 생겼습니다. 좋은 생각 이세요 단점은 플래시 플러그인을 업데이트하려고 할 때 컴퓨터 잠금을 해제하기 위해 더 자주 전화를한다는 것입니다.

앞에서 말했듯이 : 보안은 단순한 스위치가 아니라 태도입니다.

당신의 이유가 어떻게 작동하는지 보자.

1. 관리자 계정은 루트가 아닙니다. 사실이지만 전화를 걸 수도 있고 sudo암호를 입력 할 준비가되었거나 sudo암호를 묻지 않도록 구성 되어있을 수도 있습니다 .

2. SIP (System Integrity Protection) : 모든 공격에 충분하지 않은 단 하나의 계층입니다. 비활성화 할 수 있습니까? 더 나은!

3. 스파이웨어 주장 : 아마도. 권한은 여전히 ​​충분하지 않습니다. 그러나 그럼에도 불구하고 여전히 한계입니다.

4. 기본 방어선은 시스템 전체에 적용됩니다. # 1은 관리자 계정으로 실행되는 앱이 뿌리를 내릴 수 있다고 말합니다.

5. 전환? 관리자 계정 암호를 입력하면 표준 계정에서 관리자 관련 작업을 수행 할 수있는 것으로 널리 알려져 있습니다. 실제로 계정을 실제로 전환 할 필요가 없습니다.

컴퓨터에 정통하지 않은 다른 가족 구성원이 있거나 액세스를 제한하려는 자녀 (예 : 어린이) 또는 기계를 사용할 수있는 직원에 대한 액세스를 제한하려는 고용주 인 경우 절대적으로 그렇습니다. osx에 관리자가 아닌 계정을 매일 사용해야하는 이유는 여전히 있습니다.

컴퓨터를 소유하고 있고 제어하려는 경우 관리 계정을 사용하십시오.

다른 사용자가 아무것도 "관리"할 수 없도록하려면 비 관리자 계정이 매우 유용합니다. 또한 누군가 "어떻게하면 빨리 맥을 빌려서 정말 빨리 할 수 ​​있을까?"라고 물으면 커프에서 기계를 빌려야 할 때를 절대 알지 못합니다. 일부는 사용자가 만들고 사용 권한을 조정 한 '세미 게스트'계정으로 간주 될 수 있습니다.

아마도 다른 이유가있을 수 있지만 여기에 내 것이 있습니다 : 관리자 계정에 제한을 두는 것은 불가능합니다. 바람직하지 않거나 위험한 사이트를 방문하지 못하도록 제한을 두는 것이 유용합니다.