用途
本技能为 macOS 系统提供安全与隐私加固指导，内容基于社区维护的 macOS 安全与隐私指南，覆盖系统加固、加密、防火墙配置、DNS 安全与隐私增强，适用于 Apple 芯片与 Intel Mac。资料指出，由于 Intel CPU 存在无法修补的硬件级安全漏洞，强烈建议优先使用 Apple 芯片 Mac。
主要能力
- 威胁建模：提供资产识别清单与对手分析模板（室友、窃贼、犯罪分子、企业、国家行为体），对应动机、能力与缓解措施。
- 系统更新：使用 softwareupdate 检查、安装更新并开启自动更新。
- FileVault 全盘加密：使用 XTS-AES-128 与 256 位密钥加密整盘，提供状态检查、启用、用户管理、恢复密钥更改等命令。
- 休眠安全：设置 hibernatemode 25、destroyfvkeyonstandby、关闭 standby 与 autopoweroff，并要求睡眠后立即输入密码。
- 账户分离：创建独立管理员与标准用户账户，禁用 root 账户。
- 固件安全：检查与设置固件密码，查看系统完整性保护与安全启动状态。
- 防火墙：应用层防火墙（socketfilterfw）与 pf 包过滤配置，含默认拒绝、状态跟踪、日志与隐身模式。
- DNS 安全：加密 DNS 描述文件（Cloudflare、Quad9）、hosts 文件屏蔽、DNSCrypt Proxy 配置与本地 DNS 设置。
- 隐私强化：关闭 Spotlight 建议、Siri、个性化广告、崩溃报告、诊断数据、Handoff、位置服务，并配置 Safari 隐私选项。
- 关闭不必要服务：访客账户、远程 Apple 事件、Internet 共享、屏幕共享、打印机共享、蓝牙。
- 浏览器加固：Firefox 的 user.js 隐私与安全配置，Safari 的 defaults 配置。
- 系统监控：OpenBSM 审计、网络监控（netstat、lsof、tcpdump、nettop、fs_usage）、进程监控与 DTrace 脚本。
- SSH 加固：sshd_config 强配置、密钥生成与权限设置。
- 元数据清除：exiftool、ImageOptim、xattr、安全删除。
- 密码管理：openssl 与 diceware 生成密码，Keychain 管理。
- 备份安全：Time Machine 加密、加密磁盘映像与 rsync 备份。
- Lockdown 模式：面向高风险用户的启用与状态检查。
- 物理安全：自动注销、锁屏信息、禁用自动登录、终端安全键盘输入、禁用 sudo 的 TouchID。
- 快速安全审计脚本：检查 FileVault、防火墙、Gatekeeper 等状态。
使用方式
资料以命令行操作为主，多数命令需 sudo 权限。使用前建议先建立威胁模型，再按需逐项应用。示例包括：
- 检查更新：softwareupdate --list
- 启用 FileVault：sudo fdesetup enable
- 启用应用防火墙：sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setglobalstate on
- 加载 pf：sudo pfctl -ef /etc/pf.conf
- 安装 DNSCrypt Proxy：brew install dnscrypt-proxy
- 生成 SSH 密钥：ssh-keygen -t ed25519 -a 100 -C "your_email@example.com"
适用场景
适用于希望提升 macOS 隐私与安全性的个人用户、需要分离管理员与日常账户的用户、需要加密 DNS 与防火墙规则的用户，以及面临定向攻击风险、需要 Lockdown 模式的高风险用户。
限制
资料未提供图形界面替代方案的完整说明，部分操作需命令行与 sudo 权限；部分命令（如禁用 sudo 的 TouchID、修改 /etc/pam.d/sudo）可能影响使用便利性；pf 规则与 SSH 配置需根据实际网络与用户情况调整；资料未提供各配置项对系统性能或兼容性的影响评估；Intel Mac 的硬件漏洞无法通过本指南修补。