Sophos Mobile: activeringsslot en apparaatnaam op iPhone en iPad

Onder Setup > Apple setup > iOS & iPadOS staan twee verschillende instellingen: Activation Lock bypass betreft de bypasscode voor het Apple-activeringsslot op iPhones en iPads onder supervisie; Synchronize device name bepaalt of Sophos Mobile de naam overneemt die de gebruiker op het apparaat heeft gekozen. Dit zijn algemene Apple-instellingen, geen registratieprofielen voor Apple Business en geen opdracht om een afzonderlijk apparaat te ontgrendelen.

Vóór overdracht of wissen van een apparaat: Bij een gebruikersgebonden activeringsslot wordt de bypasscode door het apparaat gegenereerd; bij een organisatiegebonden slot genereert de apparaatbeheerdienst (MDM) de code. De Sophos-instelling beschrijft het doorgeven van de apparaatcode door apparaten onder supervisie; daaruit volgt niet dat Sophos Mobile de organisatiegebonden MDM-code bewaart. Controleer en documenteer voor het specifieke apparaat vóór een statuswijziging het type slot, de herkomst van de code, de veilige bewaring en de geautoriseerde ontgrendelingsroute; ontbreken deze gegevens, stel wissen of overdracht dan uit en stem dit af met de verantwoordelijke voor het apparaat. Een instelling inschakelen bewijst nog niet dat voor dit apparaat een bypasscode in Sophos Mobile beschikbaar is. Controleer eerst de vermelding van het specifieke apparaat en de beheerstatus. Release from Organization, het verwijderen uit beheer, het resetten en het uitschakelen van het activeringsslot zijn afzonderlijke handelingen; deze pagina beschrijft geen procedure voor vrijgave of herstel.

Activation Lock bypass voor apparaten onder supervisie

Het Apple-activeringsslot kan na een reset vereisen dat het apparaat opnieuw wordt geactiveerd met de Apple Account van de vorige gebruiker. Volgens Sophos sturen apparaten onder supervisie waarop het activeringsslot actief is hun bypasscode naar Sophos Mobile wanneer deze instelling is ingeschakeld. Die code kan bij een latere heractivering helpen als de vorige Apple Account niet beschikbaar is. Niet elke geregistreerde iPhone of iPad staat automatisch onder supervisie: controleer de supervisiestatus van het betreffende apparaat voordat je hierop vertrouwt.

1. Open in Sophos Mobile Admin Setup > Apple setup > iOS & iPadOS en controleer de gewenste instelling Activation Lock bypass. Voor het wijzigen van instellingen is de Sophos Mobile-rol Administrator vereist (in Sophos Fusion: Super Admin of Admin); Helpdesk kan geen instellingen wijzigen. Schakel deze pas in nadat de hieronder beschreven procedure voor bewaring en toegang is goedgekeurd.
2. Na het inschakelen moet het betreffende apparaat opnieuw met Sophos Mobile zijn gesynchroniseerd. De door de iPhone of iPad gegenereerde code kan tot maximaal 15 dagen na de eerste keer dat het apparaat onder supervisie is geplaatst van het apparaat worden opgehaald, tenzij een apparaatbeheerdienst de code eerder uitdrukkelijk heeft opgehaald en van het apparaat heeft verwijderd. Is de code niet binnen die termijn opgehaald, dan kan hij daarna niet meer van het apparaat worden opgehaald. Dit is Apples grens voor het ophalen van het apparaat, niet een uitspraak over het tijdstip waarop Sophos Mobile de code bewaart of de duur van die bewaring. Het later inschakelen van de instelling en vervolgens synchroniseren bewijst dus juist bij apparaten die al langer onder supervisie staan niet dat de code alsnog is opgehaald. Ga er bij een apparaat dat al uit beheer is verwijderd of is gereset niet van uit dat het de code achteraf nog kan doorgeven.
3. Controleer voor een specifiek apparaat onder Devices > [apparaat] > Device properties of ActivationLockBypassCode aanwezig is. Toon vóór resetten, verwijderen uit beheer, overdracht of MDM-migratie per apparaat aan of een bruikbare code al veilig is bewaard en via de goedgekeurde procedure toegankelijk is; noch de stand van de instelling noch synchronisatie vervangt dit bewijs. Behandel de waarde als toegangsgegeven: leg hem niet vast in tickets, schermafbeeldingen of algemeen toegankelijke exports. De aanwezigheid van deze eigenschap is geen bewijs van een geslaagde activeringstest.

Laat de procedure voor bewaring vóór activering en wijziging van beheer goedkeuren: De verantwoordelijke voor de apparaten moet vóór het inschakelen en vóór offboarding of MDM-migratie schriftelijk een procedure goedkeuren voor: bevoegde rollen en personen die de code mogen ophalen en gebruiken, opslag met beperkte toegang en een beveiligde back-up, registratie en periodieke controle van toegang, een gemotiveerde beslissing over bewaartermijn en verwijdering, en verantwoordelijkheid en een veilige overdrachtsroute bij verandering van beheerdienst. Bij een MDM-wissel is het raadzaam de veilig bewaarde codes en back-ups voor alle betrokken geregistreerde apparaten over te nemen of hun activeringssloten via een geautoriseerde route te laten verwijderen. Controleer vóór elke wijziging per apparaat of de code daadwerkelijk beschikbaar is en of de toegang is goedgekeurd; ontbreekt een bevestigde route, stel de wijziging dan uit en stem dit af met de verantwoordelijke voor de apparaten. Codewaarden en kopieën horen niet op deze pagina of in het controleverslag. De bewaartermijn en het export- en verwijdergedrag in Sophos Mobile zijn hier niet aangetoond; beschouw noch het uitschakelen van de instelling noch een MDM-wissel als garantie dat codes worden verwijderd of overgenomen.

Ontbreekt de eigenschap, controleer dan eerst de supervisie, de status van het activeringsslot en de synchronisatie na het inschakelen van de instelling. Start geen reset of vrijgave als test. Apple maakt onderscheid tussen gebruikersgebonden en organisatiegebonden activeringssloten: in de actiematrix van Apple Business staat bij het rechtstreeks uitschakelen van een gebruikersgebonden slot via een apparaatbeheerdienst Nee, maar via Apple Business onder de daarvoor geldende voorwaarden Ja. Dit is geen algemeen verbod op een MDM-bypass: volgens Apples implementatiehandleiding kan een apparaatbeheerdienst een gebruikersgebonden slot ook op afstand opheffen met een bypasscode die eerder van het apparaat onder supervisie is opgehaald en bewaard; de code kan ook rechtstreeks op het apparaat worden gebruikt. Daaruit volgt niet dat Sophos deze werkwijze op afstand met een code in het concrete geval ondersteunt. De door Sophos gedocumenteerde actie Actions > Remove Activation Lock vereist dat het apparaat nog bij Sophos Mobile geregistreerd is en werkt volgens Sophos niet bij apparaten met minstens twee SIM-/eSIM-slots, waaronder recente iPhone-modellen. Deze actie is niet hetzelfde als het gebruiken van een bypasscode. Kies de juiste aanpak uitsluitend op basis van de toestand van het specifieke apparaat en met toestemming van de organisatie.

Belangrijk bij Apple Business: Volgens Apple kan het activeringsslot daar alleen worden uitgeschakeld als de organisatie het apparaat vóór het inschakelen van het slot aan Apple Business heeft toegevoegd en het apparaat niet heeft vrijgegeven; hiervoor is een rol met de bevoegdheid om het activeringsslot te verwijderen nodig. Voor Release from Organization via de Apple Business-interface heeft de aangemelde gebruiker apart een rol nodig met de bevoegdheid om apparaten vrij te geven. Dat is niet de enige mogelijke route voor vrijgave: volgens Apple kan ook een gekoppelde apparaatbeheerdienst apparaten vrijgeven zonder aanmelding bij Apple Business, mits de vrijgaveoptie van die dienst is ingeschakeld. Bij het toevoegen van een dienst staat deze optie standaard aan, maar ze kan worden uitgeschakeld. Ook een geautoriseerde Apple-reseller kan een apparaat vrijgeven. Het ontbreken van de vrijgavebevoegdheid bij een aangemelde gebruiker sluit deze andere routes niet uit. Of vrijgave via een dienst daadwerkelijk is toegestaan en door de organisatie is goedgekeurd, moet in een afzonderlijk geautoriseerde offboarding- en vrijgavecontrole worden beoordeeld; voer hier geen automatische vrijgave uit en wijzig de dienstconfiguratie niet. Na vrijgave kan Apple Business het activeringsslot voor dat apparaat niet meer beheren. Volgens Apple kan een vrijgegeven apparaat via een afzonderlijke procedure opnieuw worden toegevoegd; daarmee wordt de vrijgave niet ongedaan gemaakt en wordt het slot in de tussentijd niet beheerd. Gebruik Release niet als vermeende oplossing voor een ontbrekende bypasscode-eigenschap. Ook het later uitschakelen van Activation Lock bypass is geen aangetoonde manier om een al actief slot terug te draaien en garandeert niet dat een eerder ontvangen code wordt verwijderd of dat het apparaat achteraf wordt ontgrendeld. Beoordeel zulke gevallen afzonderlijk met de bevoegde apparaatverantwoordelijke voordat de apparaatstatus verandert.

Synchronize device name bewust kiezen

Als Synchronize device name is ingeschakeld, gebruikt Sophos Mobile de naam die de gebruiker op het apparaat heeft ingesteld. Als de instelling is uitgeschakeld, gebruikt Sophos Mobile de naam die bij de apparaatregistratie is toegekend. Dit gaat over de naam in het beheeroverzicht, niet over het activeringsslot.

Voor inventarislijsten met een vast naamschema kan een stabiele registratienaam nuttiger zijn; als de naam op het apparaat herkenbaar moet zijn in het overzicht, ligt synchronisatie meer voor de hand. Vergelijk na de keuze de vermelding van het betreffende apparaat met de verwachte naam. Controleer bij een afwijking eerst welke naam bij de registratie is vastgelegd en of het apparaat sinds de wijziging is gesynchroniseerd. Deze instelling op zichzelf hernoemt het apparaat niet op iOS of iPadOS.

Beperking van deze controle: De beschreven menu’s en veldeigenschappen zijn onderbouwd door de documentatie van de fabrikanten, maar niet in een Sophos Mobile-tenant of op een apparaat getest. Met name het gedrag bij het later uitschakelen van de bypassinstelling, de bewaartermijn van een al ontvangen code en een geslaagde heractivering zijn hier niet geverifieerd.