8f2ef2cc98
MDM-VPN-Pivot (Phase F.2 done): - ops/mdm/profiles/rebreak-iphone-protection.mobileconfig auf v5 mit com.apple.vpn.managed Payload + OnDemandUserOverrideDisabled. iPhone-User kann ReBreak-VPN-Profile nicht entfernen und "Bedarf verbinden"-Toggle ist disabled. allowEnablingRestrictions empirisch widerlegt für FC-Toggle- Lock — out. - DEV-removable Variante als Test-Profile dazu. - Bootstrap-Tool (rebreak-supervise.sh) + Supervision-Identity-Setup-Doc. - PHASES.md updated mit empirischen Befunden. App-side MDM-Detect (Pfad-a Banner-Logic): - modules/rebreak-protection: getDeviceState() returnt mdmManaged via Heuristik NETunnelProviderManager.count > 1 (App selbst kann nur einen eigenen erstellen, MDM-Push fügt einen zweiten hinzu). - DeviceLayers.mdmManaged?: boolean Type. - blocker.tsx: lockedIn-Bedingung erweitert um mdmManaged. Bei MDM-managed iPhones wird der App-Lock-Card (FC-Authorization-Toggle UI) ausgeblendet weil der per-App FC-Toggle nicht lockbar ist und durch den MDM-VPN-Layer redundant. Layer-2-Country-Curated-Pivot: - backend: vip-swap.post.ts raus, suggest.post.ts rein. Curated-domains durch admin (separate Tabelle/Pfad), getrennt von User-Custom-Domains. - Admin-APIs für curated-domain Pflege (index.get + [id].patch). - seed-country-blocklists Script für initiale Curated-Domain-Liste. - protection/webcontent-domains.get refactored für Country-Curated-Pfad. - Migration drop_vip_swap_fields.sql + schema.prisma adjusted. - docs/concepts/layer2-country-pivot.md mit Architektur + Decision-Trail. Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>
102 lines
6.7 KiB
Markdown
102 lines
6.7 KiB
Markdown
# ReBreak Supervise Bootstrap-Tool
|
|
|
|
CLI-Wrapper das ein **unsupervised iPhone** in den Zustand **supervised + Rebreak-Schutz-Profil installiert** überführt, ohne sichtbaren Daten-Verlust.
|
|
|
|
Mechanismus: TechLockdown-Stil **Backup → Wipe → Supervise → Restore → Install-Profile**. Aus User-Perspektive bleiben Apps + Daten + Login-States intakt; technisch wird das iPhone aber kurz gewiped.
|
|
|
|
## Status
|
|
|
|
Prototype, Mac-only. Einige Steps (cfgutil-Syntax, idevicebackup2-Restore-Flags) sind erst nach Hardware-in-Loop-Test final verifiziert — markiert mit `VERIFY ON DEVICE` im Code.
|
|
|
|
## Voraussetzungen (Mac des Users)
|
|
|
|
| Tool | Installation |
|
|
|-------------------------------|---------------------------------------------------------------|
|
|
| macOS | (jede aktuelle Version) |
|
|
| Apple Configurator 2 | `xcrun simctl install ...` nein — Mac App Store, kostenlos |
|
|
| `cfgutil` CLI | Wird mit Apple Configurator 2 mitgeliefert (in `.app/Contents/MacOS/`) |
|
|
| libimobiledevice | `brew install libimobiledevice` |
|
|
| OpenSSL | Auf macOS vorhanden (`/usr/bin/openssl`) |
|
|
| Supervision-Identity (.p12) | Einmalig: siehe `SUPERVISION-IDENTITY-SETUP.md` |
|
|
|
|
## Voraussetzungen (iPhone des Users)
|
|
|
|
- iPhone wird per USB-C mit dem Mac verbunden
|
|
- iPhone ist entsperrt
|
|
- "Diesem Computer vertrauen?" wurde auf dem iPhone bestätigt
|
|
- **Find My iPhone ist DEAKTIVIERT** (sonst blockt Activation Lock den Wipe-Step)
|
|
- `Settings → [Name] → iCloud → Wo ist? → Mein iPhone suchen → Aus`
|
|
- Verlangt Apple-ID-Passwort des Users
|
|
- iCloud-Backup-Sync ist NICHT mitten in der Sitzung aktiv (idle)
|
|
|
|
## Schnellstart
|
|
|
|
```bash
|
|
# Einmalig: Supervision-Identity generieren (siehe separates Doc)
|
|
cat SUPERVISION-IDENTITY-SETUP.md
|
|
|
|
# Dry-Run zum Check ob alle Deps + iPhone gefunden werden
|
|
./rebreak-supervise.sh --dry-run
|
|
|
|
# Echter Lauf
|
|
./rebreak-supervise.sh
|
|
|
|
# Falls's mittendrin failt: ab dem letzten OK-Step weitermachen
|
|
./rebreak-supervise.sh --resume
|
|
```
|
|
|
|
## Was das Script macht — Schritt für Schritt
|
|
|
|
1. **Preflight** — Deps prüfen, iPhone-UDID detecten, Supervision-Identity laden, Profil-Plist validieren
|
|
2. **Backup** — `idevicebackup2 backup --encryption on` mit zufälligem Passwort (in `~/.rebreak-supervise/backup-pass-<UDID>.txt`)
|
|
3. **Supervise** — `cfgutil prepare --supervised --supervisor-host-certs <p12>` wiped Gerät, setzt Supervised-Flag, rebootet
|
|
4. **Restore** — Nach Reconnect: `idevicebackup2 restore` mit selbem Passwort. Supervised-Flag bleibt persistent über Restore (Apple-Verhalten: Restore preserved supervision/enrollment-state, nicht den User-State der vorher unsupervised war)
|
|
5. **Install-Profile** — `cfgutil install-profile rebreak-iphone-protection.mobileconfig`
|
|
|
|
## State + Logs
|
|
|
|
| Artefakt | Zweck |
|
|
|-------------------------------------------------------|-----------------------------------------------|
|
|
| `~/.rebreak-supervise/state-<UDID>.env` | Welche Steps erledigt (für `--resume`) |
|
|
| `~/.rebreak-supervise/backups/<UDID>/` | Encrypted Backup |
|
|
| `~/.rebreak-supervise/backup-pass-<UDID>.txt` | Backup-Encryption-Passwort (chmod 600) |
|
|
| `~/.rebreak-supervise/supervision-identity.p12` | Persistent über alle Devices/Sessions |
|
|
| `~/.rebreak-supervise/log-<TIMESTAMP>.txt` | Komplettes Log dieser Session |
|
|
|
|
Alles unter `~/.rebreak-supervise/` (chmod 700). Niemals committen.
|
|
|
|
## Failure-Pfade
|
|
|
|
| Wann | Was tun |
|
|
|---------------------------------------|-------------------------------------------------------------------------------------------|
|
|
| Preflight fail (Deps fehlen) | Deps installieren, neu starten |
|
|
| Backup fail (zB iPhone-Disconnect) | USB-Kabel checken, Trust-Dialog erneut. Backup neu starten (Script ist idempotent) |
|
|
| Supervise fail (Find-My noch aktiv) | iPhone ist NICHT gewiped, läuft normal weiter. Find-My deaktivieren, dann `--resume` |
|
|
| Supervise fail (Identity ungültig) | Neue Identity generieren (siehe Setup-Doc), dann `--resume` |
|
|
| Restore fail (Passwort verloren) | **NICHT recoverbar.** iPhone ist gewiped + Setup-Assistant aktiv. User muss neu einrichten oder iCloud-Backup nutzen |
|
|
| Profil-Install fail | Manuell via `cfgutil install-profile <path>` oder per AirDrop des `.mobileconfig` |
|
|
|
|
**Kritisch:** Das Backup-Passwort darf nicht verloren gehen zwischen Step 2 und Step 4. Es liegt automatisch in `~/.rebreak-supervise/backup-pass-<UDID>.txt` — falls der Mac dazwischen neu startet ist es noch da, aber für Disaster-Recovery sollte der User es notieren.
|
|
|
|
## Post-Supervise: iOS-Setup-Stage
|
|
|
|
Nach Step 3 (Wipe) zeigt das iPhone wieder den "Hallo"-Screen. Folgender Stand wird vom Script erwartet bevor Restore startet:
|
|
|
|
- iPhone-Sprache wählen, Land/Region bestätigen
|
|
- Bis zum Screen "Apps & Daten übertragen" durchklicken
|
|
- **NICHT** "Aus iCloud-Backup wiederherstellen" wählen — wir restoren via libimobiledevice vom Mac
|
|
- "Nicht übertragen oder zurücksetzen" wählen ODER zurück bis zum Stage "Computer-Verbindung"
|
|
|
|
Das ist die einzige Stelle wo der User aktiv interagieren muss. Das Script prompted bevor es weiter macht.
|
|
|
|
## Cross-Plattform-Pfad (Phase 2)
|
|
|
|
- **Windows**: braucht entweder iMazing-Lizenz (kommerzielle Whitelabel-Option, ähnlich TechLockdown) oder substantielle libimobiledevice-Erweiterung (Supervise ist heute nicht supported, GitHub-Issue offen). Aktuell out-of-scope.
|
|
- **GUI** (Tauri/Electron Wrapper): wenn der Bash-Flow stabil läuft. Vorerst CLI reicht für Validierung.
|
|
|
|
## Bekannte Tücken
|
|
|
|
- **iOS 18+ cfgutil-Syntax** ist nicht 100% verifiziert. Apple-Doku-Lücken — `cfgutil` ist intern bei Apple priorisiert. `VERIFY ON DEVICE`-Marker im Script-Code zeigen wo's exakt zu testen ist.
|
|
- **idevicebackup2 + iOS 18**: libimobiledevice-Maintainer holen auf, neuere iOS-Versionen können Edge-Cases haben (z.B. neue Backup-Formate). Falls Backup-Tool failed mit "unknown response": auf libimobiledevice HEAD updaten (`brew install --HEAD libimobiledevice`).
|
|
- **Supervised-State-Persistenz nach Restore**: Apple-Doku sagt ja, Community-Reports sagen meistens ja, Edge-Cases existieren. Im Akzeptanz-Test (M2) explizit zu verifizieren.
|