¿Hay alguna forma de obtener las últimas veces que se desbloqueó la pantalla en MacOS?

Parece que las diferentes versiones de MacOS utilizan diferentes registros para representar esto. Ninguno de los cuales, he encontrado, mostrar un registro diferente para un "login" o un "unlock" . He respondido a lo siguiente: cómo encontrar todos los inicios de sesión/desbloqueos. Los siguientes comandos de terminal le mostrarán la fecha en el tiempo en que se produjo un inicio de sesión o desbloqueo.

Con la ayuda de este respuesta, y pasando una hora buscando en los registros me di cuenta de esto:

P.D. También puede utilizar el útil --last para limitar a un tiempo específico relativo al ahora. Por ejemplo --last 5m sólo serían los últimos 5 minutos, --last 5h serían las últimas 5 horas, y --last 5d serían los últimos 5 días.

MacOS Mojave

Comprueba si hay intentos de desbloqueo bloqueados (contraseña inválida o Touch ID):

log show --style syslog --predicate 'process == "loginwindow"' --debug --info | grep "LUIAuthenticationServiceProvider activate]_block_invoke"

Explicación: El comando buscará en los registros y encontrará los que son del proceso "loginwindow" y contienen LUIAuthenticationServiceProvider activate]_block_invoke .

Compruebe si los intentos de desbloqueo son válidos (contraseña válida o Touch ID):

 log show --style syslog --predicate 'process == "loginwindow"' --debug --info | grep "LUIAuthenticationServiceProvider deactivateWithContext:]_block_invoke"

Explicación: El comando buscará en los registros y encontrará los que son del proceso "loginwindow" y contienen LUIAuthenticationServiceProvider deactivateWithContext:]_block_invoke .

MacOS High Sierra

WIP

Comprueba si hay intentos de desbloqueo bloqueados (contraseña inválida o Touch ID):

...

Compruebe si los intentos de desbloqueo son válidos (contraseña válida o Touch ID):

log show --style syslog --predicate 'process == "loginwindow"' --debug --info | grep "LAClient evaluatePolicy:options:uiDelegate:reply:]_block_invoke"

MacOS Sierra

Comprueba si hay intentos de desbloqueo bloqueados (contraseña inválida o Touch ID):

log show --style syslog --predicate 'process == "loginwindow"' --debug --info | grep "Verify password called with PAM auth set to YES, but pam handle == nil"

Compruebe si los intentos de desbloqueo son válidos (contraseña válida o Touch ID):

log show --style syslog --predicate 'process == "loginwindow"' --debug --info | grep "SecKeychainLogin result: 0, password was supplied"

MacOS Catalina tiene un formato de registro diferente al de Mojave. Se basa en el responder de JBis , escribí un script para Catalina llamado lockunlock.sh

#!/bin/sh
PERIOD=1d
if [[ $# -ge 1 ]]; then
    PERIOD=$1
fi
echo "Times of Mac screen lock and unlock events in the past ${PERIOD}:"
SEARCH_FOR="going inactive, create activity semaphore|releasing the activity semaphore"
log show --style syslog --predicate 'process == "loginwindow"' --debug --info --last ${PERIOD} | grep -E "${SEARCH_FOR}" | cut -c '1-32 141-155'

Para llegar al término de búsqueda deseado, bloqueé y desbloqueé mi ordenador para asegurarme de que había eventos, y luego vi el último minuto de registro con

log show --style syslog --predicate 'process == "loginwindow"' --debug --info --last 1m | less

En Catalina la solución a la que finalmente llegué es:

1. Terminal abierta
   • Si no está conectado como administrador, utilice su username para autenticar primero como "nombre de usuario" de administrador. Yo uso esto porque estoy comprobando el historial de inicio de sesión de mi hijo en su Mac sin tener que cerrar la sesión y perturbar sus cosas.
2. log show --last 1d | grep "UserActivity Assertion"
   • Si desea ver más o menos historia hacia atrás en el tiempo, cambie el "1d" a "2h" o "10m" (consulte la documentación ejecutando man log ).
   • Si se omite el --last modificador, tardará mucho tiempo en ejecutarse, quizá más de 10 minutos.

Esto parece mostrar de forma fiable cada vez que la máquina fue despertada del sueño por el usuario desbloqueando la pantalla de bloqueo con su contraseña.

Puedes buscar en system.log por loginwindow. Esto mostrará un montón de registros. Mucho más fácil sería utilizar el último comando en la terminal que enumera los inicios de sesión en su sistema.

last -10 YOURUSERNAME

10 limitará la salida a 10 entradas