Sembra che versioni diverse di macOS utilizzino registri diversi per ripeterlo. Nessuno dei quali, ho trovato, mostra un log diverso per un "accesso" o uno "sblocco" . Ho risposto alla prossima cosa migliore: come trovare tutti gli accessi / sblocchi. I seguenti comandi del terminale ti mostreranno la data in cui si è verificato il login o lo sblocco.
Con l'aiuto di questa risposta, e passando un'ora a guardare i registri ho capito:
P.S. Puoi inoltre utilizzare l'utile tag --last per limitare a un momento specifico relativo ad ora. Ad esempio --last 5m sarebbe solo gli ultimi 5 minuti, --last 5h sarebbe le ultime 5 ore e --last 5d sarebbe gli ultimi 5 giorni.
macOS Mojave
Verifica i tentativi di sblocco bloccati (password non valida o Touch ID):
log show --style syslog --predicate 'process == "loginwindow"' --debug --info | grep "LUIAuthenticationServiceProvider activate]_block_invoke"
Spiegazione: il comando controllerà i log e troverà quelli che provengono dal processo "loginwindow" e contengono LUIAuthenticationServiceProvider activate]_block_invoke .
Verifica i tentativi di sblocco validi (password valida o Touch ID):
log show --style syslog --predicate 'process == "loginwindow"' --debug --info | grep "LUIAuthenticationServiceProvider deactivateWithContext:]_block_invoke"
Spiegazione: il comando controllerà i log e troverà quelli che provengono dal processo "loginwindow" e contengono LUIAuthenticationServiceProvider deactivateWithContext:]_block_invoke .
macOS High Sierra
WIP
Verifica i tentativi di sblocco bloccati (password non valida o Touch ID):
...
Verifica i tentativi di sblocco validi (password valida o Touch ID):
log show --style syslog --predicate 'process == "loginwindow"' --debug --info | grep "LAClient evaluatePolicy:options:uiDelegate:reply:]_block_invoke"
macOS Sierra
Verifica i tentativi di sblocco bloccati (password non valida o Touch ID):
log show --style syslog --predicate 'process == "loginwindow"' --debug --info | grep "Verify password called with PAM auth set to YES, but pam handle == nil"
Verifica i tentativi di sblocco validi (password valida o Touch ID):
log show --style syslog --predicate 'process == "loginwindow"' --debug --info | grep "SecKeychainLogin result: 0, password was supplied"
