Parece que las diferentes versiones de macOS utilizan diferentes registros para volver a enviar esto. Nada de lo cual, he encontrado, muestra un registro diferente para un "inicio de sesión" o un "desbloqueo" . He respondido la siguiente mejor cosa: cómo encontrar todos los inicios de sesión / desbloqueos. Los siguientes comandos de terminal le mostrarán la fecha en la que ocurrió el inicio de sesión o el desbloqueo.
Con la ayuda de esta respuesta, y dedicando una hora a revisar los registros, me di cuenta de esto:
P.S. Además, puede usar la útil etiqueta --last para limitarla a un tiempo específico en relación con ahora. Por ejemplo, --last 5m solo serían los últimos 5 minutos, --last 5h serían las últimas 5 horas y --last 5d serían los últimos 5 días.
macOS Mojave
Comprueba los intentos de desbloqueo bloqueados (contraseña no válida o ID de toque):
log show --style syslog --predicate 'process == "loginwindow"' --debug --info | grep "LUIAuthenticationServiceProvider activate]_block_invoke"
Explicación: El comando buscará en los registros y encontrará los que proceden del proceso "loginwindow" y contienen LUIAuthenticationServiceProvider activate]_block_invoke .
Comprueba si hay intentos de desbloqueo válidos (contraseña válida o ID de toque):
log show --style syslog --predicate 'process == "loginwindow"' --debug --info | grep "LUIAuthenticationServiceProvider deactivateWithContext:]_block_invoke"
Explicación: El comando buscará en los registros y encontrará los que proceden del proceso "loginwindow" y contienen LUIAuthenticationServiceProvider deactivateWithContext:]_block_invoke .
macOS High Sierra
WIP
Comprueba los intentos de desbloqueo bloqueados (contraseña no válida o ID de toque):
...
Comprueba si hay intentos de desbloqueo válidos (contraseña válida o ID de toque):
log show --style syslog --predicate 'process == "loginwindow"' --debug --info | grep "LAClient evaluatePolicy:options:uiDelegate:reply:]_block_invoke"
macOS Sierra
Comprueba los intentos de desbloqueo bloqueados (contraseña no válida o ID de toque):
log show --style syslog --predicate 'process == "loginwindow"' --debug --info | grep "Verify password called with PAM auth set to YES, but pam handle == nil"
Comprueba si hay intentos de desbloqueo válidos (contraseña válida o ID de toque):
log show --style syslog --predicate 'process == "loginwindow"' --debug --info | grep "SecKeychainLogin result: 0, password was supplied"
