Какво потребителите на Mac трябва да знаят за сигурността на El Capitan

реклама

Потребители на Mac: OS X 10.11 El Capitan е тук и е доста страхотен OS X El Capitan е тук! Надстройка за по-гладко преживяване на MacMac OS X El Capitan е едва доловима версия: най-големите му промени не се виждат - но вероятно така или иначе ще ги забележите. Прочетете още . Повечето потребители ще получат забележимо увеличение на производителността и има някои (сравнително незначителни) нови функции.

Но коя е най-голямата промяна, която Apple направи този път? Сигурност. OS X вече е толкова заключена, че дори root потребители не могат да променят операционната система - нека разгледаме какво означава това, нали?

Защита на целостта на системата: Коренът няма мощност тук

Спомняте ли си тази стара карикатура?

Не го разбирате ли? Е, в много UNIX-подобни системи - включително OS X - командата Sudo означава суперусер. Поставянето на „sudo“ пред команда, ако се приеме, че потребителският ви акаунт е администратор, ви позволява да правите неща, които не можете по друг начин.

По принцип, ако сте суперпотребител, можете да направите всичко - освен ако, разбира се, не управлявате El Capitan. В тази версия на OS X изобщо не можете да редактирате основните системни файлове, независимо дали сте root.

Това е заради Защита на целостта на системата (SIP) - понякога се нарича без корен - нова функция, която означава, че потребителите и софтуерът на трети страни, включително злонамерен софтуер, не могат да променят основните системни файлове.

В обобщение, SIP означава, че:

• Основните системни файлове не могат да бъдат презаписвани дори от root потребители.
• Инжектирането на код в защитени процеси вече не е разрешено от системата.
• Могат да се изпълняват само подписани разширения на ядрото - без изключения.

Основната идея тук е, че ако не можете да промените тези основни файлове, нито злонамерен софтуер, нито хакери. Но има някои потенциални недостатъци, особено ако сте от типа потребител, който обича да хаква или персонализира нещата.

Системните директории не могат да бъдат редактирани

В El Capitan съдържанието на определени папки не може да бъде променяно от потребителя или от която и да е програма, която потребителят може да избере да стартира. Кои папки?

• /System
• /bin
• / usr (с изключение на "/ usr / local")
• /sbin

Тестването на това е просто: насочете се към терминал и се опитайте да създадете нова директория в /System. Няма да работи:

Това означава, че вие ​​и всички програми, които можете да изберете да стартирате, не можете да правите никакви промени в OS X - дори ако сте потребител на root и дори ако въведете паролата си. Това също означава, че зловредният софтуер и хакерите не могат да променят нищо в тези папки.

Всяко приложение, което работеше отчасти чрез извършване на промени в тези папки, няма да работи в El Capitan, пълна спирка, без някаква актуализация.

И тази промяна е с обратна сила, което означава, че ако сте направили нещо, за да редактирате OS X в миналото, тези промени ще бъдат извършени да се върнете, когато надстроите до El Capitan - но можете да възстановите всички файлове и промени, ако искате, те са в /Library/SystemMigration.

Свети ад. Когато инсталирате Mac OS X 10.11 "El Jefe", без корени премества * куп * неща в / Library / SystemMigration / имам неща от 2006 г.!

- Розина Келер (@rosyna) 21 септември 2015 г.

Няма повече инжектиране на неща в паметта

Използвал ли си някога EasySIMBL, който ви позволява да персонализирате почти всичко на вашия Mac Персонализирайте почти всичко на вашия Mac с EasySIMBLОт скриването на менюто, когато определени приложения са отворени за вграждане на снимки на Instagram в официалното приложение на Twitter, можете да правите неща с EasySIMBL, за които вероятно не сте знаели, че са възможни. Прочетете още ? Тази програма може да добави функционалност към програми и самата OS X и постига това чрез инжектиране на код в текущо работеща програма. Например: един плъгин за EasySIMBL направи официалния клиент на Mac за поддръжка на вградени изображения от Instagram, функция, която иначе няма.

Това може да е наистина страхотно, но също така се използва точната методология, която много често използвани злонамерен софтуер използва за всякакви гадни неща. В Ел Капитан вече не е възможно.

@ jolan78@comex easysimbl е прекъснат на 10.10.3+. бъдещето е доста мрачно благодарение на безкоректни така или иначе (умишлено не е лесно да се деактивира)

—?????? 3G? ??х??? (@Hbkirb) 22 август 2015 г.

Това разбива неща като EasySIMBL и популярната система за приставки на Flashlight за Spotlight Добавете суперсили към прожекторите с тази неофициална система на приставкиВкарайте Google, Wolfram Alpha, времето и почти всичко друго в Spotlight. Прочетете още , на El Capitan - но също така предотвратява всякакъв вид теоретично възможен зловреден софтуер.

Няма повече неподписани ядра разширения

Разширенията на ядрото са парчета софтуер, които взаимодействат директно с ядрото на системата. Повечето потребители на Mac вероятно никога няма да инсталират разширение на ядрото, освен ако не се нуждаят от драйвери за някакъв вид хардуер на трети страни.

. @ZetesIndustries моля, вземете драйверите си за „най-продавания четец на eid“, подписан за Mac OS. Сигурността е важна. pic.twitter.com/nubvHiItTe

- Андрю Фехейр (@andruby) 25 януари 2015 г.

И от сега нататък всички разширения на ядрото - включително драйвери - трябва да бъдат подписани, за да се стартират. Това означава, че ако разчитате на хардуер, който разчита на неподписан драйвер, този драйвер няма да се зареди в El Capitan - производителят на вашето устройство трябва да пусне подписан драйвер или няма да можете да използвате вашия хардуер.

Изключване на SIP / Rootless в El Capitan

Тези промени без съмнение ще подобрят сигурността - но някои хора смятат, че не си струва загубата на свобода.

Mac Os X El Capitan е кошмар за разработчиците с безпристрастно изпълнение

- Necromant2005 (@ necromant2005) 5 октомври 2015 г.

Независимо дали сте съгласни с тези оплаквания или просто разчитате на приложения или хардуер, които не работят с активиран SIP, възможно е да изключите тази функция за защита.

Защитата на целостта на системата не може да бъде деактивирана от самата ОС: трябва да стартирате Възстановяване на OS X. Изключете вашия Mac, след което задръжте CMD + R докато започва.

След като системата зареди възстановяване на OS X, заредете терминал от menubar, след това напишете csrutil забрани и удари Въведете. Ако по-късно искате да включите отново SIP / rootless, повторете този процес, но въведете csrutil enable в терминала.

Друга възможност е да не инсталирате El Capitan за известно време - можете получите страхотни функции без надграждане Не чакайте, Вземете функциите на OS X 11.10 El Capitan сега в YosemiteВъпреки че има няколко приятни нови функции и усъвършенствания, идващи в OS X 11.10, можете да получите повечето от предстоящите функции, като инсталирате софтуер на трети страни днес. Прочетете още така или иначе.

Други различни кръпки за сигурност

SIP не е единствената нова функция за сигурност в El Capitan - просто най-забележителната. Можеш да четеш Дългият списък на Apple за актуализации за сигурност на OS X, ако желаете, но ето няколко акцента:

• Много промени в приложенията за защита на достъпа до Keychain.
• Подобрени алгоритми за криптиране.
• Промени в EFI, за да се предотврати подправяне на цялата система.
• Подобрена форма на двуфакторна автентификация Какво е двуфакторно удостоверяване и защо трябва да го използватеДвуфакторното удостоверяване (2FA) е метод за защита, който изисква два различни начина за доказване на вашата идентичност. Често се използва в ежедневието. Например плащането с кредитна карта изисква не само картата, ... Прочетете още за iCloud потребители.

Сигурност или свобода?

Ъгъ, като трябва да изключвам безработен режим в el capitan, за да мога да заменя иконите на моя mac се чувствам странно

- Зак Смит (@Zacitus) 24 юли 2015 г.

Говорих за новите функции на защитата на El Capitan краят на персонализирането на Mac El Capitan означава края на темите за Mac и дълбоките настройки на систематаАко искате да персонализирате вашия Mac, Yosemite може да е последната версия на OS X, която работи за вас. И това е твърде лошо. Прочетете още , а коментарите ме изненадаха - хората основно казаха „И какво?“.

Може би повече потребители на Mac са съгласни с това: че по-скоро имат функции за сигурност като SIP, отколкото възможност за настройване на нещата. Искам да знам какво мислите: има ли компромис тук и струва ли си? Нека поговорим за това в коментарите.

Имидж кредити: “сандвич”Любезност на XKCD