Чому не варто вимикати захист цілісності системи на Mac?

Кожна нова версія настільної операційної системи Apple накладає на користувачів більше обмежень, ніж попередня версія. Захист системної інтеграції – найбільшою зміною може бути захист системної інтеграції (або SIP).

Коли SIP був представлений в OS X 10.11 El Capitan, користувачі обмежили можливість змінювати певні папки. Хоча дехто засуджував новітню технологію безпеки Apple як засіб контролю над користувачами, виявилося, що це не дарма.

Причин для вимкнення цієї функції дуже мало. Давайте розберемося в наступній статті.

Що таке System Integration Protection (SIP)?

SIP — це функція безпеки, розроблена для захисту найбільш вразливих частин операційної системи. Коротше кажучи, це не дозволяє навіть користувачеві з правами root (за допомогою команди sudo) змінювати певні місця на головному розділі. Призначений для захисту користувачів Mac, подібно до попередніх програмних обмежень, запроваджених Gatekeeper.

Це може бути відповіддю на зростаючу кількість загроз шкідливого програмного забезпечення. Mac зараз є великою мішенню для шкідливих програм. Неважко знайти програми-вимагачі , шпигунські програми, клавіатурні шпигуни або старі рекламні програми, націлені на платформи Apple.

SIP захищає кілька основних областей диска, на якому встановлено операційну систему, включаючи /System, /bin, /sbin, /usr (але не /usr/local). Деякі символічні посилання з /etc, /tmp і /var також захищені, хоча цільові каталоги – ні. Заходи безпеки запобігають процесам без достатніх привілеїв (включно з адміністраторами з правами root) від запису в ці каталоги та файли, що зберігаються в них.

Ця технологія також запобігає іншим «ризикованим» видам діяльності. Apple стурбована тим, що зміни, внесені до цих частин системи, можуть поставити під загрозу ваш Mac і спричинити пошкодження операційної системи. Блокування кореневого доступу адміністратора захищає ваш Mac від локально та віддалено виконуваних команд на рівні sudo.

Чому ж користувачі хочуть вимкнути цю функцію?

Коли цю функцію було вперше представлено, деякі програми, які покладалися на зміну певних захищених папок або системних файлів, більше не працювали. Як правило, це «нав'язливі» модифікації, що змінюють принцип роботи багатьох основних елементів операційної системи та власних додатків. Також впливають певні інструменти резервного копіювання та відновлення та програми, які спеціально обробляються під час роботи інших пристроїв.

Якщо ви хочете використовувати програмне забезпечення, функціонування якого залежить від модифікацій, спочатку потрібно вимкнути SIP. Неможливо створити виняток для певної програми, якщо ця програма не має необхідних привілеїв. Це призвело до припущень, що зміна торкнеться менших розробників, яким бракує засобів для роботи з Apple, щоб гарантувати, що їх програмне забезпечення продовжує функціонувати.

Хоча це може бути правдою, багато програм, які спочатку не працювали на El Capitan, були переписані для адаптації до цієї операційної системи. Таким додатком є ​​Бармен. Це засіб для очищення піктограм панелі меню Mac. Оригінальний Bartender працює лише з OS X 10.10 і старіших версій, тоді як Bartender 2 працює з El Capitan і новіших версій. Default Folder X, іншу програму, розроблену для покращення діалогових вікон «Відкрити» та «Зберегти», було повністю переписано для El Capitan і пізніших версій. Зараз він працює цілком ідеально.

Не всі програми були повністю переписані, і деякі програми все ще потребують відключення SIP, щоб працювати. На щастя, зазвичай це лише тимчасово, як у випадку з Winclone. Це рішення для клонування та резервного копіювання Boot Camp вимагає від користувачів вимкнути SIP для запису в захищені області диска. Цю функцію можна знову ввімкнути пізніше.

SwitchResX — ще одна програма, для якої потрібно вимкнути SIP. Він забезпечує розширене керування зовнішніми дисплеями на основі конкретної роздільної здатності, зазначеної в захищеному файлі. Після налаштування монітора користувачі можуть відновити SIP, доки їм не знадобиться внести ще одну зміну. Інші програми, такі як XtraFinder (та багато інших програм, які змінюють зовнішній вигляд і функціональність Finder), вимагають увімкнення цієї функції з налагодженням за допомогою команди csrutil enable --without debug.

Через цю зміну деякі додатки взагалі припинили розробку. Інші програми лише тимчасово вимикають SIP, а потім знову вмикають його. Головне, що дуже дратує, коли додаткам доводиться змінювати інтерфейс або поведінку системи чи вбудованої функції (наприклад, Finder, Spotlight або док), перш ніж досягти споживачів. Здебільшого достатньо швидкого пошуку в Google або швидкого перегляду поширених запитань.

Як відключити SIP?

Якщо ви вирішите вимкнути SIP, майте на увазі, що технічно ваш Mac так само безпечний, як і під керуванням OS X 10.10 Mavericks. Вам все одно потрібно буде надати кореневий доступ для запису в певні області диска або запиту прав адміністратора. Ви також можете легко повторно ввімкнути SIP, якщо вирішите зробити це пізніше.

Більшості користувачів Mac ніколи не доведеться вимикати SIP. Крім того, вам слід залишити цю функцію ввімкненою, якщо ви не зіткнетеся з перешкодами. Якщо вам потрібно внести зміни в захищену папку або використовувати програмне забезпечення без привілеїв, ось що потрібно зробити, щоб вимкнути SIP:

1. Перезапустіть Mac, клацнувши піктограму Apple у верхньому лівому куті та вибравши «Перезавантажити» .
2. Утримуйте Command+R під час завантаження Mac, щоб увійти в режим відновлення .
3. Коли ваш Mac завантажиться, перейдіть до «Утиліти» та запустіть «Термінал» .
4. Введіть csrutil disable і натисніть Enter .
5. Перезапустіть Mac як зазвичай.

Все зроблено! Ви можете легко повторно ввімкнути цю функцію, перезавантажившись у режимі відновлення , запустивши термінал і ввівши csrutil clear , а потім натиснувши Enter .

Ви вимкнули SIP?

Можливо, ви готові ризикнути й вимкнути SIP. Можливо, ви не хочете, щоб Apple диктувала, що ви можете, а що не можете змінити. Програма може попросити вимкнути SIP або ви любите налаштовувати систему. Якщо ви вимкнули цю функцію, ми хотіли б знати, чому.

Немає жодних причин вимикати цю функцію, якщо немає крайньої необхідності. Пам’ятайте, що перевстановлення macOS, швидше за все, знову ввімкне цю функцію. Також цілком імовірно, що Apple продовжуватиме запроваджувати функції безпеки та засоби керування дозволами з кожним новим випуском macOS.

Побачити більше:

• Безпечні мережеві служби Mac
• Шифруйте зовнішні диски в Mac OS X Lion
• Поради щодо підвищення безпеки для Mac OS X