Protezioni di sistema di OS X
1. GATEKEEPER
Il Gatekeeper di OS X può essere impostato per consentire sempre l’esecuzione di app non firmate, mediante un comando da Terminale, eseguito come amministratore:
sudo spctl --master-disable
Per riabilitare Gatekeeper
sudo spctl --master-enable
2. SIP
SIP significa System Integrity Protection.
Protegge le directory di sistema da qualsivoglia modifica. Anche dall’utente root.
Un esempio è la cartella \usr
L’ideale per disabilitarlo è fare il boot sulla macchina con una chiavetta USB con OSX con la stessa versione dell’installato.
Poi da terminale:
csrutil disable
E poi riavviare la macchina da disco interno.
Per riabilitare stessa procedura e poi da terminale:
csrutil enable
Se poi volete dare nuovi opzioni
csrutil authenticated-root disable -> nuovo in Big Sur e successivi
3. SKEL
Il Secure kernel Extension Loading server per impedire il caricamento di estensioni di kernel di terze parti.
Per disabilitarlo digitare da terminale:
spctl kext-consent disable
4. MCAL
Il meccanismo di convalida di accesso alla libreria server per impedire il caricamento di librerie non firmate.
Per disabilitarlo, ossia permetterne il caricamento, digitare da terminale:
sudo defaults write /Library/Preferences/com.apple.security.libraryvalidation.plist DisableLibraryValidation -bool true
5. AMFI
Apple Mobile File Integrity è un processo che verifica l’integrità dei dati e delle applicazioni.
Come per il SIP occorre partire da chiavetta USB e da terminale digitare:
vram boot-args=”amfi_get_out_of_my_way=0x1″
6. SVV
Signed System Volume serve per poter modificare la partizione a sola lettura dove è presente il sistema operativo.
Operazione possibile solo da OSX 10.11 in poi (BIG SUR) è una operazione particolarmente critica.
Come per il SIP occorre partire da chiavetta USB e da terminale digitare:
csrutil authenticated-root disable
A questo punto è disabilitata la cifratura del volume, quindi viene montato il volume di sistema ed viene effettuata la modifica.
Occorre alla fine digitare:
sudo bless –folder /[mountpath]/System/Library/CoreServices –bootefi –create-snapshot
Da farsi davvero solo in casi eccezionali.