SIP : quels risques sont heureusement écartés grâce à cela, inversement que risque-t-on à fonctionner sans ?

[g4hd]

MacOS X est excessivement verrouillé pour le bien de l'utilisateur… c'est la version bien-pensante.

En pratique, c'est une gêne pour l'amateur de personnalisation.
Par exemple, depuis les années OS X des débuts, je décore mon environnement mac avec des icones qui me plaisent pour plein de dossiers, y compris pour remplacer les icones moches d'Apple pour les dossiers Applications, Utilitaires etc.
Malheureusement, depuis presque 4 ans (El Capitan OS 10.11) tout est plus compliqué et c'est encore possible de déverrouiller le bazar.

Récemment, pour le passage à Mojave, j'ai pu à nouveau passer par la procédure qui impose plusieurs manips : redémarrer sur le HD recovery, taper le sésame dans le Terminal, relancer, faire mes manips puis agir en sens inverse pour réinstaller la protection.

En fait, est-ce qu'il y aurait un souci à ne pas remettre le verrou SIP inventé par Apple pour nous emmerder pour notre bien ?

[_Panta]

En fait, est-ce qu'il y aurait un souci à ne pas remettre le verrou SIP inventé par Apple pour nous emmerder pour notre bien ?

hello,

Le fait que tu poses la question, légitime et tu n'es pas seul, je ne te montre pas du doigt plus qu'un autre, mais cela montre à quel point Apple à raison sur le coup de l'imposer ; car comme je le disais sur un autre topic il y a moins d'une heure, Mac uSer et sécurité me fera toujours sourire devant tant de naïveté - Ne pas oublier que si ton voisin mets le feu chez lui, tu es en danger, il en est de même de l'informatique maillé de nos jourset "votre" inconscience/naïveté" pose problème à l'autre

En gros, MacOS est sécurisé, mais sa principale faiblesse est aujourd’hui son utilisateur.
Plus que de reprendre ce que d'autres ont déjà bien résumé, je te renvoie sur cet article macg qui résume bien ce que t'apporte SIP et Gatekeeper

https://www.macg.co/os-x/2015/06/system-int...l-capitan-89407

Ce message a été modifié par _Panta - 19 Oct 2018, 18:51.

[Guest_Matyu_*]

Salut. J'ai désactivé le SIP car je voulais bidouiller deux trois trucs. Jusqu'ici tout va bien, pas d'emmerdes.

Ce message a été modifié par Matyu - 19 Oct 2018, 18:54.

[g4hd]

Je reçois parfaitement le message, Panta, pour l’essentiel qui est le risque d’intrusion malveillante dont l’utilisateur est inconscient.
En même temps, j'ai bien noté ceci : MacOS X est excessivement verrouillé…

Ce que je regrette c’est qu’il est impossible de personnaliser le bureau (par exemple), activité bon enfant qui était amusante et faisait partie du plaisir d’utiliser un Mac.
C’était surtout vrai à l’époque des OS 8 et 9… moins facile dès les premiers OS X.
On parlait de thèmes, ça manque depuis des années.
Désormais, c’est le bureau de design de Joni qui te dit ce que tu dois aimer. Point.

J’ajoute que l’esthétique à l’écran s’impose plutôt vers un nivellement par le bas… en tout cas limitant ou bridant la moindre velléité de créativité… ce qui est bien un comble pour les Mac favoris des métiers de la création.

Ce message a été modifié par g4hd - 20 Oct 2018, 00:10.

[g4hd]

Salut. J'ai désactivé le SIP car je voulais bidouiller deux trois trucs. Jusqu'ici tout va bien, pas d'emmerdes.

As-tu constaté que le SIP est réactivé d'office, lors d'une mise à jour système ?
Heureusement, le passage par HD recovery permet de le désactiver pour bidouiller deux trois trucs, comme tu dis.
On peut s'attendre à ce que cette facilité soit éliminée un de ces jours.

[_Panta]

Pourquoi ne pas re-verrouiller la porte de la cave quand vous y avez fini vos bricoles ?
Ce n'est quand même pas si contraignant, vous ne bidouillez pas les paramètres systèmes tous les matins non plus.

Cette fonction restera forcément désactivable ou contournable de toute manière

[g4hd]

Pourquoi ne pas re-verrouiller…

C'est ce que je fais… tout en me demandant si c'est indispensable. c'est tout.
Et puis je trouve ça gonflant cette esthétique appauvrie qu'il serait odieux de contester.

J'aimais bien les délires de certains thèmes en fonds d'écrans et autres icones qui nous sont refusés.

[Ulf64]

Perso j'ai désactivé le SIP définitivement encore sous 10.11 après quelques galères:

- Impossible de re-installer la version d'origine (10.6) sur un iMac désigné à la vente. Message d'erreur farfelu de DVD abimé.
- Sous 10.11 sur Mini l'ouverture d'une session ROOT débouche sur un écran noir et machine bloquée.
- Impossible de créer une carte SD d'installation bootable avec Diskmaker. Une clé USB ça passe. Mais une fois le SIP désactivé, la carte SD passe aussi.
- Pilote matériel qui ne marche plus.
- Utilitaire d'amélioration de Finder ne marche plus (il travaille par injection de code ce que le SIP n'autorise pas).

Autrement dit, ça fait des années que je travaille "sans filet" comme avant. Pas de problème. Faut juste savoir ce qu'on fait et ne pas faire n'importe quoi.

Ce qui me gène le plus c'est que Apple ne communique pas sur le SIP. Style:
- il n'y a rien à voir,
- t'as pas à le savoir
- alors passe ton chemin et ferme là.
C'est du tout ou rien.
Quoi que j'ai trouvé une option de commande qui n'active que la moitié des critères.
Option bien sûr non documentée par Apple.

Mais je conçois que le SIP c'est sécurisant pour les novices en informatique.

NB:
Sur tous mes Mac j'ai toujours eu le ROOT activé. Comme c'est bien caché, la marche à suivre pour le faire a disparu définitivement de l'aide depuis 10.11

[radioman]

En fait, est-ce qu'il y aurait un souci à ne pas remettre le verrou SIP inventé par Apple pour nous emmerder pour notre bien ?

jusqu'à El Capitan on ne se posait pas la question (ça n'existait pas ) et tout le monde vivait très bien avec son Mac !!!

je l'ai systématiquement désactivé après chaque mise à jour …

[Guest_Matyu_*]

As-tu constaté que le SIP est réactivé d'office, lors d'une mise à jour système ?

Je n'utilise pas la beta 10.14.1, je n'ai donc pas fait de mise à jour système. Je suis en 10.14
Il y a une commande qui permet de vérifier le statut de SIP à tout moment.
Je comprends l'argument de la sécurité et je peux réactiver SIP à tout moment.

Ce message a été modifié par Matyu - 20 Oct 2018, 21:26.

[g4hd]

As-tu constaté que le SIP est réactivé d'office, lors d'une mise à jour système ?

Je n'utilise pas la beta 10.14.1, je n'ai donc pas fait de mise à jour système. Je suis en 10.14
Il y a une commande qui permet de vérifier le statut de SIP à tout moment.
Je comprends l'argument de la sécurité et je peux réactiver SIP à tout moment.

C'est simple : menu  / informations système / rubrique Logiciel --> ligne en bas : "Protection de l'intégrité du système : activée (ou désactivée).

…

J'ai un autre souci avec mes machines passées sous Mojave : plus moyen de lancer l'accès au Recovery : redémarrer en tenant les touches cmd+R…
Je tombe sur un gros cadenas à l'écran qui me réclame l'accès au "mot de passe de programme interne"
Pour le portable, j'ai dû le confier à l'Applestore qui me l'a restitué déverrouillé 1 semaine plus tard. Depuis, c'est OK.
Pour mon fixe, je n'ai pas le choix de l'abandonner 1 semaine pour un maudit mot de passe qui serait créé à la première mise en service (il y a 5 ans…) et dont je n'ai aucun souvenir.
Plus exactement, je suis même convaincu de n'avoir jamais créé ce MdP et c'est uniquement depuis macOS 10.14 Mojave que je tombe sur cette exigence.
Vous vous en doutez, j'ai essayé une bonne dizaine de mdp, y compris en les tapant en mode QWERTY au lieu de AZERTY. Rien à faire.
J'ai plutôt l'impression que ce mdp n'ayant jamais été créé, le bazar me fait un caca nerveux.
Si vous avez des pistes, je suis preneur !
Ou il faudra que je m'organise pour passer le macpro chez Applestore 1 semaine.

[Ulf64]

J'ai un autre souci avec mes machines passées sous Mojave : plus moyen de lancer l'accès au Recovery : redémarrer en tenant les touches cmd+R…
Je tombe sur un gros cadenas à l'écran qui me réclame l'accès au "mot de passe de programme interne"
Pour le portable, j'ai dû le confier à l'Applestore qui me l'a restitué déverrouillé 1 semaine plus tard. Depuis, c'est OK.
Pour mon fixe, je n'ai pas le choix de l'abandonner 1 semaine pour un maudit mot de passe qui serait créé à la première mise en service (il y a 5 ans…) et dont je n'ai aucun souvenir.
Plus exactement, je suis même convaincu de n'avoir jamais créé ce MdP et c'est uniquement depuis macOS 10.14 Mojave que je tombe sur cette exigence.
Vous vous en doutez, j'ai essayé une bonne dizaine de mdp, y compris en les tapant en mode QWERTY au lieu de AZERTY. Rien à faire.
J'ai plutôt l'impression que ce mdp n'ayant jamais été créé, le bazar me fait un caca nerveux.
Si vous avez des pistes, je suis preneur !

Ce qui est sûr, si ça m'arrive sur mon Mini en mai ou juin 2019 lors de la migration (éventuelle) sur Mojave, je vais virer le Mini et avec celui-ci mon dernier Mac.

A titre préventif, je vais créer un mot de passe de programme interne et le supprimer ensuite. Peut-être que la procédure laisse une trace et lors de la migration, soit la suppression reste active, soit le mot de passe que j'ai crée et supprimé re-devient actif.

Edit:
Il me vient un soupçon: Et si c'était une astuce d'Apple pour freiner ceux qui auraient la velléité de vouloir désactiver le SIP ?
- Pour désactiver le SIP il faut démarrer depuis la Recovery
- Pour démarrer sur la Recovery, il faut introduire le mot de passe du programme interne
- Si l'utilisateur n'a pas introduit de mot de passe (jugé pas nécessaire) une combinaison aléatoire est introduite lors de la migration sur mojave. Bloquant du coup l'accès au SIP
- Pour l'utilisateur il ne reste que le passage au service agréé Apple. Et là tout le monde ne va pas le faire.

J'avoue que c'est tordu, mais lors de mon désengagement de l'écosystème d'Apple, j'en ai vu des bâtons dans les roues de ceux qui vont voir si l'herbe est plus verte ailleurs.

Ce message a été modifié par Ulf64 - 21 Oct 2018, 17:09.

[Guest_Matyu_*]

As-tu constaté que le SIP est réactivé d'office, lors d'une mise à jour système ?

Je n'utilise pas la beta 10.14.1, je n'ai donc pas fait de mise à jour système. Je suis en 10.14
Il y a une commande qui permet de vérifier le statut de SIP à tout moment.
Je comprends l'argument de la sécurité et je peux réactiver SIP à tout moment.

C'est simple : menu  / informations système / rubrique Logiciel --> ligne en bas : "Protection de l'intégrité du système : activée (ou désactivée).

…

Salut. Merci pour l'info. En ce qui me concerne je tape la commande csrutil status dans le terminal.
Mon SIP est toujours désactivé, aucune catastrophe ne s'est produite.
J'ai également modifié un paramètre pour téléchager des applications d'où je veux.
"Allow apps downloaded from: Anywhere"


Ce message a été modifié par Matyu - 21 Oct 2018, 17:14.

[Ulf64]

J'ai également modifié un paramètre pour téléchager des applications d'où je veux.
"Allow apps downloaded from: Anywhere"

Pareil pour moi.

[_Panta]

J'ai également modifié un paramètre pour téléchager des applications d'où je veux.
"Allow apps downloaded from: Anywhere"

Ca rien à voir avec SIP mais avec Gatekeeper.
C'est quand même dingue de voir les mecs se plaindre de trop de sécurité , et qui seront les premiers à venir chouiner ... SI vous avez besoin de désactiver le SIP, c'est que vous êtes une cible, ca me trou le c** que vous ne le compreniez pas ... Alors les excuses "rien ne m'est arrivé" ça marche pas pour moi, ma voiture ne ferme plus à clef depuis une bonne dizaine d'année, j'ai jamais rien eu non plus -- mais bon, libre à chacun de laisser ses portes ouvertes, mais faudra pas venir faire les kékés malheureux derriere ... Ca me fait penser aux abrutis anti-vaccins qui ne pensent qu'a eux et qui ont une visions bornée et étroite du probleme .. Et 50 ans après ma naissance, on retrouve des maladies disparues depuis un demi siècle du fait de ce genre de comportement irresponsable . ;;;

Ce message a été modifié par _Panta - 21 Oct 2018, 19:25.

[Guest_Matyu_*]

J'ai également modifié un paramètre pour téléchager des applications d'où je veux.
"Allow apps downloaded from: Anywhere"

Ca rien à voir avec SIP mais avec Gatekeeper.

Oui, je sais. J'ai également désactivé Gatekeeper.

Ce message a été modifié par Matyu - 21 Oct 2018, 19:54.

[_Panta]

Veuillez excuser svp mon ton sarcastique du post précédent. Chacun peut bien faire comme il veut, je trouve simplement dommage de ne pas bien utiliser ces protections; toute sécurité est une contrainte , de fermer sa porte de voiture, ou mettre en route l'alarme de sa maison, jusqu'a "sortir couvert". Mais c'est pas fait pour vous ennuyer, et autant j'ai beaucoup à reprocher à Apple, il est un fait indéniable c'est que l'utilisateur lambda est irresponsable.

[g4hd]

Si Apple travaillait un peu mieux à protéger tout en permettant quelques personnalisations cosmétiques ou divertissantes… ben c’est probable qu’on ne chercherait pas à contourner les idées bornées de Jony Ive, par exemple.

Et qu’il ne soit pas raconté des balivernes pour prétendre que c’est impossible !

[Ulf64]

Essaye cette commande depuis la Recovery pour activer que partiellement le SIP:

Code

csrutil enable --without debug

Je ne sais pas si ça fonctionne encore sous Mojave ou qu'Apple a fermé la porte.
En principe il y a 2 paramètres qui ne sont pas activés.

Code

System Integrity Protection status: enabled (Custom Configuration).

Configuration:
    Apple Internal: disabled
    Kext Signing: enabled
    Filesystem Protections: enabled
    Debugging Restrictions: disabled
    DTrace Restrictions: enabled
    NVRAM Protections: enabled

This is an unsupported configuration, likely to break in the future and leave your machine in an unknown state.

Peut-être que ça répond à tes besoins de personalisation.

[g4hd]

Essaye cette commande depuis la Recovery pour activer que partiellement le SIP:

Code

csrutil enable --without debug

…/…
Peut-être que ça répond à tes besoins de personnalisation.

Ça fonctionne au poil comme je le souhaite sur mon portable sous Mojave dont l'accès au recovery est possible, l'activation partielle du SIP est bien telle que décrite :
Apple Internal: disabled
Debugging Restrictions: disabled
Et les autres protections sont actives, ce qui me va bien !
Avec le message que cette configuration pourra disparaitre plus tard.

Au niveau des informations système : Protection de l'intégrité du système : activée.
1er test : modifier les icones de plusieurs dossiers sans difficulté (comme avant Mavericks) : ça roule !

[Ulf64]

J'ai trouvé l'option non documentée par Apple ici
J'utilise Xtrafinder depuis des années et ne peux plus m'en passer.