Le système de protection de l'intégrité du système (SIP) d'Apple

[Ulf64]

Apple communique très peu et très vague quant aux éléments du système et l'impact d'un SIP activé sur ces derniers.

Notre cher modo Baron a rédigé une FAQ quant à l'activation / désactivation du SIP. Très bonne initiative au vu de ce qui précède.
https://forum.macbidouille.com/index.php?showtopic=414742

Toutefois, je suggère de compléter cette FAQ des éléments du système impactés par le SIP

Code

System Integrity Protection

Items:

Apple Internal
Kext Signing
Filesystem Protections
Debugging Restrictions
DTrace Restrictions
NVRAM Protections
BaseSystem Verification

Et par les options de la commande csrutil connus à ce jour (pas tous documentés par Apple):

Code

usage: csrutil <command>
Modify the System Integrity Protection configuration. All configuration changes apply to the entire machine.
Available commands:

    clear
        Clear the existing configuration. Only available in Recovery OS.
    disable
        Disable the protection on the machine. Only available in Recovery OS.
    enable
        Enable the protection on the machine. Only available in Recovery OS.
    --without debug
        Not enable Apple internal and Debugging Restrictions.
    --without fs
        Not enable Filesystem Protections.
    status
        Display the current configuration.

    netboot
        add <address>
        Insert a new IPv4 address in the list of allowed NetBoot sources.
        list
        Print the list of allowed NetBoot sources.
        remove <address>
        Remove an IPv4 address from the list of allowed NetBoot sources.

La Recovery donnant accès à la commande "csrutil" peut être locale pour une machine tournant sous MacOS 10.11 et supérieur, ou WEB si le Mac a été livré nativement avec 10.11 et supérieur.

Donc pas de WEB-Recovery avec la commande "csrutil" pour les Mac livrés avec 10.7, 10.8, 10.9 et 10.10

Ce message a été modifié par Ulf64 - 16 Jan 2020, 17:23.

[jeanjd63]

La Recovery donnant accès à la commande "csrutil" peut être locale pour une machine tournant sous MacOS 10.11 et supérieur, ou WEB si le Mac a été livré nativement avec 10.11 et supérieur.

Donc pas de WEB-Recovery avec la commande "csrutil" pour les Mac livrés avec 10.7, 10.8, 10.9 et 10.10

Pas tout à fait exact.
Le démarrage en mode Internet Recovery a été un peu remanié : https://support.apple.com/fr-fr/HT204904

Là je viens de démarrer mon iMac fin 2013 livré avec Maverick en mode internet recovery et si je regarde la version du système téléchargé, j'obtiens ceci :

Code

-bash-3.2# sw_vers
ProductName:    Mac OS X
ProductVersion:    10.15.2
BuildVersion:    19C57
-bash-3.2#

Donc c'est la version Catalina 10.15.2 qui a été téléchargée.
Si j'avais voulu la version "originale" du Mac, il aurait fallu que je démarre en appuyant sur : cmd+alt+maj+r

Et donc sur une machine livrée avec Maverick, compatible avec Catalina c'est la dernière version compatible avec la machine qui est téléchargée, quelque soit la version installée sur le Mac.

Et voici ce que me renvoie csrutil :

Code

-bash-3.2# sw_vers
ProductName:    Mac OS X
ProductVersion:    10.15.2
BuildVersion:    19C57
-bash-3.2# csrutil status
System Integrity Protection status: enabled (Apple Internal).
-bash-3.2#

J'envoie les infos directement depuis Safari, parfaitement utilisable en mode Recovery par la commande suivante, toujours dans notre cher terminal :

Code

-bash-3.2# /Applications/Safari.app/Contents/MacOS/Safari

Voilà voilà.

[Ulf64]

La Recovery donnant accès à la commande "csrutil" peut être locale pour une machine tournant sous MacOS 10.11 et supérieur, ou WEB si le Mac a été livré nativement avec 10.11 et supérieur.

Donc pas de WEB-Recovery avec la commande "csrutil" pour les Mac livrés avec 10.7, 10.8, 10.9 et 10.10

Pas tout à fait exact.
Le démarrage en mode Internet Recovery a été un peu remanié : https://support.apple.com/fr-fr/HT204904

T'as raison, mais le remaniement n'est pas très vieux (moins d'un mois, d'après la page support). Alors merci de l'info.
La clé USB d'installation système devient alors complètement inutile.

Ce message a été modifié par Ulf64 - 17 Jan 2020, 02:07.

[jeanjd63]

T'as raison, mais le remaniement n'est pas très vieux (moins d'un mois, d'après la page support). Alors merci de l'info.
La clé USB d'installation système devient alors complètement inutile.

Cela date de plus d'un an me semble-t-il. Ici en avril 2018 il y est fait référence https://www.macplanete.com/dossiers/29914/d...n-mode-recovery

Quand à la clé d'installation, elle reste indispensable en cas de liaison internet faiblarde. 5 à 6 Go à télécharger en cas de panne ça peut prendre du temps et devenir stressant.

Et pour en revenir au SIP perso je n'ai jamais eu de problème et je ne l'ai désactivé que très rarement. Installation de FUSE par exemple.
En mode Recovery et sans toucher au SIP, sur Catalina, il est tout à fait possible d'effectuer des modifications sur la partition système "Macintosh HD" montée en lecture seule lors du lancement du système.
Par contre, comme toujours, il faut faire attention à ce que l'on fait.

[Ulf64]

T'as raison, mais le remaniement n'est pas très vieux (moins d'un mois, d'après la page support). Alors merci de l'info.
La clé USB d'installation système devient alors complètement inutile.

Cela date de plus d'un an me semble-t-il. Ici en avril 2018 il y est fait référence https://www.macplanete.com/dossiers/29914/d...n-mode-recovery

Quand à la clé d'installation, elle reste indispensable en cas de liaison internet faiblarde. 5 à 6 Go à télécharger en cas de panne ça peut prendre du temps et devenir stressant.

Et pour en revenir au SIP perso je n'ai jamais eu de problème et je ne l'ai désactivé que très rarement. Installation de FUSE par exemple.
En mode Recovery et sans toucher au SIP, sur Catalina, il est tout à fait possible d'effectuer des modifications sur la partition système "Macintosh HD" montée en lecture seule lors du lancement du système.
Par contre, comme toujours, il faut faire attention à ce que l'on fait.

J'ai retrouvé une ancienne version de la page support datée du 9.5.2018 dans mes archives. Il y avait déjà les 3 options de touches mais il faillait au moins avoir tourné sous 10.12.4.

Quant au SIP, ma première confrontation était lors de la migration (en clean) de mon Mini 2014 sur EC.
En train de re-installer applications, utilitaires et pilotes je suis confronté à des blocages.
Comme j'active toujours le ROOT sur mes Mac, je lance une session ROOT. Et là, écran noir, plus que la souris qui bouge à l'écran.
Extinction forcée et et redémarage. Ouverture d'une session normale RAS.
En recherche d'explication, je tombe sur le SIP. -> Désactivation du SIP et ouverture d'une session ROOT -> RAS tout marche. -> Concéquence: SIP toujours désactivé.

Quelque temps après je veux vendre mon vieux iMac natif SL qui a tourné brièvement sous EC (banc d'essai).
DD vide, impossible de re-installer le système d'origine au moyen du DVD fourni avec l'iMac.
Après avoir tourné en rond un bon moment, l'histoire du SIP avec le Mini me revient en mémoire.
-> reinstallation de EC pour pouvoir désactiver le SIP puis démarrage sur le DVD d'installation, repartitionnement / formatage et installation de SL sans problème.

Actuellement, chez moi, le SIP n'est que partiellement activé. Les utilitaires et le ROOT fonctionnent. Et dans les infos système, le SIP apparaît comme activé -> tout va bien.