Le système de protection de l'intégrité du système (SIP) d'Apple

[Ulf64]

Apple communique très peu et très vague quant aux éléments du système et l'impact d'un SIP activé sur ces derniers.

Notre cher modo Baron a rédigé une FAQ quant à l'activation / désactivation du SIP. Très bonne initiative au vu de ce qui précède.
https://forum.macbidouille.com/index.php?showtopic=414742

Toutefois, je suggère de compléter cette FAQ des éléments du système impactés par le SIP

Code

System Integrity Protection

Items:

Apple Internal
Kext Signing
Filesystem Protections
Debugging Restrictions
DTrace Restrictions
NVRAM Protections
BaseSystem Verification

Et par les options de la commande csrutil connus à ce jour (pas tous documentés par Apple):

Code

usage: csrutil <command>
Modify the System Integrity Protection configuration. All configuration changes apply to the entire machine.
Available commands:

    clear
        Clear the existing configuration. Only available in Recovery OS.
    disable
        Disable the protection on the machine. Only available in Recovery OS.
    enable
        Enable the protection on the machine. Only available in Recovery OS.
    --without debug
        Not enable Apple internal and Debugging Restrictions.
    --without fs
        Not enable Filesystem Protections.
    status
        Display the current configuration.

    netboot
        add <address>
        Insert a new IPv4 address in the list of allowed NetBoot sources.
        list
        Print the list of allowed NetBoot sources.
        remove <address>
        Remove an IPv4 address from the list of allowed NetBoot sources.

La Recovery donnant accès à la commande "csrutil" peut être locale pour une machine tournant sous MacOS 10.11 et supérieur, ou WEB si le Mac a été livré nativement avec 10.11 et supérieur.

Donc pas de WEB-Recovery avec la commande "csrutil" pour les Mac livrés avec 10.7, 10.8, 10.9 et 10.10

Ce message a été modifié par Ulf64 - 16 Jan 2020, 17:23.

[Ulf64]

Apple communique très peu et très vague quant aux éléments du système et l'impact d'un SIP activé sur ces derniers.

Notre cher modo Baron a rédigé une FAQ quant à l'activation / désactivation du SIP. Très bonne initiative au vu de ce qui précède.
https://forum.macbidouille.com/index.php?showtopic=414742

Toutefois, je suggère de compléter cette FAQ des éléments du système impactés par le SIP

Code

System Integrity Protection

Items:

Apple Internal
Kext Signing
Filesystem Protections
Debugging Restrictions
DTrace Restrictions
NVRAM Protections
BaseSystem Verification

Et par les options de la commande csrutil connus à ce jour (pas tous documentés par Apple):

Code

usage: csrutil <command>
Modify the System Integrity Protection configuration. All configuration changes apply to the entire machine.
Available commands:

    clear
        Clear the existing configuration. Only available in Recovery OS.
    disable
        Disable the protection on the machine. Only available in Recovery OS.
    enable
        Enable the protection on the machine. Only available in Recovery OS.
    --without debug
        Not enable Apple internal and Debugging Restrictions.
    --without fs
        Not enable Filesystem Protections.
    status
        Display the current configuration.

    netboot
        add <address>
        Insert a new IPv4 address in the list of allowed NetBoot sources.
        list
        Print the list of allowed NetBoot sources.
        remove <address>
        Remove an IPv4 address from the list of allowed NetBoot sources.

La Recovery donnant accès à la commande "csrutil" peut être locale pour une machine tournant sous MacOS 10.11 et supérieur, ou WEB si le Mac a été livré nativement avec 10.11 et supérieur.

Suite à mon passage à Catalina quelques remarques:
Alors que ma configuration personnalisée (custom) des paramètres SIP a été jugée comme SIP activé par Mojave, Catalina ne reconnait pas la configuration (unknow) et juge le SIP comme désactivé.
 SIP_Custom_Mojave_Terminal.jpg ( 41.61 Ko ) Nombre de téléchargements : 10
 SIP_Custom_Mojave_infoSys.jpg ( 38.85 Ko ) Nombre de téléchargements : 8


 SIP_Custum_Catalina_Terminal.jpg ( 24.97 Ko ) Nombre de téléchargements : 8
 SIP_Custum_Catalina_infoSys.jpg ( 24.21 Ko ) Nombre de téléchargements : 11


La question est:
Est-ce que les paramètres "enable" sont actifs sous Catalina ou pas.
Dans le infos système, peut-être que Catalina juge le SIP activé seulement si tous les paramètres sont "enable"
Il faudrait tester avec une extension système (KEXT) non-signée. Il faut alors s'assurer que cette KEXT est bien chargée au boot une fois que le SIP est totalement désactivé et ne l'est pas avec la config custom.
Je n'ai pas ça sous la main. Si un Macbidouiileur peut prendre la relève . . .