2100335

System Integrity Protection: El Capitan bringt neue Sicherheitsrestriktionen

20.07.2016 | 11:00 Uhr | Claus Becker

Kein Betriebssystem ist absolut sicher. Apple nimmt sich diese Kenntnis zu Herzen, und riegelt OS X mehr ab als je zuvor.

Die letzte gr├Â├čere Sicherheitsl├╝cke in Yosemite ist nicht all zu lange her, und seit der Ver├Âffentlichung vom E-Mail Verkehr des HackingTeams ist eines gewiss: Absolute Sicherheit ist nicht m├Âglich. Mit OS X 10.11 El Capitan geht Apple aber einen Schritt weiter und f├╝hrt die System Integrity Protection ein.

System Integrity Protection

Die System Integrity Protection verhindert die Schreibzugriffe auf Systemordner. Selbst Administratoren k├Ânnen auf die Systemordner /System, /bin, /usr und /sbin nicht mehr zugreifen. F├╝r versierte Anwender sind dies Bereiche, in dem sie das System zu ihrem Gunsten ver├Ąndern k├Ânnen: In diesem englischsprachigem WWDC-Video erkl├Ąrt Apple die Funktion im Detai l.

Mit El Capitan sind Systemordner nicht mehr beschreibbar. Dazu gehören /System, /bin, /usr und /sbin. Der Library-Ordner sowie der Programmeordner sind weiterhin zugänglich für Lese- und Schreibzugriffe.
Vergr├Â├čern Mit El Capitan sind Systemordner nicht mehr beschreibbar. Dazu geh├Âren /System, /bin, /usr und /sbin. Der Library-Ordner sowie der Programmeordner sind weiterhin zug├Ąnglich f├╝r Lese- und Schreibzugriffe.

Doch nicht nur Systemadministratoren haben hier das Nachsehen: Beliebte Anwendungen wie Total Finder , die durch das Ablegen von Dateien in diesen Ordnern Systemanwendungen erm├Âglichen, haben seit El Capitan ein echtes Problem. Wie unter iOS ist es so nicht mehr m├Âglich, Anwendungen zu entwickeln die gewisse Systemeigenschaften besitzen, beziehungsweise diese ver├Ąndern.

Ist OS X das neue iOS?

Seit der Einführung des Mac App Store müssen Nutzer explizit einstellen, auch Anwendungen von Drittanbietern installieren zu dürfen. Jetzt kommt mit System Integrity Protection ein weiterer Mechanismus hinzu, der gesamte Systemanwendungen und den Schreibzugriff auf Systemdateien verbietet. Es ist also keine falsche These, dass Apple nun auch OS X so abriegelt wie es bisher mit  iOS der Fall ist.

System Integrity Protection kann auch deaktiviert werden. Dazu fährt man den Mac in die Wiederherstellungspartition hoch, und wählt das neue Sicherheitskonfigurationsprogramm aus. Der Schutz ist anschließend systemweit deaktiviert, und bleibt dies auch bis zur erneuten manuellen Aktivierung.
Vergr├Â├čern System Integrity Protection kann auch deaktiviert werden. Dazu f├Ąhrt man den Mac in die Wiederherstellungspartition hoch, und w├Ąhlt das neue Sicherheitskonfigurationsprogramm aus. Der Schutz ist anschlie├čend systemweit deaktiviert, und bleibt dies auch bis zur erneuten manuellen Aktivierung.

Die gute Nachricht ist jedoch: Die Systemschutzfunktion kann deaktiviert werden. Dazu muss der Nutzer beim Hochfahren die Wiederherstellungspartition ausw├Ąhlen. Hier bietet Apple einen neuen Men├╝eintrag an, der die Sicherheitsfunktion systemweit deaktiviert. Anschlie├čend hat der Nutzer wieder die M├Âglichkeit, Systemdateien zu ver├Ąndern.

Was bewegt Apple zu dieser Ma├čnahme?

Sicherheit ist immer ein Drahtseilakt zwischen Offenheit und Grenzziehung. Die Installation einer sch├Ądlichen Anwendung ist nicht ohne Weiteres sp├╝rbar, selbst f├╝r versierte Anwender. Hat ein Angreifer also erst einmal den Schadcode auf dem Mac platziert, hat er anschlie├čend volle Kontrolle auf alle Aktivit├Ąten des Benutzers. Genau hier greift der neue Schutz.

Selbst wenn ein Angreifer es schafft, eine sch├Ądliche Anwendung zu installieren, so hat er anschlie├čend keinen Zugriff auf das System selbst. Hier kann bisher auch Code platziert werden, der eine komplette Neuinstallation des Betriebssystems ├╝berdauert und somit echten Schaden anrichten kann. Durch die neue Barriere kann selbst mit einer Passworteingabe nichts mehr in Systemordnern platziert werden. Versierte Anwender haben aber weiterhin die Option, den Mechanismus zu deaktivieren. Auch ist es weiterhin m├Âglich, sogenannte Kernelerweiterungen zu installieren, ab El Capitan jedoch nur wenn man zuvor eine von Apple signierte Datei vorweisen kann.

Aktivieren oder Deaktivieren?

Selbst die Entwickler von Total Finder, deren Anwendung direkt vom neuen Konzept betroffen ist, zeigen sich erfreut ├╝ber die Entwicklung . Laut deren Aussagen versuchen sie gerade, einen Weg zu finden, um die Anwendung trotzdem lauff├Ąhig f├╝r El Capitan zu bekommen. Eine Option h├Ąlt man sich jedoch offen: Die Bitte zur Deaktivierung des Schutzes.

Der neue Schutzmechanismus ist ein notwendiger Schritt, um einen tiefgreifenden Schutz zu gewährleisten. Apple trennt endlich sauber zwischen System- und Benutzeranwendung. Mit der Option der Deaktivierung ist außerhalb die Freiheit erhalten, wie gehabt mit dem System zu arbeiten.
Vergr├Â├čern Der neue Schutzmechanismus ist ein notwendiger Schritt, um einen tiefgreifenden Schutz zu gew├Ąhrleisten. Apple trennt endlich sauber zwischen System- und Benutzeranwendung. Mit der Option der Deaktivierung ist au├čerhalb die Freiheit erhalten, wie gehabt mit dem System zu arbeiten.

Ein abgeriegeltes System bringt auch immer etwas Bevormundung mit sich. In diesem Fall ergibt es aber durchaus Sinn. Die Systemdateien sind nicht versteckt, und k├Ânnen weiterhin eingesehen werden. Nutzer von Systemtools sollten sich also fragen ob derartige Anwendungen wirklich n├Âtig sind, und mit welchen Risiken der Einsatz verbunden ist. System Integrity Protection sollte also nur im Ausnahmefall deaktiviert werden.

Macwelt Marktplatz

2100335