GateKeeper pozwala mi na zainstalowanie czegokolwiek, żadne kontrole nie są wykonywane

Mogę pobierać aplikacje z niestandardowych stron internetowych i uruchamiać je, nawet jeśli ustawienia mojego strażnika są w „AppStore Only”. To jest moja aplikacja - nawet nie jest podpisana.

Co może być tego przyczyną? Mogę odtworzyć to zachowanie na wszystkich moich 3 komputerach Mac.

Jest to funkcja zgodna z projektem, w której administrator może zawsze zastąpić Gatekeeper i otworzyć aplikację, klikając prawym przyciskiem myszy aplikację w Finderze.

Administrator może również zmienić ustawienia Strażnika Wędrówki lub całkowicie je wyłączyć, więc nie ma żadnej realnej szkody (przynajmniej w moich oczach) w prezentowaniu jednorazowego okna dialogowego z białą listą, aby upewnić się, że administrator zamierza zezwolić na niezgodność (nie podpisany) lub inną niż Mac App Store) do uruchomienia.

Teraz, jeśli znalazłeś sposób na obejście Gatekeepera przez użytkownika niebędącego administratorem, spodziewam się, że zgłoszenie luki w zabezpieczeniach w Apple dostanie uznanie za znalezienie dziury po usunięciu ewentualnego błędu implementacji, aby umożliwić uruchomienie aplikacji zasad.

Apple dokumentuje tę funkcję dogłębnie na temat jawnego umieszczenia aplikacji na białej liście.

• OS X: O Gatekeeper

Gatekeeper nie stanowi ochrony przed złośliwym oprogramowaniem ani czarnej listy. Jest to zestaw zasad, które pozwalają na pierwsze uruchomienie poprawnie podpisanych aplikacji i / lub weryfikację potwierdzeń w sklepie Mac App Store. Jeśli użytkownik administratora wyraźnie uruchomi, a następnie zatwierdzi uruchomienie niezgodnego oprogramowania, masz problem edukacyjny lub problem z polityką, a nie ujawnienie jakiejś wady w Gatekeeper.

Szczegółowo streściłem (i w większości skopiowałem) odpowiednie sekcje pomocy Apple'a na temat białej listy dowolnej aplikacji, aby Gatekeeper pozwolił jej działać bez przeszkód i bezproblemowo:

Jak otworzyć aplikację od niezidentyfikowanego programisty i zwolnić ją od Gatekeeper

Jeśli masz pewność, że aplikacja pobrana z Internetu jest najnowszą wersją i pochodzi ze źródła, któremu ufasz, możesz otworzyć aplikację od niezidentyfikowanego programisty, wykonując następujące kroki.

Ważne: niektóre aplikacje Apple od programistów, którzy są w trakcie pozyskiwania podpisów ID deweloperów, będą wyświetlać opcję „Otwórz” po dwukrotnym kliknięciu.

Uwaga: w większości przypadków dla wszystkich kont użytkowników na komputerze Mac wystarczy wykonać te czynności tylko raz:

• W Finderze kliknij z wciśniętym klawiszem Control lub prawym przyciskiem myszy ikonę aplikacji.
• Wybierz Otwórz z góry wyświetlonego menu kontekstowego.
• Kliknij Otwórz w oknie dialogowym. Jeśli pojawi się monit, wprowadź nazwę administratora i hasło.

Uwaga: jeśli istnieje aplikacja, która wyświetla wiele okien dialogowych Gatekeepera, możesz tymczasowo użyć opcji „Zawsze” Gatekeepera. Pamiętaj, aby przywrócić wcześniej dostępną opcję Gatekeeper, aby przywrócić funkcję Gatekeeper.

Możesz łatwo kontrolować, kto może umieszczać aplikacje na białej liście, nie przekazując nazw użytkowników i haseł Administratorom użytkownikom, którzy nie są świadomi tej funkcji, a także możesz zarządzać gatekeeperem z terminala lub menedżera profili i innych programów zarządzanych ustawień, takich jak Casper z JAMF. Możesz także skontrolować swoje maszyny pod kątem oprogramowania, które znajduje się na białej liście, aby okresowo resetować listę dozwolonych aplikacji i określić, kto wykonuje tę funkcję w przypadku, gdy chcesz zmienić zasady i nawyki.

Pobieranie pliku przez SMB nie spowoduje kwarantanny, a ponieważ aplikacja nie jest poddana kwarantannie, zasady strażnika nigdy nie są sprawdzane. Nie jestem pewien, dlaczego na innych komputerach jest oznaczony jako poddany kwarantannie ...

Aby sprawdzić kwarantannę w dowolnym momencie, użyj ls -ld@polecenia, aby wyszukać atrybut com.apple.quarantine:

$ ls -ld@ /Applications/TextWrangler.app
drwxrwxr-x@ 3 gordon  staff  102 Apr 30  2012 /Applications/TextWrangler.app
    com.apple.FinderInfo     32 
    com.apple.quarantine     57 

Jeśli ten atrybut kwarantanny jest dołączony do aplikacji, zasady strażnika zostaną sprawdzone; jeśli nie, nie będzie. Interesujące pytanie brzmi: dlaczego zostało ono poddane kwarantannie na innych komputerach, a jeśli użyjesz tego polecenia, aby sprawdzić aplikację w różnych punktach podczas jej dystrybucji, możesz dowiedzieć się, kiedy atrybut jest dołączany (i dlatego dlaczego jest dołączany).

EDYCJA: Uwaga na ten temat znajduje się w sekcji „Kliknij tutaj, aby uzyskać więcej informacji” w artykule Apple's KB # HT5290 :

Ważne: podpis ID dewelopera dotyczy aplikacji pobranych z Internetu. Aplikacje z innych źródeł, takich jak serwery plików, napędy zewnętrzne lub dyski optyczne, są zwolnione, chyba że aplikacje zostały pierwotnie pobrane z Internetu.

Jeśli włączyłeś tę ukrytą preferencję, spowoduje to również wyłączenie Gatekeeper:

defaults write com.apple.LaunchServices LSQuarantine -bool false

Lub OS X umożliwia otwieranie wszystkich aplikacji niezależnie od ustawienia w Preferencjach systemowych.

Gatekeeper uniemożliwia uruchamianie aplikacji poprzez dwukrotne kliknięcie, ale zawsze możesz go zastąpić, wybierając Otwórz z menu kontekstowego.

Jeśli możesz uruchomić pobrane niepodpisane aplikacje przez dwukrotne kliknięcie, jest to problem z Gatekeeper. Pliki przechowują status kwarantanny w rozszerzonym atrybucie o nazwie com.apple.quarantine . Jeśli z jakiegoś powodu ten atrybut zostanie usunięty z pobranych plików, Gatekeeper potraktuje pobrane pliki tak, jak nie różnią się od innych plików na twoim komputerze. Sugeruję więc, aby pobrać program, a następnie użyć go xattr -l filenamew Terminalu, byłoby dobrym narzędziem diagnostycznym, jeśli masz zainstalowany Xcode.

Jeśli uruchomisz je za pomocą polecenia Otwórz z menu, jest to zaprojektowane zachowanie. Pamiętaj, że po uruchomieniu programu z menu można go zawsze uruchomić, klikając dwukrotnie, niezależnie od ustawień Strażnika.