Gatekeeper : Sierra n’acceptera que les logiciels signés

Nicolas Furno |

Apple a modifié les règles du jeu pour la distribution de logiciels sur Mac. Avec macOS Sierra, il ne reste plus que deux canaux autorisés par défaut : le Mac App Store et les applications signées avec un certificat Apple. Jusque-là, on pouvait désactiver totalement Gatekeeper et ouvrir n’importe quelle application sans sécurité. Mais l’option « N’importe où » a été retirée des Préférences Système avec macOS 10.12.

macOS Sierra ne propose plus d’ouvrir les applications téléchargées depuis internet, sans certificat d’Apple. — Cliquer pour agrandir
macOS Sierra ne propose plus d’ouvrir les applications téléchargées depuis internet, sans certificat d’Apple. — Cliquer pour agrandir

Cela ne veut pas dire que l’on ne pourra plus du tout ouvrir un logiciel non certifié. Un clic secondaire sur l’icône de l’application puis « Ouvrir » devrait toujours permettre de passer outre les restrictions, mais c’est une étape supplémentaire qui peut vite devenir contraignante. Ajoutons que la première bêta autorise toutes les applications quoi qu’il arrive, mais ce comportement ne devrait pas changer.

Une ligne de commande devrait toutefois permettre de retrouver le réglage que l’on avait auparavant dans l’interface d’OS X. De fait, ce que Sierra retire, c’est surtout l’option affichée et facile à activer. Les utilisateurs avancés qui souhaiteront ouvrir n’importe quelle application pourront toujours le faire, mais ce sera un frein de plus pour le grand public. Apple incite de plus en plus les développeurs à certifier leurs logiciels, ce qui est payant.

Par ailleurs, la bêta 1 conserve le réglage « N’importe où » si on l'avait activé sur El Capitan et on peut imaginer que ce sera le cas à la sortie de la version finale. En cas de mise à jour, le comportement de macOS ne changera peut-être pas.

avatar iGeek07 | 

@laurent41 :
Apparement c'est le cas si tu avais l'option 3 (tout autoriser) de cochée avant de faire la mise à jour. Si tu changes d'option, quitte la fenêtre et y retourne, l'option 3 aura disparue.

avatar laurent41 | 

Ok, alors je ne touche a rien. Merci

avatar jo2s | 

Quid des exécutables installés du côté UNIX de macOS avec des gestionnaires de paquets tels que brew ?

avatar oomu | 

ça marche.
Brew s'occupe de tout et les programmes installés via lui sont autorisés.

Le Terminal peut les executer, étant lui même autorisé à le faire, et si vos fichiers sont dans des dossiers non système (/usr/local peut être autorisé) et que vous en êtes le propriétaire unix.

Un binaire créé par compilation locale est évidemment déjà hors quarantaine.

Le finder ne pourra pas exécuter un binaire récupéré d'internet, car le binaire aura l'attribut étendu com.apple.quarantine

Si l'autoriser via clic droit est un soucis
xattr -d com.apple.quarantine Chemin_Du_Fichier
supprimera la quarantaine.

-
vous pouvez tester avec http://www.ffmpegmac.net comment cela se passe avec des binaires compilés non signés.
(si ffmpegmac se fait pirater et que ce sont de Gros Trojans Bien Baveux, ce n'est PAS MA FAUTE !)

avatar byte_order | 

Et comme y'a fort a parier qu'un trojan ne passera pas par un téléchargement mais, justement, via les différentes failles qui permettent quand même d'amener un exécutable sous macOS sans qu'il soit mis en quarantaine, je trouve cette modification (sauf si c'est une régression involontaire, finalement) autant alarmante que risible, car c'est de l'affichage plus que de la sécurité vraiment efficace...

avatar oomu | 

Non.

et je trouve votre propos spécieux. Comme de jeter les mains en l'air en disant "borf, autant crever".

Et je ne comprends pas comment vous pouvez interpréter Brew comme une faille ou un canal de diffusion de trojan.

Le point est qu'un ordinateur ne doit PAS devenir une BRIQUE MAIS être Explicite et Fiable pour un utilisateur, SON utilisateur.

Brew ou Fink ou autre, faut le _VOULOIR_ pour l'installer. Suivre une longue procédure, passer par le terminal, savoir ce qu'on fait, et sciemment taper des commandes amenant des logiciels. Bref, pas le truc fait mollement par accident après avoir ouvert en urgence un mail entre sa tartine et le café pendant que le chien aboie et PAF.. ho non le trojan !

NON !

avatar byte_order | 

> Brew ou Fink ou autre, faut le _VOULOIR_ pour l'installer.

Oui

> Suivre une longue procédure,

Oui

> passer par le terminal,

Oui

> savoir ce qu'on fait,
> et sciemment taper des commandes amenant des logiciels.

Non.
L'utilisateur peut très bien être en train de suivre un tutoriel d'installation indiquant les commandes à taper sans avoir la moindre conscience des éventuels risques sécuritaires potentiels derriere.

C'est vrai pour Brew comme c'est vrai pour Aptitude, yum ou tout autre techno de packaging autorisant l'ajout de dépôts tiers.
Ou même via un git, tout bêtement.

Et ça, GateKeeper ne captera pas; option forcée ou pas.
C'est en cela que je trouve cela surtout de l'affichage. GateKeeper ne surveille qu'une seule porte d'entrée.

Par définition, les devs de malware vont fatalement chercher a exploiter d'autres portes moins surveillées.

C'est en cela que je dit que cette sur-protection de l'utilisateur est plus de l'affichage qu'autre chose. Mais elle a des conséquences sur le sentiment de sécurité faussement induit mais, effet secondaire, elle pousse le client a accepter petit à petit un abandon du contrôle, chose qu'il n'accepterait pas si c'était imposé brutalement, frontalement.

Et cette prise de contrôle a des conséquences financières et juridiques non négligeables.
Comme l'annulation d'une licence d'utilisation à vie d'un logiciel.
Comme de faire payer un service de certification que vous avez rendu petit à petit obligatoire où l'autorité de certification est juge et partie et intéressé financierement.

Enfin, pour rappel, l'utilisateur n'est pas QUE utilisateur de l'ordinateur, il en est également propriétaire ainsi que la licence d'utilisation de l'OS installé dessus, et ce à vie
Vous ne pouvez pas décréter que pour son bien il est logique de l'amener petit à petit à accepter de céder le contrôle de ce qu'il a le droit de faire dessus ou pas.
C'est lui seul qui a ce droit.

avatar ti chen | 

Onyx débloquera tous sa

avatar Le docteur | 

Le titre ne serait pas un peu racoleur, non ?
D'autant plus en ce qui me concerne que j'installe tous les logiciels non signés avec la méthode clic droit/ouvrir.
Si Apple faisait vraiment ce que vous mettez en titre, ce serait la fin de ma période Apple garanti sur facture (déjà que j'y songe de plus en plus sérieusement).
Mais dans l'absolu si on peut encore installer au coup par coup des logiciels je trouve ça encore assez logique,même si effectivement ça risque de barrer la route de pas mal de logiciels pour ceux qui ne font pas de recherches pour trouver ce "truc".

avatar Moonwalker | 

Très bonne chose.

avatar Avenger | 

"Un clic secondaire sur l’icône de l’application puis « Ouvrir » devrait toujours permettre de passer outre les restrictions, mais c’est une étape supplémentaire qui peut vite devenir contraignante. "

C'est pas comme si on installait toutes les 10 minutes une application non signée. Ce n'est pas plus contraignant que de devoir mettre le mot de passe administrateur lors de certaines installations et/ou mises à jour.

Ce sera vraiment contraignant le jour où Apple déciderait d'interdire purement et simplement l'installation d'une application non signée.

avatar byte_order | 

> Ce sera vraiment contraignant le jour où Apple déciderait d'interdire purement
> et simplement l'installation d'une application non signée.

Même pas. Puisqu'a la place y'aura juste une boite d'alerte notifiant que le lancement de cette application est refusée car jugée non sûre, la contrainte d'une étape supplémentaire n'existe même pas.

Apple ne peut évidement pas le faire maintenant, l'usage du MAS et des signatures n'étant pas assez ultra majoritaire pour cela.

Mais Apple peut avoir la volonté de toute faire pour amener l'utilisateur a considérer que c'est pour son bien, et pour cela il suffit de brandir le risque sécuritaire.

Cette carte est tellement usée que cela ne cesse de m'étonner a quel point les gens la gobe sans voir les effets secondaires du tout sécuritaire. C'est pourtant pas faute d'avoir des exemples dans la passé.

avatar iPoivre | 

@C1rc3@0rc :
Ouais je suis pas d'accord avec toi.

macOS est plus capable que jamais, plutôt performant (plus qu'un Windows ou qu'une distribution Linux mal gérée) et aussi ouvert qu'avant.

Une option supprimée (qui serait un bug d'ailleurs selon certains commentaires) ne signe certainement pas la fin du Mac tel que nous le connaissons.

Ce n'est pas la fin du open source, les gros projets utilisés par le grand public ont un système de donation ou de financement qui leur permet de subvenir à tous leurs besoins financiers (le compte développer pour les SDK et les certificats, l'hébergement et la maintenance du site, les quelques emplois qui gèrent la communication ou les finances, etc). Pas de perte d'utilisation ni de visibilité pour ces projets.

Les petits projets sont quand à eux réservés à des professionnels capables de gérer le manque de certificats Apple pour les utiliser.

Voilà, pour moi le système n'arrête pas de s'améliorer et il est plus stable que ce que beaucoup racontent (ou alors j'ai de la chance). Je l'utilise dans mon boulot de dev web tous les jours et je peux faire tout ce dont j'ai besoin.

Le problème se situe par contre de plus en plus côté matériel, où ceux qui cherchent performances et longévité ne trouvent plus leur compte (et c'est sûrement une majorité d'entres nous ici), mais ce n'est pas le sujet ici.

avatar byte_order | 

> Les petits projets sont quand à eux réservés à des professionnels
> capables de gérer le manque de certificats Apple pour les utiliser.

Ah.
Donc on a pas le droit de distribuer des petites apps grand public, selon vous ?

Aucun intérêt à proposer une application bien foutue en open source, gratuite, mais faite par une personne et qui ne souhaite ni le mettre sur MAS ni se payer un Developer ID ?

Madame Michu, quand elle verra que cette application qui avait l'air bien foutue sur le site web où elle l'a trouvé, affiche lors de son lancement une alerte comme quoi, non, cette application n'est pas autorisée à s'exécuter car il y a un risque (présomption de culpabilité, au passage, car y'a absolument aucun test qui est fait pour l'affirmer) qu'elle comporte un malware, elle va en déduire quoi ?

- que tous ces petites applications qu'on trouve sur des sites web sont dangereuses ?
- que seules les applications sanctifiées par Apple sont sans danger ?
- que, tant pis, cette application moins adaptée mais proche sur le MAS, ben finalement, elle va l'installer (et ptet devoir l'acheter, du coup) ?
- que c'est pas grave car son fiston va lui refiler l'application qui marche sur son mac via une clé USB la prochaine qu'il viendra et hop, cela marchera ? Ou elle va lui téléphoner pour savoir si y'a un moyen pour contourner ce blocage ?

Y'a derrière cette pseudo sécurisation, qui ne surveille que les applications téléchargées via des applications supportant la mise en quarantaine pour rappel, un impact évident sur la distribution indépendante d'applications sans coût autre que son hébergement sur Internet, et une dégradation artificielle de l'image de ce type d'applications.

Si Apple acceptait des MAS alternatifs, si signer des apps pouvait être fait par d'autres autorités plus indépendantes qu'elle, on pourrait se dire qu'il n'y a pas de risque d'abus de position pour renforcer l'usage de *son* MAS à son profit.

La sécurité ne justifie pas tout.

avatar iPoivre | 

@byte_order :
Non mais faut arrêter de croire que le compte dev est la seule dépense de n'importe qui qui fait un projet...

L'hébergement et la maintenance du site, c'est pas gratuit... Et pour que Mme Michu le trouve il faut qu'il soit référencé correctement, donc d'autres coûts. C'est impossible de faire un projet sans ne jamais rien payer...

Et bien souvent le compte développeur Apple n'est qu'une petite dépense par rapport au reste.

Arrête de sortir de faux arguments dans lesquels personne dans le milieu du développement ne se retrouve...

avatar byte_order | 

> Arrête de sortir de faux arguments dans lesquels personne dans le milieu du
> développement ne se retrouve...

Vous parlez du milieu du développement *rémunéré*. Et de "projets" a but commercial.

Moi pas.
Et, non, faire simplement héberger des applications sur un site web cela ne coûte pas $99 par an, pas quand le sul but est de le distribuer sans intérêt particulier à l'audience de vos applications.
Mais signer les applications produites et donc avoir son Developer ID, si.

Mais ptet que vous considerez que ce type de projet non commerciaux de taille individuel n'ont pas leur place dans l'écosystème du Mac, finalement ?

avatar powerjaja | 

Ça commence à devenir sérieusement inquiétant...
Je vois bien le calendrier suivant :
En 2017 : le clic droit > ouvrir disparaît et il faut jouer du Terminal pour pouvoir installer des appli non signées
En 2020 : les appli signées ne peuvent plus non plus être installées directement, sauf en passant par un menu un peu caché que le grand publique ne connaît pas
En 2025 : Apple ferme totalement son système et n'autorise plus que l'App Store, comme sur les iDevices.

avatar alecail | 

Je garde ton commentaire pour le ressortir en 2017, 2020, et 2025 et voir si tes prédictions se sont réalisées, Nostradamus !

avatar Mike Mac | 

Scénario plausible !

En attendant, sur ma partition Windows 10, je viens de faire tourner Winmorph, outil gratuit, pour créer un morphing sur une vidéo.

Cette application datant de 2002, d'une incroyable légèreté de 4,7 Mo, a démarré tout de suite et s'est avérée très fiable à l'usage.

D'ailleurs, je ne l'ai pas récupérée par le Windows Store. Elle n'est signée en rien, et ne m'a suggéré aucune restriction à l'installation.

Pourvu que cela dure !

avatar Un Type Vrai | 

Y'a quand même un manque de recul évident dans les commentaires.

1) Cette "option" affaiblit le mac en permanence et sans contrôle [de ce qui peut-être ouvert à notre insu, c'est bien le problème]
2) On peut connaitre l'auteur d'une application, la télécharger sur son site et qu'elle soit dangereuse. Autant profiter de l'expérience malheureuse des autres humains*
3) Il faut aller plus vitre CONTRE les malware. La signature est un bon moyen d'aller SUPER VITE.
4) On a l'info ! Bordel de merde. On SAIT pourquoi une application signée est bloquée. Donc le jour ou la raison sera "Fait de l'ombre à notre magnifique logiciel iWeb**" on pourra gueuler comme des porcs qu'on égorge. En attendant ...
5) Vous êtes déjà tombé sur une application signée et bloquée ?
6) La qualité logicielle a montré une chose : l'applicatif n'est JAMAIS parfait (sauf Tex)

Enfin, si ça se trouve, Apple est dans la réflexion d'ouvrir iOS aux applications tiers. Et le fait de "forcer" les applications a être signée est un grand pas en avant pour ça. le mac rendrait à l'iPhone la disparition de flash en faisant disparaitre les applications non signées.

* Une application signée qui a un bug méchant [genre : corruption des préférences systèmes d'impression - Brother 2010] peut-être bloquée par le développeur rapidement.
Et une vielle archive qui fonctionnait sur telle version de OSX, mais qui est dangereuse sur telle version de macOS ne sera plus exécutable.

** Oui, Apple va resortir iWeb des cartons :D

avatar byte_order | 

> On a l'info ! Bordel de merde. On SAIT pourquoi une application signée est bloquée

On a l'info que Apple remonte.
On ne sait pas si c'est vrai. Ni si c'est la seule. Ni si c'est justifié techniquement ou pas.

C'est le principe avec la délégation à une autorité tierce : vous acceptez qu'elle soit votre autorité de référence pour vérifier quelque chose.

Mais qui contrôle que l'autorité en question est vraiment de confiance ? Qu'elle n'abuse pas de sa position ? Que sa décision est toujours motivé par l'intérêt du client ?

> * Une application signée qui a un bug méchant [genre : corruption des
> préférences systèmes d'impression - Brother 2010] peut-être bloquée par le développeur
> rapidement.

Ouais. Mais la même méthode permet également à une développeur de rendre obsolète des versions précédentes d'une application, invalidant une licence d'utilisation pourtant à vie.
Comme à chaque fois, ce que l'on permet pour des raisons de sécurité permet également des abus qui empiète sur des droits.

Encore une fois, la seule personne qui a le droit de choisir, c'est l'utilisateur. Quand on décide à sa place "pour son bien", même avec les meilleures intentions du monde, on lui vole son droit.

> Et une vielle archive qui fonctionnait sur telle version de OSX,
> mais qui est dangereuse sur telle version de macOS ne sera plus exécutable.

Et de quel droit vous vous permettez de protéger quelqu'un d'un risque sans l'avertir au préalable et sans lui laisser le choix de courir le risque ou pas ?

Apple n'est pas notre maman, et ses clients ne sont pas ses enfants, mais l'attitude d'Apple et de ceux qui défendent toutes ses décisions consiste à infantiliser par défaut (d’où les choix par défaut voir l'absence de choix par défaut).

La dumbification et l'enfermement "pour votre sécurité" sont dans le même bateau Marketing depuis quelque temps déjà.

avatar DrJonesTHX | 

@byte_order :
1

avatar DouceProp | 

Hold the door !

avatar inumerix | 

Apple commence à me les briser menues !!! Il font juste chier !!!
Cette dérive sécuritaire commence à m'inquiéter sérieusement.

avatar Moonwalker | 

Les Cassandre de Prisunic et autres parano-libristes me font bien rire.

Vous connaissez le chemin => GNU.

Ne demandez pas à Apple d'appliquer les principes de Stallman et inutile de venir nous les prêcher ici.

ON S'EN CARRE !

On aime le logiciel privatif, on en bouffe tous les jours. Le bondage au CLUF ça nous fait bander. Sinon on ne serait pas là à parler des machines Apple.

Et malgré vos prédictions déjà abondamment servies en janvier 2011, Apple me permet toujours d'installer les programmes que je veux. Grâce à quoi elle conserve ma clientèle.

avatar byte_order | 

"Jusqu'ici ça va" est très bon argument dans un débat sur la mécanisme de sécurité et les effets pervers ou abusifs.

A ressortir a propos de la porte blindée des avions contrôlable que de l'intérieur du poste de pilotage, tiens.

avatar Moonwalker | 

Comparons ce qui est comparable, merci. Ça t'évitera déjà de manquer de respect envers les victimes du vol Germanwings et leurs familles.

Si Apple réserve un jour l'installation d'applications aux seules certifiées, ce qui n'est pas le cas ici, il suffira de dire au revoir à Apple. Ce n'est pas un drame.

Tout ce que tu as écris ici n'a aucun bon sens. Tu es à des kilomètres des préoccupations pratiques des macusers. Le problème aujourd'hui ce n'est pas la fermeture supposée de macOS mais la prolifération des malwares, les logiciels trafiqués sur les plateformes de téléchargement et les logiciels officiels qui planquent des adwares pour se financer.

Le fait est que certains désactivent Gatekeeper sans savoir qu'il existe une manière simple et plus sûre d'installer les logiciels non signés, et même qu'il n'est pas rare de voir sur les forums techniques certains intervenants mal inspirés conseiller d'agir au niveau des préférence système. Si Apple supprime cette option dans Sierra (cela reste à confirmer avec la version finale dans quelques mois), ce sera déjà bien des problèmes évités.

L'information est disponible pour qui en a besoin :
https://support.apple.com/fr-fr/HT202491

Il existe aussi une aide sur OS X.

Si la politique d'Apple te défrise, encore une fois, va sur GNU-Linux, compile toi-même ton OS à partir d'un code source dont tu auras personnellement ausculté chaque ligne.

avatar MLforAll | 

J'ai personnellement fait deux installations de Sierra : une mise à jour sur mon MacBook Pro et une installation sur mon Hackintosh sur une seconde partition.

Dans le deuxième cas, Gatekeeper était activé mais non désactivable. En parcourant le net rapidement, j'ai pu connaitre la commande à utiliser pur désactiver Gatekeeper même sans l'option dans l'UI.

sudo spctl --master-disable

OS X/macOS et les systèmes Linux ont, contrairement à Windows, un Terminal utile. Si l'option n'est pas présente dans l'interface graphique, cela ne veut pas dire tout autant qu'elle n'est pas disponible!

J'espère quand même qu'Apple ne fera jamais l'erreur d'empêcher la désactivation de Gatekeepe même par le biais de ligne(s) de commande dans les beta futures de macOS Sierra et/ou avec les prochaines versions de macOS.

avatar iPoivre | 

@MLforAll :
L'installation s'est bien passé sur ton Hackintosh, tout marche toujours correctement ?

avatar MLforAll | 

L'installation c'est en effet bien passée. Je n'utilise pas macOS Sierra au quotidien car la beta 1 n'est pas des plus stables. Donc je l'ai juste installé dans une seconde partition. Mon système principal est OS X El Capitan pour le moment.

Le problème avec les Hackintosh, c'est que les patch à appliquer diffèrent selon le matériel. Il faut donc s'habituer à la machine qu'on a et se documenter pour savoir comment régler un problème et quels patch appliquer. Mais je n'ai pas du changer les patch à appliquer depuis El Capitan. Pour Sierra, Clover EFI ne supportait pas l'injection de kexts quand je l'ai installé donc j'ai du installer les patch essentiels (a.k.a FakeSMC) dans sierraPartition/S/L/E

Et pour anecdote, sur ce Hackintosh, l'installation d'OS X à été plus facile que celle de Windows 8.1 (que j'ai installé juste au cas ou -- je ne l'utilise jamais). J'ai du prendre le SSD, le mètre dans un autre PC, utiliser une carte SD qui émule l'UEFI (car mon hackintosh possède ce type de BIOS mais pas le PC que j'ai utilisé pour installer Windows)... bref, tout un bordel (l'installation de Windows est génial -- /! sarcasme)

avatar Kensei68 | 

Ben moi je trouve ça pas si mal si ça permet d’être moins emm...dé par ces foutus hackers et leurs malwares.

Je me suis fait véroler un PC récemment par un "ransomware" et je pense pourtant être un utilisateur averti (cette saloperie est arrivée sur ma boite mail après qu'un vil malandrin ait "spoofé" notre nom de domaine). J'ai bêtement cliqué trop vite et c'était fait !

Alors OK, c'est pas méchant, tu restaures ta bécane et une sauvegarde, mais alors qu'est ce que ça fait perdre comme temps...

avatar Vaillant | 

P.-S. : Pour ceux qui ont une version de Mac OS X 10.7.5 et supérieur,
vous devez modifier les paramètres de Gatekeeper pour exécuter un programme.

Vous pouvez désactiver Gatekeeper à l'aide de cette commande dans le terminal :

sudo spctl --master-disable

A+
;)

Pages

CONNEXION UTILISATEUR