Sécurité : Apple impose un peu plus Gatekeeper
Dans OS X Yosemite, Apple a mis en place une nouvelle mesure pour imposer Gatekeeper. Rappelons d'abord à quoi sert cette fonction. Pour renforcer la sécurité du Mac, Apple a introduit dans Lion 10.7.5 et Mountain Lion un dispositif baptisé Gatekeeper. Quand on veut ouvrir une application téléchargée en dehors du Mac App Store, Gatekeeper vérifie la signature numérique du logiciel qui est liée à un identifiant de développeur enregistré auprès d'Apple. Si une application a été développée par un développeur non identifié ou a subi des modifications après sa signature, Gatekeeper empêche son exécution.
Ce dispositif est activé par défaut depuis ses débuts, mais dans les préférences de sécurité, on peut choisir de le désactiver en autorisant les applications téléchargées de « N'importe où ».
Nous avons récemment remarqué un changement quand on sélectionne cette option. Le système indique maintenant qu'il va « réinitialiser automatiquement cette sélection si elle n'est pas utilisée pendant 30 jours ». Autrement dit, si on n'ouvre pas une application venant d'un développeur inconnu au moins une fois par mois, Gatekeeper est rétabli (c'est donc l'option « Mac App Store et développeurs identifiés » qui se recoche toute seule). Avant Yosemite, le choix « N'importe où » était définitif.
Pour mémoire, OS X donne tout de même la possibilité de lancer individuellement une application non signée quand Gatekeeper est activé. Il faut cliquer l'application en maintenant la touche Control enfoncée et en sélectionnant « Ouvrir ».
Apple c'est de plus en plus Microsoft, marre de la police!
@szurke1 :
Ça prévient l'exécution d'applications indésirables.
Et si d'aventure une telle application devait contenir un code malicieux, le développeur est connu.
Maintenant si vous préfèrez que tout et n'importe quoi s'exécute sur votre machine, l'option est désactivable comme indiqué dans l'article.
Ca prévient surtout les applications qu'apple juge indésirables selon leurs propres critères qui ne sont pas obligatoirement des critères sécuritaires. Ca fait une sacrée nuance.
Oui mais, si c'est le cas ONYX est une application indésirable. Est-ce le cas ?
exact
@ Darth Philou : « Maintenant si vous préfèrez que tout et n'importe quoi s'exécute sur votre machine, l'option est désactivable comme indiqué dans l’article. »
Non. Comme indiqué dans l’article, justement, cette option n’est plus désactivable de manière permanente.
Quand on active l'option "Mac App Store et développeurs identifiés" et qu'on telecharge certaines applications non signées, ca dit que le fichier est endommagé et il le met dans la corbeille. Alors que non, quand on clique sur ouvrir dans les préférences ça fonctionne très bien
Quand Gatekeeper signale que l'application est endommagé, c'est que l'application est signée mais que le contenu ne correspond pas à la signature.
Ce qui arrive souvent dans les applications piratées.
Comme dit Loicd ! Si Gatekeeper signale que l'application est endommagée, c'est que l'application est signée mais que le contenu ne correspond pas à la signature : l'application devient alors très douteuse.
Douteuse ne signifie pas nécessairement dangereuse, mais cela signifie qu'il faut s'interroger. Par exemple, lorsqu'on installait la francisation de LibreOffice avant de l'avoir démarré pour la première fois (et donc que GateKeeper ait fait sa vérification), l'application ne correspondait plus à la signature et LibreOffice était jeté à la Corbeille d'emblée. La raison étant que la rustine de francisation modifie l'application, la solution est de démarrer LibreOffice d'abord, puis de l'installer après avoir quitté (ce bogue a été corrigé depuis par Libre Office). C'est ennuyeux, mais cela oblige à s'interroger sur les raisons du dysfonctionnement. Si on trouve la raison, tant mieux, mais sinon, vaut mieux devenir méfiant. Car même un connaisseur peut se faire passer un sapin sous le nez !
C'est très bien car des fois on est obligé de le désactiver pour installer une application et après, on oublie de le réactiver.
@ demop : « C'est très bien car des fois on est obligé de le désactiver pour installer une application et après, on oublie de le réactiver. »
On n’est jamais obligé de désactiver Gatekeeper pour lancer (et non installer) une application non signée.
Si on est au courant de la technique tordue proposée par Apple, on affiche juste un menu contextuel sur l’application et on choisir « Ouvrir » dans ce menu.
Si on n’est pas au courant ou qu’on a du mal avec le concept d’article de menu au titre parfaitement identique mais faisant deux actions différentes selon la façon dont on a fait apparaître le menu contextuel le contenant (le rédacteur des HIG d’Inside Mac volume 1 doit avoir fait un infarctus en voyant ce genre de délire), alors on tente de lancer normalement l’application, on tombe sur un dialogue disant qu’on ne peut pas et qu’il faut se rendre dans les préférences système pour modifier ça, on y va, et là on voit un bouton proposant de lancer cette application malgré tout, sans avoir à modifier le moins du monde le réglage de Gatekeeper.
Du coup, forcer ceux qui ont désactivé cette fonction en toute connaissance de cause à retourner régulièrement la désactiver, c’est lourd.
Bon, tant pis, on fera un coup de cron pour vérifier régulièrement l’état de Gatekeeper et le désactiver au besoin… ;-)
C'est une bonne idée ce retour automatique à des paramètres plus sécurisé si aucune utilisation en 30 jours. Ça peut éviter une mauvaise surprise. Et au quotidien, que l'on utilise une app non signée tous les jours ou que l'on ne fasse qu'une fois et plus jamais ensuite, ça ne gênera pas l'utilisateur.
L'idée est bonne, mais ceci devrait être une option à cocher, plutôt qu'être imposée.
@DrHouse64 :
Il font comme ça par souci de simplicité je pense. C'est pas le genre d'Apple de proposer 30 000 options paramétrables.
Je n'ai jamais téléchargé une seule application sur le Mac App Store, je vais systématiquement sur le site de l'éditeur ou à défaut sur un site qui le propose. Marre d'Apple qui nous impose tout c'est pas ça le "think different", normalement c'est la liberté..
"c'est pas ça le "think different", normalement c'est la liberté.."
C'est tout ce qu'on veut, du moment que c'est différent d'autre chose.
Apple et liberté dans la même phrase... Si tu veux de la liberté il faut prendre tout sauf Apple !
"think different", c'est un vieux slogan publicitaire, prenez le comme :
"Seb c'est bien", "Quick, nous c'est le goût", ...
Ce genre de mesures sont extrêmement urgentes. Apple devrait en prendre d'autres, comme activer le coupe-feu par défaut (le coupe-feu est désactivé par défaut dans OS X !), ou proposer des mises-à-jour pour ces anciens systèmes. C'est très urgent, car le monde entier est en train de passer sous Mac, et le monde entier c'est principalement des personnes qui ne comprennent rien à la sécurité, qui téléchargent n'importe quoi sur des sites louches pour ne rien avoir à payer, et qui pour l'instant étaient sous Windows.
Donc non le Mac n'est pas en train de devenir Windows : c'est bien pire que ça, parce que dans Windows vous avez quelques éléments de défense par défaut, et des correctifs réguliers !
Le coup-feu activé par défaut est une très mauvaise idée. Il est plus simple de chercher à bloquer un service que de chercher pourquoi un service est bloqué, surtout quand on découvre OS X.
les noob vont pleurer
Il n'y a là aucun scandale. C'est même une très bonne idée. De toute façon, Gatekeeper est désactivable à la volée, au cas par cas, lorsque l'on démarre une application non signée pour la première fois.
Le mieux reste d'autoriser au coup par coup, c'est pas vraiment contraignant d'autoriser une application à se lancer une première fois.
Je trouve leur idée plutôt bonne et bienveillante.
Mouais, çà commence à faire un peu beaucoup de ressemblances avec ce qu'était le méchant Microsoft des années 90.
Certains médias scandinaves rapportent un évènement qui n'a pas encore fait la Une ici : Apple ferait pression sur les éditeurs de musique pour qu'ils cessent de diffuser de la musique gratuite (avec pub) sur Spotify. En prévision du lancement prochain de leur service musical payant. Et l'on retrouve l'obscure raison pour laquelle ils ont supprimé iTunes DJ depuis iTunes 11. C'était donc çà : pour ne pas faire d'ombre à leur future radio payante. Car iTunes DJ était tellement pratique et génial que j'ai encore en permanence un Mac qui tourne sur Snow Leopard avec iTunes 10.7 ... et iTunes DJ.
Cette pression sur les éditeurs de musique intéresse d'ailleurs les autorités US (département de la justice ainsi que la FTC) qui viennent de lancer une investigation. Une affaire qui pourrait faire du bruit, car cette manoeuvre viserait à affaiblir les concurrents potentiels de la Pomme, la musique gratuite avec pub étant - paraît-il - un gros argument pour attirer les clients de Spotify.
L'info a été reprise ici même (ou sur igen).
@bibi81
En effet, je n'avais pas remarqué, vu que je ne vais pas souvent sur igen, mais la nouvelle mériterait d'attirer aussi l'attention des Mac users :
* https://www.igen.fr/itunes/2015/05/la-ftc-sinteresse-aussi-la-relance-de-beats-music-91092
Encore un pas de plus vers le but d'Apple: uniquement rendre possible l'installation des app qu'elle aura approuvées et surtout qui viennent de son store. 10.11: Gatekeeper imposé, au nom de la sécurité, quelle blague! Si Apple se soucie vraiment de la sécurité, alors qu'elle assure la maintenance des OSX d'avant Yosemite.
Avoir ainsi une boite de dialogue abscon signalant un paquet endommagé alors que le système n'en sais rien, est malhonnête, anxiogène et infantilisant. Cela ne respecte pas le choix fait par l'utilisateur.
A force de vouloir imposer tout par la force selon ses critères fallacieux (gatekeeper ou encore récemment son modèle de stream musical) Apple risque de se manger des procédures d'abus de position dominante à la pelle. Et franchement ils vont finir par le mériter.
@ Shadokuss : Gatekeeper n’a rien à voir avec la restriction d’usage aux seules applications « approuvées » par Apple. En effet, dans son réglage par défaut, il limite le lancement (et non l’installation, encore une fois) aux applications distribuées via l’App Store (donc, pour le coup, approuvées par Apple) ET aux applications venus d’ailleurs mais signées par un développeur identifié auprès d’Apple (donc des applications qui n’ont en rien passé un quelconque test d’approbation par Apple).
Pour l’instant, malgré le côté contraignant (et stupide, à mon avis) de cette évolution de Gatekeeper, on reste donc très loin de la théorie du complot du « tout App Store ».
« Avoir ainsi une boite de dialogue abscon signalant un paquet endommagé alors que le système n'en sais rien, est malhonnête, anxiogène et infantilisant. »
Pas du tout : ce message apparaît si une application a été modifiée après signature par son développeur, donc par une personne tierce. Ça vaut tout à fait le coup de le signaler et de présenter cette application comme endommagée, car c’est très probablement le cas.
Et si jamais c’est l’utilisateur lui-même qui a fait cette modification, ben il est au courant et ne sera pas angoissé par ce message.
Cet aspect-là de Gatekeeper est utile et plutôt bien fait.
Le majeur problème de Gatekeeper c'est que ce système de gestion de droits et signature numérique ne gère qu'Apple comme autorité de certification. A partir de la, c'est une bien mauvaise solution qui devrait être rejeté par les clients et partenaires d'Apple.
@ lmouillart : « A partir de la, c'est une bien mauvaise solution qui devrait être rejeté par les clients et partenaires d’Apple. »
Non.
On peut trouver que ça en fait une approche incomplète, mais je ne vois pas pourquoi on considèrerait ça comme tellement mauvais qu’on voudrait purement et simplement rejeter ce système. C’est très subjectif, comme conclusion.
Nous sommes en train de perdre OS X pour un iOS X ..
Doucement mais sûrement...
Ben je ne trouve pas que ce soit si lent que ça... Déjà en 2010 quelques uns annonçaient la couleur que d'aucuns niaient avec la dernière énergie.
On voit maintenant ce qu"il en est, et ça s'est rudement accéléré. Sans s'améliorer en parallèle au contraire, je ne me souviens pas d'avoir jamais assisté à une évolution aussi chaotique en même tant qu'une dégradation. Win$ n'a jamais fait "aussi bien".
Mais tant que ça plait aux iRavis et que ça rapporte un max, pourquoi changeraient-ils ?