Sécurité : Apple impose un peu plus Gatekeeper
Dans OS X Yosemite, Apple a mis en place une nouvelle mesure pour imposer Gatekeeper. Rappelons d'abord à quoi sert cette fonction. Pour renforcer la sécurité du Mac, Apple a introduit dans Lion 10.7.5 et Mountain Lion un dispositif baptisé Gatekeeper. Quand on veut ouvrir une application téléchargée en dehors du Mac App Store, Gatekeeper vérifie la signature numérique du logiciel qui est liée à un identifiant de développeur enregistré auprès d'Apple. Si une application a été développée par un développeur non identifié ou a subi des modifications après sa signature, Gatekeeper empêche son exécution.
Ce dispositif est activé par défaut depuis ses débuts, mais dans les préférences de sécurité, on peut choisir de le désactiver en autorisant les applications téléchargées de « N'importe où ».
Nous avons récemment remarqué un changement quand on sélectionne cette option. Le système indique maintenant qu'il va « réinitialiser automatiquement cette sélection si elle n'est pas utilisée pendant 30 jours ». Autrement dit, si on n'ouvre pas une application venant d'un développeur inconnu au moins une fois par mois, Gatekeeper est rétabli (c'est donc l'option « Mac App Store et développeurs identifiés » qui se recoche toute seule). Avant Yosemite, le choix « N'importe où » était définitif.
Pour mémoire, OS X donne tout de même la possibilité de lancer individuellement une application non signée quand Gatekeeper est activé. Il faut cliquer l'application en maintenant la touche Control enfoncée et en sélectionnant « Ouvrir ».
Apple c'est de plus en plus Microsoft, marre de la police!
@szurke1 :
Ça prévient l'exécution d'applications indésirables.
Et si d'aventure une telle application devait contenir un code malicieux, le développeur est connu.
Maintenant si vous préfèrez que tout et n'importe quoi s'exécute sur votre machine, l'option est désactivable comme indiqué dans l'article.
Ca prévient surtout les applications qu'apple juge indésirables selon leurs propres critères qui ne sont pas obligatoirement des critères sécuritaires. Ca fait une sacrée nuance.
Oui mais, si c'est le cas ONYX est une application indésirable. Est-ce le cas ?
exact
@ Darth Philou : « Maintenant si vous préfèrez que tout et n'importe quoi s'exécute sur votre machine, l'option est désactivable comme indiqué dans l’article. »
Non. Comme indiqué dans l’article, justement, cette option n’est plus désactivable de manière permanente.
Quand on active l'option "Mac App Store et développeurs identifiés" et qu'on telecharge certaines applications non signées, ca dit que le fichier est endommagé et il le met dans la corbeille. Alors que non, quand on clique sur ouvrir dans les préférences ça fonctionne très bien
Quand Gatekeeper signale que l'application est endommagé, c'est que l'application est signée mais que le contenu ne correspond pas à la signature.
Ce qui arrive souvent dans les applications piratées.
Comme dit Loicd ! Si Gatekeeper signale que l'application est endommagée, c'est que l'application est signée mais que le contenu ne correspond pas à la signature : l'application devient alors très douteuse.
Douteuse ne signifie pas nécessairement dangereuse, mais cela signifie qu'il faut s'interroger. Par exemple, lorsqu'on installait la francisation de LibreOffice avant de l'avoir démarré pour la première fois (et donc que GateKeeper ait fait sa vérification), l'application ne correspondait plus à la signature et LibreOffice était jeté à la Corbeille d'emblée. La raison étant que la rustine de francisation modifie l'application, la solution est de démarrer LibreOffice d'abord, puis de l'installer après avoir quitté (ce bogue a été corrigé depuis par Libre Office). C'est ennuyeux, mais cela oblige à s'interroger sur les raisons du dysfonctionnement. Si on trouve la raison, tant mieux, mais sinon, vaut mieux devenir méfiant. Car même un connaisseur peut se faire passer un sapin sous le nez !
C'est très bien car des fois on est obligé de le désactiver pour installer une application et après, on oublie de le réactiver.
@ demop : « C'est très bien car des fois on est obligé de le désactiver pour installer une application et après, on oublie de le réactiver. »
On n’est jamais obligé de désactiver Gatekeeper pour lancer (et non installer) une application non signée.
Si on est au courant de la technique tordue proposée par Apple, on affiche juste un menu contextuel sur l’application et on choisir « Ouvrir » dans ce menu.
Si on n’est pas au courant ou qu’on a du mal avec le concept d’article de menu au titre parfaitement identique mais faisant deux actions différentes selon la façon dont on a fait apparaître le menu contextuel le contenant (le rédacteur des HIG d’Inside Mac volume 1 doit avoir fait un infarctus en voyant ce genre de délire), alors on tente de lancer normalement l’application, on tombe sur un dialogue disant qu’on ne peut pas et qu’il faut se rendre dans les préférences système pour modifier ça, on y va, et là on voit un bouton proposant de lancer cette application malgré tout, sans avoir à modifier le moins du monde le réglage de Gatekeeper.
Du coup, forcer ceux qui ont désactivé cette fonction en toute connaissance de cause à retourner régulièrement la désactiver, c’est lourd.
Bon, tant pis, on fera un coup de cron pour vérifier régulièrement l’état de Gatekeeper et le désactiver au besoin… ;-)
C'est une bonne idée ce retour automatique à des paramètres plus sécurisé si aucune utilisation en 30 jours. Ça peut éviter une mauvaise surprise. Et au quotidien, que l'on utilise une app non signée tous les jours ou que l'on ne fasse qu'une fois et plus jamais ensuite, ça ne gênera pas l'utilisateur.
L'idée est bonne, mais ceci devrait être une option à cocher, plutôt qu'être imposée.
@DrHouse64 :
Il font comme ça par souci de simplicité je pense. C'est pas le genre d'Apple de proposer 30 000 options paramétrables.
Je n'ai jamais téléchargé une seule application sur le Mac App Store, je vais systématiquement sur le site de l'éditeur ou à défaut sur un site qui le propose. Marre d'Apple qui nous impose tout c'est pas ça le "think different", normalement c'est la liberté..
"c'est pas ça le "think different", normalement c'est la liberté.."
C'est tout ce qu'on veut, du moment que c'est différent d'autre chose.
Apple et liberté dans la même phrase... Si tu veux de la liberté il faut prendre tout sauf Apple !
"think different", c'est un vieux slogan publicitaire, prenez le comme :
"Seb c'est bien", "Quick, nous c'est le goût", ...
Ce genre de mesures sont extrêmement urgentes. Apple devrait en prendre d'autres, comme activer le coupe-feu par défaut (le coupe-feu est désactivé par défaut dans OS X !), ou proposer des mises-à-jour pour ces anciens systèmes. C'est très urgent, car le monde entier est en train de passer sous Mac, et le monde entier c'est principalement des personnes qui ne comprennent rien à la sécurité, qui téléchargent n'importe quoi sur des sites louches pour ne rien avoir à payer, et qui pour l'instant étaient sous Windows.
Donc non le Mac n'est pas en train de devenir Windows : c'est bien pire que ça, parce que dans Windows vous avez quelques éléments de défense par défaut, et des correctifs réguliers !
Le coup-feu activé par défaut est une très mauvaise idée. Il est plus simple de chercher à bloquer un service que de chercher pourquoi un service est bloqué, surtout quand on découvre OS X.
les noob vont pleurer
Il n'y a là aucun scandale. C'est même une très bonne idée. De toute façon, Gatekeeper est désactivable à la volée, au cas par cas, lorsque l'on démarre une application non signée pour la première fois.
Le mieux reste d'autoriser au coup par coup, c'est pas vraiment contraignant d'autoriser une application à se lancer une première fois.
Je trouve leur idée plutôt bonne et bienveillante.
Mouais, çà commence à faire un peu beaucoup de ressemblances avec ce qu'était le méchant Microsoft des années 90.
Certains médias scandinaves rapportent un évènement qui n'a pas encore fait la Une ici : Apple ferait pression sur les éditeurs de musique pour qu'ils cessent de diffuser de la musique gratuite (avec pub) sur Spotify. En prévision du lancement prochain de leur service musical payant. Et l'on retrouve l'obscure raison pour laquelle ils ont supprimé iTunes DJ depuis iTunes 11. C'était donc çà : pour ne pas faire d'ombre à leur future radio payante. Car iTunes DJ était tellement pratique et génial que j'ai encore en permanence un Mac qui tourne sur Snow Leopard avec iTunes 10.7 ... et iTunes DJ.
Cette pression sur les éditeurs de musique intéresse d'ailleurs les autorités US (département de la justice ainsi que la FTC) qui viennent de lancer une investigation. Une affaire qui pourrait faire du bruit, car cette manoeuvre viserait à affaiblir les concurrents potentiels de la Pomme, la musique gratuite avec pub étant - paraît-il - un gros argument pour attirer les clients de Spotify.
L'info a été reprise ici même (ou sur igen).
Pages