Gatekeeper : Sierra n’acceptera que les logiciels signés
Apple a modifié les règles du jeu pour la distribution de logiciels sur Mac. Avec macOS Sierra, il ne reste plus que deux canaux autorisés par défaut : le Mac App Store et les applications signées avec un certificat Apple. Jusque-là, on pouvait désactiver totalement Gatekeeper et ouvrir n’importe quelle application sans sécurité. Mais l’option « N’importe où » a été retirée des Préférences Système avec macOS 10.12.
Cela ne veut pas dire que l’on ne pourra plus du tout ouvrir un logiciel non certifié. Un clic secondaire sur l’icône de l’application puis « Ouvrir » devrait toujours permettre de passer outre les restrictions, mais c’est une étape supplémentaire qui peut vite devenir contraignante. Ajoutons que la première bêta autorise toutes les applications quoi qu’il arrive, mais ce comportement ne devrait pas changer.
Une ligne de commande devrait toutefois permettre de retrouver le réglage que l’on avait auparavant dans l’interface d’OS X. De fait, ce que Sierra retire, c’est surtout l’option affichée et facile à activer. Les utilisateurs avancés qui souhaiteront ouvrir n’importe quelle application pourront toujours le faire, mais ce sera un frein de plus pour le grand public. Apple incite de plus en plus les développeurs à certifier leurs logiciels, ce qui est payant.
Par ailleurs, la bêta 1 conserve le réglage « N’importe où » si on l'avait activé sur El Capitan et on peut imaginer que ce sera le cas à la sortie de la version finale. En cas de mise à jour, le comportement de macOS ne changera peut-être pas.
@patrick86
exact.. Mais c'est la suite qui est souvent "à examiner"..
Et souvent cela ne présage rien de bon..
Dès qu'un éditeur veut contrôler les logiciels installés sur les machines, c'est la politique des petits pas..
Et il le fait rarement contre lui même.. sauf si des voix s'élèvent..
@rikki finefleur :
Vivre dans la peur ne m'intéresse pas.
1) actuellement
2) grenouille, bouillir, comment, toussa.
Je dois développer ?
"1) actuellement"
Le passé n'existe plus et le futur n'existe pas encore. Seul le Présent est réel.
"2) grenouille, bouillir, comment, toussa.
Je dois développer ?"
Non, ne vous forcez pas. Ça ira, merci.
"Les amères leçons du passé doivent être réapprises sans cesse." - Albert Einstein
Mais les épreuves de philo son finies, je crains.
@byte_order :
Tirer les leçons du passé est extrêmement différent de vivre dans le passé ou le futur.
Personne ne vit dans le passé ni le futur.
Par définition, tout le monde vit dans le présent.
@byte_order :
Je n'ai aucun problème avec le Secure Boot s'il est desactivable quelque part dans l'UEFI. Le problème c'est que c'était plutôt : le boot doit être signé pour être reconnu par la carte mère, et vous ne pouvez pas désactiver la fonctionnalité, et Linux ne peut pas être signé. Tu vois la différence?
> Je n'ai aucun problème avec le Secure Boot s'il est desactivable quelque part dans l'UEFI
Pareil.
Et quelle tendance on a observé depuis l'apparition de ce mécanisme ?
1) Windows 8 : SecureBoot activée mais option désactivable autorisée
2) Windows 10 : SecureBoot activée mais option désactivable facultative
3) Windows 10+?: SecureBoot activée mais ... quoi ?
J'ai le droit de voir une tendance se dégager et craindre la disparition de l'option ?
Chat échaudé craint l'eau froide.
On notera au passage, que seul Ubuntu et Fedora, c.a.d. des versions de Linux ayant une certaine assise financière, ont obtenu d'avoir leur bootloader (shim) signé par Microsoft.
FreeBSD et tous les autres systèmes d'exploitations souffrent eux de la prise de contrôle par Microsoft (via sa clé installé sur toutes les cartes mères) de quel système d'exploitation peut s'exécuter dessus ou pas.
Donc si quelqu'un dans l'industrie adhère a une "tendance" c'est que tout le monde fait pareil?
J'ai compris ton argument, tu penses que quand un constructeur commence à fermer, c'est pour tout fermer à double tour in fine. Je ne pense pas que ce soit le cas pour Apple.
Je crois qu'on peut se mettre d'accord sur le fait que nous ne sommes pas d'accord sur ce point qui est subjectif de toutes façons :)
Accordez moi pour reconnaître au moins que parmi tous les acteurs du secteur, Apple n'est pas l'entreprise avec le meilleur historique en matière d'ouverture de plateforme et d'écosystème ouverts.
La tendance n'est pas nouvelle chez Apple, loin de là.
Pour rappel, Steve Jobs ne voulait pas entendre parler d'ouvrir l'iPhone aux développeurs tiers, initialement.
Elle n'était pas aussi marquée sur la plateforme "logicielle" Mac, mais depuis toujours sur la partie matérielle.
Je veux bien entendre l'argument d'alarmiste pessimiste, mais l'argument de la confiance, par contre, non.
"Apple n'est pas l'entreprise avec le meilleur historique en matière d'ouverture de plateforme et d'écosystème ouverts."
Personne ici ne prétends qu'Apple soit une entreprise résolument ouverte et que ça transparaitrait dans ses produits.
La réalité est : Apple n'est pas binaire.
Quand elle estime dans son intérêt d'être fermée, elle le fait.
Quand elle estime que son intérêt est, au contraire, d'être ouverte, elle le fait.
Il n'y a pas de réelle tendance globale vers une fermeture totale ou une ouverture complète. Apple se positionne entre les 2, là où ça lui plait.
> Quand elle estime dans son intérêt d'être fermée, elle le fait.
Difficile de ne pas voir dans les dernières évolutions matérielles des 2 dernières années que son intérêt soit que le Mac soit de plus en plus fermé, matériellement parlant.
Et je trouve, moi, que plusieurs signes semblent aller dans le même sens sur le plan logiciel.
Il me semble pas ahurissant de penser que le succès économique du contrôle très stricte du triangle iPhone / iOs / App Store peut avoir donner l'idée chez Apple de tenter d'amener la mac / macOS / MAS à se rapprocher de ce modèle économique à son tour, petit à petit, faute d'une mise en place dès le début.
@byte_order :
Est ce que tu ne peux plus exécuter tes logiciels? Non, tu peux toujours le faire, tu dois juste intervenir auprès du système d'exploitation pour lui expliquer que c'est bien ce que tu veux et que tu es au courant des risques.
ce que l'option d'avant permettait tout autant, sans me faire suer à chaque nouveau lancement d'une nouvelle application.
Le réglage serait devenu par utilisateur, cela aurait été nettement mieux.
Mais sous prétexte de protéger les éventuels utilisateurs "faibles" - pour reprendre l'expression lue plus haut ici - d'erreurs de jugements à l'insu de leur plein gré, on impose un One Fits All de plus.
Moi je développe sur mon mac. Je peux assumer de devoir réinstaller, restaurer si je fais une connerie.
Je ne vois pas en quoi entre mon usage et celui de madame michu y'a un One Fits All.
Pourtant, Apple veut me forcer à avaler le sien.
Je pense qu'on se dirige tout droit vers le modèle iOS des Apps.
C'est à dire des applications basées sur le modèle Freemium, bourrés de pubs et d'achat in-app.
Où se trouve cette "expérience utilisateur" chère à Apple ?
Attention lors des traductions, l'ordre des mots en anglais est inversé.
Il fallait lire "chère expérience utilisateur".
:-)
"Un peuple prêt à sacrifier un peu de liberté pour un peu de sécurité ne mérite ni l'une ni l'autre, et finit par perdre les deux."
Benjamin Franklin
Ce n'est qu'un clic droit qu'ils disent... putain mais le mac avt c'était SIMPLE !
@warmac33 :
A propos de la citation de Benjamin Franklin
https://anthony.nelzin.fr/carnet/liberte-et-securite-pourquoi-vous-devriez-probablement-arreter-de-citer-benjamin-franklin/
@warmac33 :
Oh nooon ! Pas encore cette p... de citation de BF à tort et à travers !! Quel délire.
Sinon, ils ont dit pendant une des conférences sur la sécurité de macOS 10.12 que c'était un bug connu de la premiere preview, et que ce réglage allait revenir dans les builds suivantes…
@bsr43 :
Voilà c'est ce que je dis. Mais les gens préfèrent râler sur la PREMIÈRE beta developpers sans aucune autre recherche que remarquer que l'option a disparu. Dans une beta (surtout la première) on se renseigne un minimum et consulte les relase note pour s'apercevoir que ce n'est qu'un retrait/bug temporaire.
Donc arrêtez de vous plaindre et attendez la ou les prochaine(s) beta!
Etrange bug.
Pour quelle raison quelqu'un chez Apple a coder l'apparition / disparition de cette troisième option dynamiquement selon la valeur actuellement configurée ?
Peut-être parce que le système sous-jacent a changé, et que le bouton ne fonctionnait plus correctement… pourquoi cette suspicion a priori, d'autant qu'Apple l'a tout de suite dit, avant même que qui que ce soit ne leur reproche :-)
J'ai vu sur M4E qu' "Apple indique dans les release notes [De la Developper Preview] que le bouton a « disparu » (et qu'il devrait donc revenir dans les prochaines betas)"
Il reviendra peut-être (je l'espère) sous une autre forme...
Ou c'est tour simplement des tests qui sont effectués
"Sierra n’acceptera que les logiciels signés" => ou comment rendre obsolète des milliers de périphériques dont on ne pourra plus installer les drivers qui n'auront pas été mis à jour pour Sierra.
c'est déjà le cas concernant les drivers (extensions kernel) depuis Yosemite (Os X 10.10) : kext signing.
et El Capitan a rajouté System Integrity Protection qui bloque toute modification du noyau et système.
passer en mode de secours du mac (commande+r) et dans le terminal:
csrutil disable
pour désactiver System Integrity Protection de El Capitan et charger les extensions non signées.
Ce n'est donc pas un soucis nouveau avec Sierra, mais un soucis qui existe depuis quelques années.
-
je dirais quand même que ne charger que des extensions signées est une bonne chose, car c'était un vecteur très efficace pour installer silencieusement un trojan et modifier profondément tout le système
Un pilote qui n'aurait pas été signé par le fabricant du matériel est signe d'un matériel abandonné, sans support, et les versions successives de macOs pourraient suffire pour rendre incompatible le vieux pilote.
Votre titre n'est pas correct et vous devriez avoir honte ! Mais on aime les clicks hein oui ?
Allons Allons, c'est le genre de méthode que Seccotine n'aurait pas renié ^_-
@byte_order :
Est ce que tu trouves également que Safari "force insidieusement" la vérification des certificats qui permettent de se connecter en HTTPS?
"- Ce n'est vraiment pas normal, on devrait pouvoir se connecter à n'importe quel site qui prétend être sécurisé sans que personne ne vérifie de certificat! C'est une atteinte à ma liberté de visiter les sites que je veux!
- Si tu veux vraiment le faire, tu peux dire à ton navigateur que tu es au courant des risques que ça implique tu sais?
- Oui mais on voit clairement que Apple va dans une direction liberticide parce que ça leur rapporte plus d'argent!"
… voilà une conversation qui j'espère te permet de mieux comprendre mon point de vue.
La volonté progressive d'imposer les certificats SSL, leur validation et le sérieux de tout le processus (et des intermédiaires...), et de faire peur aux utilisateurs avec des popups et réglages mystérieux pour passer outre est une tendance claire du but qu'ils visent... Il faudrait être aveugle pour ne pas la voir ^_-
oomu , tu veux dire les pourritures de certificat ??
Vu que je suis confronté actuellement a des certificats attachés a des softs qui sont désormais plus valides a cause de leur date de validité.
Et dont l'utilité dans ce cas, est proche du néant..
Certains certificats sont un réél problème pour l'obsolescence ou la réutilisation de nos matériels dans le futur..
Mais cela personne n'en parle.
@rikki finefleur :
Tout dépend s'il y a une manière de passer outre le certificat en disant "DANS LE CAS PRÉSENT, je sais ce que je fais, alors oublie le certificat"
Mais je reste convaincu que ça doit être du cas par cas.
iGeek07
Dans mon cas ce n'est pas possible..et je l'ai dans l'os... :(
Pourtant ce n'est pas un truc très vieux.. Mais plus supporté par l’éditeur...
Un bon moyen pour empecher la réutilisation de soft un peu ancien.. ou plus supporté. et pourtant bien acheté.
Un moyen pas très correct de contrôler nos softs sur nos machines ou d'obliger d'acheter un soft récent avec les mêmes pbs dans le futur..
Comme quoi l'informatique nouvelle sauce est une belle salo.. de vache à lait.... ou de piège à gogos..
oui, tout peut être retourné contre ceux à qui cela devait profiter (sécurité, garantie, etc)
Mais ils aident énormément dans la grande majorité des cas.
oomu
Exact , mais avec aussi beaucoup de soucis surtout dans une utilisation future..
Et les éditeurs n'informent pas réellement le client lors de l'achat..
C'est bien cela l'escroquerie.
Qui veut acheter un soft plus utilisable au bout de 5 ans ?
Autre genre : Les softs qui demandent une validation, activation en ligne , afin de contrôler votre serial ?
Que faire si l’éditeur ne supporte plus le soft ou a mis clef sous la porte ?
Et bien votre soft , vous pouvez vous le mettre dans le fessier, là où je pense il ne devrait pas être ^^
"Autre genre : Les softs qui demandent une validation, activation en ligne , afin de contrôler votre serial ?
Que faire si l’éditeur ne supporte plus le soft ou a mis clef sous la porte ?
Et bien votre soft , vous pouvez vous le mettre dans le fessier, là ou il ne devrait pas être ..."
Sur ce point là on est bien d'accord…
les DRM en lignes, sans mécanisme de secours, sont une épée de damocles. on le sait bien.
cela dit, je ne sais pas de quel pratique, qui ne semble pas répandue, vous parlez.
C'est similaire à dépendre du "cloud" ou de DRM: le jour où l'éditeur lâche le support, tout le produit s'écroule en petits morceaux.
Mais c'est le travail de l'éditeur (ou fabricant) d'apporter des solutions lors de la fin de vie de leurs produits.
Et les clients apprendront à ne plus acheter.
-
Pour mon commentaire sarcastique avec les certificats SSL, je pensais bien évidemment aux sites internet et aux garanties qu'ils apportent.
En logiciels d'entreprises, que ça soit outils intranet ou progiciels, si tôt que le support est abandonné, en général on se retrouve à ne plus pouvoir utiliser le produit (ou à grandes peines). Les lois évoluent, les serveurs évoluent, les postes évoluent, les pratiques de sécurité changent, etc.
oomu
oui mais la validité d'un certificat peut etre facilement renouvelée...
C'est une action minime pour les éditeurs qui s'en passent bien parfois..
Bref c'est de l’obsolescence programmée.
Cela revient en fait à de la location déguisée d'un logiciel , que l'on vous fait passer pour un achat de logiciel lors de sa vente !
Je ne suis pas sur de vous suivre là.
@oomu
C'est simple on vous vend un logiciel.
Ce logiciel verifie sa signature a chaque lancement via un certificat.
L'editeur ne supporte plus le soft au bout de 5 ans.
Le certificat n'est pas renouvelé à la fin du support
Conclusion :
Vous pensiez acheter un logiciel.
En réalité, on vous a vendu une location déguisée d'un logiciel d'une durée de 5 ans d'utilisation (en gros)
Au delà de ce fait qui frise la tromperie, l'europe devrait aussi s’inquiéter de la puissance des certificats sur nos ordinateurs pour une question d'indépendance vis a vis des US, surtout concernant les OS..
Mais bon l'ue, vu le temps qu'ils ont mis a récupérer un peu la gestion des DNS.. on se marre..
je suis désolé, mais vous me parlez de problèmes ponctuel avec des éditeurs peu fiables comme s'il était un fléau et qui serait capable de bloquer des pays sur commande d'un gouvernement (les usa).
C'est.. exagéré. Et je ne comprends pas non plus pourquoi vous vous parlez uniquement de "certificat' alors. Encore une fois, j'ai ironisé sur la mentalité geek avec les certificats SSL pour le WEB.
-
concernant les "os", il n'existe aucune plateforme majeure ou mineure dont l'usage pourrait être révoqué à distance suite à l'initiative d'un machiavélique gouvernement.
Ha si Windows est secrètement piégé. et bien enfin une bonne nouvelle pour Linux, on mettra de la suse.
-
non, je n'adhère pas à la surenchère de votre propos. désolé.
Je ne parle bien évidement pas des certificats liés à des transactions, mais des certificats intégrés a des softs, pour des roles de signature, ou d'authentification, etc..
Si on trouve normal qu'au bout de quelques années votre logiciel ne peut plus se lancer à cause d' une limite de validité dépassée d'un certificat, et bien je ne suis pas d'accord.
Quand a la fiabilité des éditeurs , à part des sociétés cotés en bourse ( et encore )personne ne peut s'assurer de la fiabilité d'un éditeur, que se soit un éditeur agissant dans le domaine de la musique, de la comptabilité, ou de location et d'entretien d'engins..
Vous achetez un logiciel, et non une location à durée limitée.
Or une limite de support ne doit pas etre une fin d'utilisation du logicel..
Mais vous vous trouvez cela normal, et bien pas moi. Les softs marchaient très bien auparavant sans certificat, quand ceux ci n'ont aucun besoin fondamental de faire des transactions avec l''extérieur, comme par exemple un logiciel de musique.
Sauf si lors de l'achat cela doit etre clairement explicité sur la durée de vie du soft.
Au moins, aujourd'hui, on peut obtenir un certificat SSL sans devoir absolument payer quoi que ce soit. Ce n'est pas le cas pour signer des application macOS distribuées hors MAS.
Une nuance importante, je trouve.
Safari n'étant pas un système d'exploitation mais une application comme une autre, elle peut tenter de forcer tout ce qu'elle veut, cela ne réduira en rien ma liberté, par exemple, d'utiliser une autre application pour surfer comme je veux sur Internet. Si je veux avoir l'option "par défaut, j'assume que le certificat puisse être du pipi de chat", je peux encore.
Là on parte d'un élément nettement plus essentiel : les droits d'exécutions d'une application.
C'est global, cela touche de manière nettement plus transversal et cela peut donc avoir des conséquences plus systématiques sur le choix laissé à l'utilisateur.
Surtout si on lui retire ce choix.
@byte_order :
Vous avez manqué ce que je voulais dire en parlant des certificats HTTPS dans safari. Alors je vais essayer d'être plus clair :
Du point de vue de la sécurité du web, ça ne vous viendrait pas à l'idée de cocher l'option "envoie moi sur la page même si le certificat n'est pas bon" car ça voudrait dire que vous refusez de voir une indication qu'il y a potentiellement un problème (man in the middle) sur le site que vous consultez.
Par contre vous voulez absolument avoir une option équivalente pour que les applications qui ont été altérées et non signées puissent s'exécuter sur votre machine (alors que c'est potentiellement plus "dangereux" qu'une fausse page web) SANS AUCUNE INDICATION VISUELLE vous demandant ce que vous en pensez.
Une fois de plus, ce que j'essaie d'expliquer c'est que POUR L'INSTANT c'est une mesure de sécurité et qu'elle a un intérêt. Et là où votre discours au début était de dire "ça n'apporte rien au niveau sécurité" maintenant vous dites juste "DANS LE FUTUR ça sera problématique si Apple empêche complètement d'exécuter les applications non signées".
Vous parliez de ce mécanisme uniquement comme un levier politique là où je soutiens qu'il apporte (un peu) de sécurité pour un coût raisonnable selon moi : un clic droit. Et je suis d'accord avec vous que ce sera TRES MAL si ça change DANS LE FUTUR à "aucune application non signée ne peut tourner" mais ce n'est juste pas le cas MAINTENANT.
> Par contre vous voulez absolument avoir une option équivalente
> pour que les applications qui ont été altérées et non signées
> puissent s'exécuter sur votre machine (alors que c'est potentiellement
> plus "dangereux" qu'une fausse page web) SANS AUCUNE
> INDICATION VISUELLE vous demandant ce que vous en pensez.
Non, du tout.
Ce que je veux c'est que la signature, qui apporte en effet plus de sécurité, ne soit pas l'objet d'un commerce *obligatoire* ni la possibilité pour l'autorité certifiant les signatures d'abuser de cette position pour prendre contrôle, volontairement ou involontairement, sur les conditions d'utilisation d'un logiciel céder à un utilisateur ou sur le réseau de distribution de ces logiciels.
Comment garantir une licence d'utilisation valable à vie avec un certificat révocable sans votre accord !?
Comment garantir le droit de redistribuer l'application non modifiée si le réseau de distribution est être imposé par cette autorité de certification à l'avenir ?
J'ai rien contre la signature en elle même, au contraire.
Mais je m'alarme que celle-si soit objet de commerce par Apple, quand l'application n'est pas distribuée via MAS.
$99 par an pour que le certificat lié à la signature de vos applications gratuites n'expirent pas, c'est probablement plus cher que le coût d'hébergement annuel de ces applications sur Internet. C'est quand même pas rien, et cela va de facto discriminer financièrement tout un tas de petites applications.
A l'instar de la EFF avec Let's Encrypt, lorsque vous voulez inciter les gens à plus sécuriser vos usages informatiques, vous le faites en leur offrrant le moyen de le faire gratuitement.
Apple a largement les moyen d'imposer la signature obligatoire des applications *et* dans le même temps d'offrir de pouvoir faire cette signature gratuitement avec un certificat valable a vie, sauf révocation pour cause de malware détecté.
Voilà ce que je voudrais voir, plutôt.
Vous avez toujours les mécanismes pour passer outre les sécurités et faire faire n'importe quoi provenant d'internet à votre ordinateur chez vous. Mais pourquoi voudriez vous cela ? Vous voulez des limites au n'importe quoi et autoriser ce que vous voulez, ben clic-droit depuis le Finder.
Et bien sur, RIEN de tout cela, n'ajoute la moindre limite à des logiciels écrits et compilés soi-même.
Un ordinateur ne devrait faire QUE ce que son utilisateur est clairement conscient qu'il demande et rien d'autre.
Bonjour, j'ai installé 10.12, et j'ai toujours les 3 options (App Store- App Store et développer identifiés et n'importe où) version 16A201w.
Pourquoi chez moi j'ai les trois choix et non deux ?
Pages