Jak wyłączyć AKA „rootless” ochrony integralności systemu (SIP) w systemie MacOs [OS X]

Firma Apple wprowadziła System Integrity Protection , znany również jako „rootless”, z systemem OS X 10.11, El Capitan. Rozumiem, że jest to krok do ogólnej ochrony przed złośliwym oprogramowaniem, ale jako programista potrzebuję dostępu do zapisu do niektórych blokowanych plików.

Jak wyłączyć tę ochronę?

Dokumentacja Apple obejmuje wyłączenie SIP, ochronę integralności systemu na komputerze Mac i konfigurację ochrony integralności systemu .

Artykuł na lifehacker.com wymienia następujące kroki:

1. Uruchom ponownie komputer Mac w trybie odzyskiwania, ponownie uruchamiając komputer i przytrzymując przycisk Command+, Raż logo Apple pojawi się na ekranie.
2. Kliknij Narzędzia> Terminal.
3. W oknie Terminal wpisz csrutil disablei naciśnij Enter.
4. Uruchom ponownie komputer Mac.

Możesz sprawdzić, czy plik lub folder jest ograniczony, wydając to lspolecenie, używając dużej litery O (a nie zero 0) w celu zmodyfikowania flagi długiego wpisu:

ls -lO /System /usr 

Poszukaj tekstu z ograniczeniami, aby wskazać, gdzie wymuszany jest SIP.

Domyślnie (= włączone SIP) następujące foldery są ograniczone (patrz strona pomocy technicznej Apple ):

/System
/usr
/bin
/sbin
Apps that are pre-installed with OS X

... a następujące foldery są bezpłatne:

/Applications
/Library
/usr/local

Możliwe jest wyłączenie SIP poprzez uruchomienie do Recovery HD i uruchomienie następującego polecenia:

csrutil disable

Możliwe jest również włączenie ochrony SIP i wybiórcze wyłączenie niektórych jego aspektów poprzez dodanie jednej lub więcej flag do csrutil enablepolecenia. Wszystkie wymagają uruchomienia z Recovery, aby je ustawić:

Włącz SIP i zezwól na instalację niepodpisanych rozszerzeń jądra

csrutil enable --without kext

Włącz SIP i wyłącz zabezpieczenia systemu plików

csrutil enable --without fs

Włącz SIP i wyłącz ograniczenia debugowania

csrutil enable --without debug

Włącz SIP i wyłącz ograniczenia DTrace

csrutil enable --without dtrace

Włącz SIP i wyłącz ograniczenia zapisu do NVRAM

csrutil enable --without nvram

Mam również dostępny post z dodatkowymi informacjami na temat SIP:

Ochrona integralności systemu - dodanie kolejnej warstwy do modelu bezpieczeństwa Apple

Jeśli celem jest tak naprawdę wyłączenie ochrony integralności systemu, to uruchomienie systemu na partycji Recovery HD, jak wcześniej zalecono w innych odpowiedziach tutaj za pomocą Command+ rpodczas rozruchu, nie jest najszybszym sposobem na to.

Możesz połączyć rozruch w trybie pojedynczego użytkownika z uruchomieniem odzyskiwania HD w nieudokumentowanej kombinacji klucza uruchamiania:

• https://support.apple.com/en-us/HT204904 obejmuje normalne odzyskiwanie
• Przytrzymaj Command+ r+, saby uruchomić w trybie odzyskiwania pojedynczego użytkownika.

To prowadzi Cię do absolutnie minimalnego środowiska, które jest potrzebne do tego bezpośrednio .

Bezpieczniej byłoby zmodyfikować, /etc/pathsaby to /usr/local/binbyło dopiero wcześniej usr/bin. W ten sposób możesz wykonywać prace programistyczne /usr/local/binbez wyłączania SIP.

Czyste instalacje systemu operacyjnego zamówiły w /etc/pathsten sposób od El Capitan, ale jeśli aktualizujesz system operacyjny z Yosemite lub wcześniejszej wersji, musisz ręcznie zmienić kolejność ścieżek.

Jeśli potrzebujesz tylko dostępu do / usr / local, spójrz na tę stronę: https://github.com/Homebrew/homebrew/blob/master/share/doc/homebrew/El_Capitan_and_Homebrew.md

Chodzi o to, aby tymczasowo wyłączyć SIP za pomocą csrutil disable, dodaj /usr/local, użyj chflags, aby ustawić ten katalog na nieograniczony

 sudo mkdir /usr/local && sudo chflags norestricted /usr/local && sudo chown -R $(whoami):admin /usr/local

a następnie ponownie włącz SIP za pomocą csrutil enable.

Jeśli /usr/localistnieje już w momencie aktualizacji, nawet powyższe nie jest konieczne. Możesz po prostu biegać

sudo chown -R $(whoami):admin /usr/local

Jeśli nie możesz dostać się do Partycji odzyskiwania, aby uruchomić csrutil disable(aby wyłączyć SIP ), spróbuj ustawić argumenty rozruchowe za pomocą nvrampolecenia, np

sudo nvram boot-args="rootless=0"

Jeśli jednak występuje następujący błąd:

nvram: Błąd ustawiania zmiennej - 'boot-args': (iokit / common) jest niedozwolony

to nie zadziała. Nadal musisz uruchomić go w trybie odzyskiwania / awaryjnym.

Widzieć:

• Ustawienie zmiennej NVRAM podczas normalnego rozruchu jest niedozwolone, ale dozwolone w trybie odzyskiwania
• Ponowne uruchamianie w trybie awaryjnym bez użycia klawisza Shift pod Mojave

Nie mam wystarczającej reputacji, aby dodać to jako komentarz do powyższego linku do github Homebrew 404. Wayback Machine wciąż go ma:

http://web.archive.org/web/20160117204214/https://github.com/Homebrew/homebrew/blob/master/share/doc/homebrew/El_Capitan_and_Homebrew.md