Como desabilitar a proteção de integridade do sistema em um Mac (e por que você não deve)

Mac OS X 10.11 O El Capitan protege os arquivos e processos do sistema com um novo recurso denominado System Integrity Protection. O SIP é um recurso no nível do kernel que limita o que a conta "raiz" pode fazer.

Esse é um ótimo recurso de segurança, e quase todos - até mesmo “usuários avançados” e desenvolvedores - devem deixá-lo ativado. Mas, se você realmente precisa modificar arquivos do sistema, você pode ignorá-lo.

O que é a proteção de integridade do sistema?

No Mac OS X e em outros sistemas operacionais semelhantes ao UNIX, incluindo o Linux, existe uma conta “root” que tradicionalmente tem acesso total a todo o sistema operacional. Tornar-se o usuário root - ou obter permissões de root - dá acesso a todo o sistema operacional e a capacidade de modificar e excluir qualquer arquivo. Malwares que obtêm permissões de root podem usar essas permissões para danificar e infectar os arquivos do sistema operacional de baixo nível.

Digite sua senha em um diálogo de segurança e você terá as permissões de root do aplicativo. Isso tradicionalmente permite que ele faça qualquer coisa em seu sistema operacional, embora muitos usuários de Mac possam não ter percebido isso..

A Proteção de Integridade do Sistema - também conhecida como “sem raiz” - funciona restringindo a conta root. O próprio kernel do sistema operacional coloca verificações no acesso do usuário root e não permite que ele faça certas coisas, como modificar locais protegidos ou injetar código em processos protegidos do sistema. Todas as extensões de kernel devem ser assinadas e você não pode desativar a Proteção de Integridade do Sistema no próprio Mac OS X. Aplicativos com permissões de root elevadas não podem mais adulterar arquivos do sistema.

É mais provável que você perceba isso se tentar gravar em um dos seguintes diretórios:

• /Sistema
• / bin
• / usr
• / sbin

O OS X simplesmente não permite isso e você verá uma mensagem "Operação não permitida". O OS X também não permitirá que você monte outro local em um desses diretórios protegidos, portanto, não há como evitar isso.

A lista completa de locais protegidos encontra-se em /System/Library/Sandbox/rootless.conf no seu Mac. Ele inclui arquivos como os aplicativos Mail.app e Chess.app incluídos no Mac OS X, portanto você não pode removê-los - mesmo da linha de comando como o usuário root. Isso também significa que o malware não pode modificar e infectar esses aplicativos..

Não coincidentemente, a opção “reparar permissões de disco” no Utilitário de Disco - usado por muito tempo para solucionar vários problemas do Mac - foi removido agora. A Proteção de Integridade do Sistema deve impedir que as permissões cruciais de arquivos sejam adulteradas, de qualquer forma. O Utilitário de Disco foi reprojetado e ainda tem uma opção de "Primeiros Socorros" para reparar erros, mas não inclui nenhuma maneira de reparar permissões.

Como desabilitar a proteção de integridade do sistema

AvisoNão faça isso a menos que você tenha uma boa razão para fazê-lo e saiba exatamente o que está fazendo! A maioria dos usuários não precisará desabilitar essa configuração de segurança. Não se destina a impedir que você mexa com o sistema - destina-se a impedir que malwares e outros programas mal comportados se misturem com o sistema. Mas alguns utilitários de baixo nível só podem funcionar se tiverem acesso irrestrito.

A configuração da Proteção de Integridade do Sistema não é armazenada no próprio Mac OS X. Em vez disso, ele é armazenado na NVRAM em cada Mac individual. Só pode ser modificado a partir do ambiente de recuperação.

Para inicializar no modo de recuperação, reinicie o seu Mac e segure Command + R ao inicializar. Você entrará no ambiente de recuperação. Clique no menu "Utilities" e selecione "Terminal" para abrir uma janela de terminal.

Digite o seguinte comando no terminal e pressione Enter para verificar o status:

status csrutil

Você verá se a Proteção de Integridade do Sistema está ativada ou não.

Para desativar a Proteção de Integridade do Sistema, execute o seguinte comando:

csrutil disable

Se você decidir ativar o SIP posteriormente, retorne ao ambiente de recuperação e execute o seguinte comando:

csrutil enable

Reinicie seu Mac e sua nova configuração da Proteção de Integridade do Sistema entrará em vigor. O usuário root agora terá acesso total e irrestrito a todo o sistema operacional e a todos os arquivos.

Se você já tinha arquivos armazenados nesses diretórios protegidos antes de atualizar seu Mac para o OS X 10.11 El Capitan, eles não foram excluídos. Você os encontrará movidos para o diretório / Library / SystemMigration / History / Migration- (UUID) / QuarantineRoot / em seu Mac.

Crédito de imagem: Shinji no Flickr