Après avoir lu les commentaires de mon article de blog sur SoftRAID version 5.8.4, j'ai réalisé qu'il y avait une certaine confusion à propos de Démarrage sécurisé et comment il protège votre Mac contre les logiciels malveillants. Lors de l'utilisation de SoftRAID sur macOS 10.15 Catalina, sur un Mac avec une puce T2, un utilisateur doit désactiver le démarrage sécurisé pour que la version correcte du pilote SoftRAID se charge.

Certains utilisateurs ne souhaitent pas désactiver le démarrage sécurisé, car ils pensent qu'il le désactive tout protection contre les logiciels malveillants sur leur Mac. Cette croyance n'est pas correcte, et Apple a étiqueté le paramètre de désactivation du démarrage sécurisé comme "Pas de sécurité»Dans l'application Startup System Security n'aide pas.

Capture d'écran de la fenêtre de l'utilitaire de sécurité de démarrage de macOS avec
Paramètres de sécurité de démarrage pour le démarrage sécurisé

En fait, Secure Boot ne protège votre Mac que pendant moins de 2 minutes après l'apparition du logo Apple blanc à l'écran lors du démarrage. Après 2 minutes, Secure Boot n'offre aucune protection.

Ce qui protège votre Mac contre les logiciels malveillants tout le temps, c'est Protection de l'intégrité du système (SIP). SIP commence à protéger votre Mac lors de son premier démarrage et continue aussi longtemps que votre Mac fonctionne. SIP garantit que les logiciels qui s'exécutent sur votre Mac proviennent uniquement de développeurs reconnus par Apple. À partir de macOS 10.14.6, SIP garantit également que le logiciel a été préalablement vérifié pour les logiciels malveillants par les serveurs d'analyse de logiciels malveillants d'Apple.

Dans cet article:

  1. Cet article explique Comment macOS est protégé contre les logiciels malveillants par Secure Boot et SIP et comment ils diffèrent et Pourquoi nous vous demandons de désactiver le démarrage sécurisé lors de l'exécution de SoftRAID.
  2. Il décrit également pourquoi nous pensons qu'il est acceptable de désactiver le démarrage sécurisé, mais je ne recommanderais jamais à quiconque de désactiver SIP.
  3. Enfin, il passe en revue les changements à venir dans les Mac avec le silicium Apple, qui seront livrés plus tard cette année.

Secure Boot expliqué:

Secure Boot est disponible uniquement sur les Mac équipés de puces T2. Comme son nom l'indique, il protège votre Mac contre les infections par les logiciels malveillants au démarrage (lorsque votre Mac démarre). En fait, il protège UNIQUEMENT votre Mac au moment du démarrage. Deux minutes plus tard, Secure Boot cesse de protéger votre Mac.

Secure Boot est conçu pour autoriser uniquement les pilotes fournis par Apple à être utilisés pour le volume de démarrage. À partir de macOS 10.15, si une version plus récente de l'un de ces pilotes est installée sur votre volume de démarrage, Secure Boot chargera le plus âgé à partir du programme d'installation de macOS. Malheureusement, cette politique consistant à ne charger que le pilote inclus dans le programme d'installation de macOS affecte également les pilotes non utilisés pour le volume de démarrage – cela affecte tous les pilotes chargé dans les 2 premières minutes.

Logo SoftRAID

Apple propose le pilote SoftRAID dans le cadre de macOS depuis plus de 10 ans. Cela permet aux utilisateurs de connecter un volume SoftRAID à leur Mac et de monter le volume sans exécuter au préalable une application pour mettre à jour le pilote. SoftRAID a la réputation d'être très réactif en fournissant des corrections de bogues et des améliorations quand elles sont nécessaires. Nous voulons donc que les utilisateurs aient la possibilité de mettre à jour leur pilote SoftRAID lorsqu'une nouvelle version est disponible.

Malheureusement, c'est là que Secure Boot fait obstacle. Si un utilisateur dispose d'un Mac avec une puce T2, a activé Secure Boot et a son volume SoftRAID attaché au démarrage ou le connecte dans les 2 premières minutes, Secure Boot charge l'ancienne version du pilote SoftRAID inclus dans le programme d'installation de macOS. S'ils connectent leur volume SoftRAID plus de 2 minutes après le démarrage, le pilote correct et mis à jour se charge à la place.

Qu'est-ce que SIP?

Contrairement à Secure Boot, SIP (System Integrity Protection) est disponible sur tous les Mac, même ceux sans puces T2. En outre, il fonctionne toujours, à la fois au démarrage de votre Mac et lorsqu'il est allumé depuis des jours, des semaines ou des mois. Il fonctionne même si le démarrage sécurisé est désactivé. SIP a de nombreuses fonctionnalités différentes qui protègent votre Mac contre les logiciels malveillants, mais les deux que je veux décrire ici sont signature de code et notarisation du code. (La signature de code a été introduite dans Mac OS X 10.8 et la notarisation de code dans macOS 10.14.6.)

Signatures de code

Lorsqu'un développeur signe une application ou un autre logiciel, un bloc de données cryptographiques est ajouté à l'application. Ces données, appelées signature de code, sont le résultat cryptographique du traitement de toutes les pièces de l'application en conjonction avec un grand nombre unique que le développeur a reçu d'Apple. Ce grand nombre unique est un secret bien gardé protégé par le développeur.

Lorsque vous exécutez une application pour la première fois sur votre Mac, SIP recalcule la signature du code et vérifie qu'elle est identique à celle ajoutée à l'application. Si les signatures de code ne sont pas identiques, SIP sait que l'application a été modifiée par quelqu'un d'autre que le développeur d'origine. SIP empêche ensuite macOS d'exécuter l'application et vous indique pourquoi elle ne peut pas être exécutée.

Les signatures de code agissent comme les sceaux inviolables sur la bouteille d'aspirine. Ils n'empêchent personne d'ouvrir la bouteille avant de l'acheter – ils montrent simplement que quelqu'un l'a ouvert avant vous. Vous savez qu’il ne faut pas utiliser d’aspirine lorsque le sceau du flacon est brisé, car ce qui se trouve dans le flacon peut être différent de l’aspirine qui y a été introduite en usine.

Notarisation du code

Icône Xcode

La notarisation du code va encore plus loin dans la protection contre les logiciels malveillants et fonctionne en conjonction avec les signatures de code. Lorsqu'une application est notariée, le développeur l'envoie aux serveurs de sécurité d'Apple. Ces serveurs vérifient la présence de logiciels malveillants dans l'application et, si elle ne contient pas de logiciels malveillants, le logiciel est signé par Apple. La signature qu'Apple génère est ensuite renvoyée au développeur, qui l'attache ensuite ainsi que la signature de code à l'application.

Tout comme la signature de code, SIP vérifie également que la signature Apple est valide. Si la signature Apple est manquante ou non valide, SIP sait que les serveurs de sécurité d’Apple n’ont pas recherché les logiciels malveillants dans l’application et macOS refusera d’exécuter l’application.

La notarisation du code agit comme la société de titre lorsque vous vendez votre maison. La société de titre recherche toute personne qui pourrait prétendre être propriétaire de votre maison. S'ils ne trouvent personne, ils certifient que vous êtes réellement le propriétaire, puis vous pouvez procéder à la vente de votre maison. Les serveurs de sécurité d’Apple agissent de la même manière: ils certifient qu’un logiciel peut être vendu en toute sécurité aux utilisateurs.

Ce que nous recommandons:

Nous voulons nous assurer que vous n'exécutez que la dernière version du pilote SoftRAID avec toutes les améliorations et correctifs que nous avons travaillé dur pour développer et tester. Cela signifie que si vous êtes sur un Mac avec une puce T2 et exécutant macOS 10.15, vous devez effectuez l'une des opérations suivantes pour utiliser le dernier pilote SoftRAID:

  • Désactivez le démarrage sécurisé en suivant ces instructions
    -ou-
  • Déconnectez vos volumes SoftRAID après l'arrêt et reconnectez-les plus de 2 minutes après le démarrage de votre Mac.

Changements de sécurité sur les Mac avec silicium Apple:

Politique de sécurité sur les Mac équipés d'Apple Silicon‌
Politique de sécurité sur les Mac équipés d'Apple Silicon‌
Logo Apple Silicon Chip

Lorsque Apple commencera à expédier des Mac avec du silicium Apple, vous pourrez les exécuter dans deux modes, "Sécurité totale" ou "Sécurité réduite. » (Notez qu'ils ne l'appellent plus "Pas de sécurité. ”) En mode de sécurité complète, macOS ne chargera que les pilotes dans le noyau, qui sont écrits par Apple. Il ne chargera aucun pilote d'autres développeurs.

Si vous souhaitez charger des pilotes supplémentaires dans le noyau, vous devrez exécuter votre Mac dans "Sécurité réduite»Mode. Contrairement à Secure Boot, cette restriction de sécurité est en vigueur tout le temps. Si vous exécutez avec une sécurité réduite sur des Mac dotés de silicium Apple, vous ne pouvez charger que les pilotes de votre matrice RAID, les ports haute puissance de votre station d'accueil Thunderbolt ou votre carte vidéo ultra-rapide.