Push-Nachrichten von MacTechNews.de

Würden Sie gerne aktuelle Nachrichten aus der Apple-Welt direkt über Push-Nachrichten erhalten?

Sicherheit: Fragen und Antworten zu Gatekeeper in macOS Sierra

Der Türsteher des Mac-Betriebssystem ist »Gatekeeper«. Er entscheidet, welche Apps vom System gestartet werden dürfen und welche nicht. macOS Sierra bringt gewisse Änderungen in Gatekeeper mit sich. MacTechNews sortiert die Faktenlage.

Was ist Gatekeeper?
Apple führte den Betriebstürsteher im Jahr 2012 gemeinsam mit OS X 10.8 Mountain Lion an. Gatekeeper überprüft beim ersten Start eines aus dem Internet geladenen Programms die Entwicklerzertifikate. So erkennt das System erstens, ob das Programm aus dem Mac App Store oder dem »wilden Internet« geladen wurde, und zweitens, ob der Entwickler ein gültiges Entwicklerzertifikat von Apple besitzt. Dieses Zertifikat bringt unter anderem das Vertrauen mit sich, dass es sich bei der App nicht um Schadsoftware handelt.

Dementsprechend erlaubte Gatekeeper bislang drei Einstellungsmöglichkeiten.
1. Nur Programme aus dem Mac App Store dürfen gestartet werden.
2. Nur Programme aus dem Mac App Store oder von zertifizierten Entwicklern dürfen gestartet werden.
3. Alle Programme dürfen gestartet werden.

Variante 2

Variante 3

Diese Auswahl ist in den Einstellungen unter »Sicherheit« zu finden. An dieser Stelle taucht übrigens der Begriff »Gatekeeper« nicht auf. Es wird lediglich gefragt »Apps-Download erlauben von:« mit entsprechenden Auswahlmöglichkeiten.

Welche Änderung gibt es hier in macOS Sierra?
In der Tat fällt in der ersten Entwickler-Beta von macOS Sierra die dritte dieser Optionen weg. Wahrscheinlich möchte Apple einen allzu unüberlegten Umgang mit Apps aus dubiosen Quellen verhindern und somit den Schutz vor Schadsoftware erhöhen. Andererseits zieht Apple aber auch den Gürtel enger für die Bezugsquellen: Bei iOS ist der App Store bereits die einzige Möglichkeit, um an Dritthersteller-Software zu gelangen. Mittelfristig könnte Apple auch auf dem Mac die komplette Kontrolle des App-Verkehrs anstreben.

Heißt das, Programme von nicht zertifizierten Entwicklern laufen nicht mehr?
Auch wenn es auf den ersten Blick so aussieht, ist das nicht richtig. Es fällt lediglich die generelle Erlaubnis zum Start jeder App weg. Wer wirklich dringend ein bestimmtes Programm von einem nicht identifizierten Entwickler öffnen möchte, kann dies weiterhin tun. Statt des üblichen Doppelklicks ist allerdings ein Rechtsklick auf das App-Symbol notwendig. Dann fragt macOS noch einmal nach, ob der Programmstart wirklich durchgeführt werden soll, was an dieser Stelle zu bejahen ist. Dieser Vorgang ist nur beim ersten Start notwendig, bei allen weiteren Starts wird Gatekeeper nicht aktiv.

Gibt es noch weitere Änderungen an Gatekeeper in macOS Sierra?
In der Tat. Unsichtbar für Nutzer hat Apple das Handling mit Programmen von nicht zertifizierten Entwicklern geändert, um für mehr Sicherheit zu sorgen: Sie werden nicht mehr im Programme-Ordner abgelegt. Für den Nutzer sieht es zwar so aus, denn sie werden weiterhin darin angezeigt, aber ihr tatsächliches Verzeichnis ist zufallsgeneriert an anderer Stelle (»Path Randomization«). Damit verhindert Apple sogenannte »Repackaging Attacks«. Dies beschreibt den Versuch von Schadsoftware, sich als eine andere, unbedenkliche App auszugeben, um den Nutzer zum Öffnen zu verleiten. Da die Schadsoftware nun aber nicht mehr im Programme-Ordner liegt, findet sie nicht mehr den Pfad zu den Ressourcen einer anderen App.

Kopfhörer für Workout

Visa sah Apple als "existenzielle Bedrohung" an

macOS 15 Sequoia: Netzwerkprobleme und Verbindu...

iOS 18: Kritik an neuer Fotos-App reißt nicht ab

M4-Benchmarks: Deutliche Leistungssteigerung im...

Apple TV+: Strategiewechsel?

Kurz: 5G-Netze noch mit sehr wenigen Nutzern ++...

Kopplung "iPhone + Apple Watch" sowie Anbindung...

Kommentare

Paddy259016.06.16 13:12

Klingt alles sinnvoll, bis auf den Teil, dass Apple die völlige Kontrolle über die Herkunft der Apps erlangen könnte. Das wäre eine unglaubliche Einschränkung.

Metti16.06.16 13:34

Da die Schadsoftware nun aber nicht mehr im Programme-Ordner liegt, findet sie nicht mehr den Pfad zu den Ressourcen einer anderen App.

Warum sollte das so sein?
Üblicherweise kenne ich den Pfad von den Dateien, auf die ich zugeifen möchte. Vor allem gibt es die Vorgaben, wo Zusatzdateien liegen sollen (Preferences, Library, etc.). Auch die Dateien innerhalb der APP selbst (Package) sollten sich finden lassen. Schließlich befindet sich die Application im Programme-Ordner. Ich verstehe nicht, was das bringen soll.

Kann dazu mal jemand erhellendes liefern?

Gruß, Stefan Mettenbrink.

Stereotype16.06.16 13:34

Paddy2590

Klingt alles sinnvoll, bis auf den Teil, dass Apple die völlige Kontrolle über die Herkunft der Apps erlangen könnte. Das wäre eine unglaubliche Einschränkung.

Das mit der Kontrolle ist eine grundsätzlich falsche Denkweise.
Oder was soll deiner Meinung nach Apple mit dem Wissen der Herkunft böses anstellen? Was ist an dem bisherigen Verfahren anders? Wie kommst du darauf, dass Apple die Herkunft kontrollieren will? Warum sollte das eine unglaubliche Einschränkung sein? Und für wen?

Für den Nutzer ist das in allen Belangen sinnvoll und bewahrt vor einer unabsichtlichen Installation eines Schadprogrammes.

sierkb16.06.16 13:35

Paddy2590

Klingt alles sinnvoll, bis auf den Teil, dass Apple die völlige Kontrolle über die Herkunft der Apps erlangen könnte. Das wäre eine unglaubliche Einschränkung.

Erinnerst Du Dich noch daran an die hitzigen Diskussionen grad' hier auch bei MTN, als Gatekeeper und der AppStore eingeführt wurden? Und einige Skeptiker und Realos mit so manchem Nur-Positiv-Seher, der das alles völlig unktitsch hochgejubelt hatte und das alles nur rosarot positiv sah, aneinandergerieten und man da als kritischer und etwas weiter und über den Tellerrand sehender Nutzer nur verspottet wurde? Da ging es unter anderem um genau diese Freiheiten gebende Funktionalität, um diese immer weiter eingeschränkten Freiheiten für Anwender und Entwickler, um diese letzte Bastion "Keine Einschränkungen". Spötter und Nur-Positiv-Seher meinten in solchen Diskussionen stets im vollen Brustton der Überzeugung: "Das macht Apple nie! Das werden die nie streichen! Was habt ihr alle bloß? Und wenn - ja und - der Nur-AppStore ist doch toll?!"

So. Und nun machen sie es. Stück für Stück macht Apple den Sack zu. Von Release zu Release zieht Apple die Schlinge enger und fester zu. Wie mit dem Frosch im heißen Wasser: .

Ich möchte jetzt an diesem Schritt inhaltlich nicht viel Kritik üben (er trägt Gutes in sich aber auch Schlechtes). Aber das mal als weiteres Beispiel zum Anlass geben, mal zu überdenken, bei gewissen Dingen, die Apple so macht, nicht zu früh zu jubeln und alles bedenkenlos gutzuheißen und vor allem die Kritiker, die das eben frühzeitig erkennen und aus einem anderen Blickwinkel betrachten, nicht immer gleich niederzubrüllen und als Schwachmaten und Apple-Hasser abzustempeln.

Das macht Apple nie? Really? Bis zu dem Zeitpunkt, bis sie es doch machen. Und damit dann allen Skeptikern und Kritikern rechtgeben. Und das straft dann alle vorherigen Schönredner und Abwiegler Lügen. Deswegen bin ich mal gespannt, ob und wann dann auch noch die letzten verbliebenen Ausnahmen, die mit Sierra da noch gestattet werden, auch noch gekillt werden und das System dann vollends zugenagelt ist und man nicht mehr vorwärts noch rückwärts kann und nur noch den Weg gehen kann, den Apple da vorgezeichnet hat, ob man will oder nicht, ob der nun gut und sicher ist oder nicht.

Stereotype16.06.16 13:44

sierkb

Spötter und Nur-Positiv-Seher meinten in solchen Diskussionen stets im vollen Brustton der Überzeugung: "Das macht Apple nie! Das werden die nie streichen! Was habt ihr alle bloß? Und wenn - ja und - der Nur-AppStore ist doch toll?!"

Das macht Apple nie? Bis zu dem Zeitpunkt, bis sie es machen. Und damit dann allen Skeptikern und Kritikern rechtgeben. Und das straft dann alle vorherigen Schönredner und Abwiegle Lügen.

Diese Behauptung zeigt schon einiges an Arroganz von diesen "selbsternannten Kritikern".

Weil man sich selbst als "Skeptiker und Kritiker" sieht, zählt nur die eigenen Meinung und alle andere Meinungen werden als Lügen und Schönrederei abgetan? Wirklich?

Zumal solche Meinungen erstmal nur auf reinen Primitivismus basieren, jedenfalls solange man nichts über die Reputation des "Kritikers" weiß. Daher gehe ich in allen Fällen von den "Forums-Profi-Amateuren" aus, dass sie nur auf das eine aus sind.

Und die Leute labbern mittlerweile so viel in den Foren, jeder hält sich für den IT-Star schlechthin und meint den absoluten Plan über alles zu haben. Diese Menschen, kann man einfach nicht ernst nehmen und sollte es es auch nicht. (Meine Meinung).

sierkb16.06.16 13:45

Stereotype:

Inwieweit Behauptung? Inwieweit Arroganz? Blicke doch einfach mal zurück auf das Geschehene. Ich beschreibe hier grad' nur Abläufe, die gewesen und nachprüfbar sind, mehr nicht. Womit hast Du da grad' eigentlich ein Problem und echauffierst Dich? Schlag's nach, und Du wirst mich bestätigen. Es war halt so. Kann ich doch nix dafür.

(Meine Meinung).

Eben. Aber mehr auch nicht. Und die kann falsch sein, wie jede andere Meinung/Behauptung auch. Von daher: mal schön ruhig bleiben bitte. Deine Meinung/Behauptung zählt nicht mehr als die eines anderen. Entweder hast Du sachliche und der Sache dienliche Argumente und kannst überzeugen, oder Du hast keine, dann kannst Du es nicht. Aber darum geht es hier jetzt nicht. Bitte bleibe beim Thema, das ist ein anderes. Wir sollten hier jetzt keinen neuen Nebenkriegsschauplatz aufmachen bzw. die nächstbeste Gelegenheit dazu nutzen, um da einen OT-Kleinkrieg auszufechten.
Lass' es doch einfach mal so stehen und so wirken.

Stereotype16.06.16 13:56

sierkb

Stereotype:

Inwieweit Behauptung? Inwieweit Arroganz? Blicke doch einfach mal zurück auf das Geschehene. Ich beschreibe hier grad' nur Abläufe, die nachprüfbar gewesen sind, mehr nicht.

Hatte ich zitiert.
Und wenn ich – vermutlich wie Millionen andere Nutzer weltweit auch – zurückblicke, sehe ich keine Verschwörung, keine düstere Vergangenheit und Zukunft unter der Apple-Macht und keine Probleme die meine Arbeit mit diesen Geräten in irgendeiner weise negativ beeinflusst hat. Das hat nichts mit Dummheit oder Naivität zu tun, das ist schlicht die Realität der Normaldenkenden.

P.S: Wir hatten in der Vergangenheit soviel gute Fachleute hier im Forum, diese wurden nach und nach durch diese verstrahlten "Forums-Kritiker-Skeptikern" allesamt mit primitiven Recherchen und Argumenten rausgemobbt. Schade oder?

Duck Dodgers16.06.16 13:58

Beim Einführen von gatekeeper, stand ich der ganzen Sache noch sehr entspannt gegenüber. Mittlerweile sehe ich das ähnlich wie sierkb! Apple bringt nun auch unter OS X ... ähh also macOS immer mehr Zwangseinschränkungen, die ja natürlich nur der Sicherheit dienen HTTPS, nur noch authorisierte Entwickler, ... Im nächsten Release darf ich dann nur noch Emails an (durch Apple) zertifizierte Personen senden und empfangen

sierkb16.06.16 14:06

Stereotype

Und wenn ich – vermutlich wie Millionen andere Nutzer weltweit auch – zurückblicke, sehe ich keine Verschwörung, keine düstere Vergangenheit und Zukunft unter der Apple-Macht und keine Probleme die meine Arbeit mit diesen Geräten in irgendeiner weise negativ beeinflusst hat. Das hat nichts mit Dummheit oder Naivität zu tun, das ist schlicht die Realität der Normaldenkenden.

Um Verschwörung und das alles was Du hier grad' schon wieder sagst, geht's hier überhaupt nicht! Was soll das? Führt auf einen völlig falschen Pfad, gibt dem Ganzen einen völlig falschen Spin in die völlig falsche Richtung.

P.S: Wir hatten in der Vergangenheit soviel gute Fachleute hier im Forum, diese wurden nach und nach durch diese verstrahlten "Forums-Kritiker-Skeptikern" allesamt mit primitiven Recherchen und Argumenten rausgemobbt. Schade oder?

Behauptest Du einfach, dass dem so sei, dass wegen angeblich verstrahlten "Forums-Kritiker-Skeptikern" gegangen sind. Dass die evtl. auch gegangen sind, weil denen die unterirdische Streitkultur und der unterirdische Umgang im Tonfall miteinander und auch das fehlende fachliche Niveau hier irgendwann auf den Senkel gingen und sie hier keinen Mehrwert für sich gesehen haben, ziehst Du nicht in Betracht?
Kommt immer auf den Standpunkt an, wen man hier als "verstrahlt" bezeichnet und ansieht. Da wäre ich mal sehr vorsicjtig und zurückhaltend mit derlei einseitigen Schuldzuweisungen, das ließe sich umgekehrt sicher auch trefflich tätigen.

Zudem zu Deinem PS: wenn Du schon so anfängst -- wer ist denn dann Deiner Ansicht nach übriggeblieben, wenn Deiner Ansicht nach die ganzen angeblichen guten Leute geflohen sein sollen (oder auch von der MTN-Adimistration nicht grundlos gesperrt worden sind, deswegen stellt sich dann erst recht die Frage, ob die dann wirklich so die guten Leute waren)? Übriggeblieben ist dann also nur noch der Bodensatz? Der Morast? Inklusive also Dir selber? Oder wie oder was? Zu wem zählst Du Dich denn?
Willst Du jetzt dieses Fass aufmachen? Könnte gewaltig nach hinten losgehen, der Schuss.

Zudem extrem OT. Bitte lass' es. Topic ist hier was Anderes. Ich bitte um Vernunft.

Raziel116.06.16 14:08

Welche Zwangseinschränkung? Man kann alles weiterhin installieren wie gewohnt. Es hat sich nichts geändert ausser das man nicht mehr generell alles erlauben kann, was standardmäßig sowieso aus war und auch nicht empfohlen war.

Das mit der HTTPS Verbindung wird mittlerweile von alle 'Großen' wie Google etc und eigentlich auch der Web Community forciert. Kommt leider sehr spät aber da es bisher recht umständlich war sich um die Zertifikate zu kümmern auch kein Wunder. Nachdem es jetzt aber bereits zwei bekannte Services gibt bei dem man fast per Click seine Zertifikate automatisch beziehen und warten kann, steht einem reinen HTTPS Web nichts mehr entgegen ausser das nun noch jeder umziehen muss.

Nicht alles ist böse.

MaxFreMars16.06.16 14:11

Paddy2590

Sehe ich genauso. Ich denke an Apps wie VLC und jDownloader. Wenn ich die nicht mehr installieren könnte, würde ich Sierra nicht nutzen.

Eventus16.06.16 14:15

Stereotype

Sehr! Es häufen sich stattdessen angreifende und rechthaberische Einträge.

Live long and prosper! 🖖

Paddy259016.06.16 14:16

Stereotype

Paddy2590

Klingt alles sinnvoll, bis auf den Teil, dass Apple die völlige Kontrolle über die Herkunft der Apps erlangen könnte. Das wäre eine unglaubliche Einschränkung.

Dieser Satz macht doch nachdenklich:

MTN

Bei iOS ist der App Store bereits die einzige Möglichkeit, um an Dritthersteller-Software zu gelangen. Mittelfristig könnte Apple auch auf dem Mac die komplette Kontrolle des App-Verkehrs anstreben.

Das hat nichts mit "Wissen über die Herkunft zu tun", sondern mit Kontrolle, welche Apps installiert werden dürfen. Wenn es so kommt (was ich mir nicht vorstellen kann und nicht hoffe, aber MTN scheint es für möglich zu halten) würde Apple die Programme auswählen, die in den App-Store dürfen und die Installation aus anderen Quellen verbieten. Das würde ich schon als Einschränkung empfinden, denn dann bin ich darauf angewiesen, dass Apple die Programme im Store zulässt, die ich benötige.
Auch wenn ich dir gerade kein Programm nennen kann, weil ich es mir einfach nicht gemerkt habe, kam es schon mehrfach vor, dass ich ein Programm installieren wollte, welches es im Store nicht gab, aber auf der Herstellerseite geladen werden konnte. Ach doch, ein Beispiel ist f.lux.

Wenn es so weit kommt, ist das für den Nutzer nicht gut

sierkb16.06.16 14:18

Raziel1

Eben. "Außer." Du sagst es. Und dieses "Man kann doch weiterhin, außer..." nimmt von Release zu Release eben schleichend zu. Zuerst fällt der GUI-Zugang dazu weg, und irgendwann wird's auch unter der Haube dann verunmöglicht bzw. Entwicklern schwergemacht. Aber wie gesagt, ich wollte jetzt daran keine General-Kritik üben, das Ganze hat Vorteile, aber eben nicht nur Vorteile, sondern eben auch Nachteile. Undist teilweise eigentlich nur ein Notbehelf seitens Apple, weil die Plattform anderweitig sonst nicht dichtzukriegen ist. Die Frage ist, ob man das wirklich haben will, auch als Entwickler, so eine dermaßen dichtgenagelte Plattform und ob man sich damit nicht eigentlich selber ins Knie schießt unssich selber langfristig stranguliert. Absolute Sicherheit ist eben nicht zu haben! Und derlei Maßnahmen werden von jedem, der da reinwill, eh sofort ausgehebelt, das ist für den keine wirkliche Hürde. Für alle anderen hingegen ist es ein Erschwernis, das nicht immer zum Positiven führt.

Das mit der HTTPS Verbindung wird mittlerweile von alle 'Großen' wie Google etc und eigentlich auch der Web Community forciert. Kommt leider sehr spät aber da es bisher recht umständlich war sich um die Zertifikate zu kümmern auch kein Wunder. Nachdem es jetzt aber bereits zwei bekannte Services gibt bei dem man fast mehr Click seine Zertifikat automatisch beziehen und warten kann, steht einem reinen HTTPS Web nichts mehr entgegen ausser das nun noch jeder umziehen muss.

Das steht doch auch gar nicht zur Debatte. Sogar ich befürworte das ja sehr und habe das auch schon an anderer Stelle zur Kenntnis gegeben.

Nicht alles ist böse.

Auch darum geht es nicht. Siehe mein Eingangsposting. Aber es ist eben auch nicht alles unkritisch bejubelbar. Und dass diese Leute, die nicht immer gleich alles bejubeln, sondern die auch mal etwas ernster genommen werden mit dem was sie vorbringen, teilweise mit großer Berechtigung und auf Basis gewisser Erfahrungen hervorbringen, darum ist es mir mit meinem Eingangsposting gegangen.

Mal weniger Krieg hier bei MTN! Und sich mal bitte gegenseitig mehr angehört und toleriert und nicht imemr gleich niedergebrüllt, nur weil die betreffende Meinung und Sichtweise da grad' nicht ins eigene Denkschema passt! Darum geht's mir!

sierkb16.06.16 14:22

<OT>

Eventus:

Sei halt einfach besser! Bringe an der Sache orientierte Beiträge und wisse mehr zu den Dingen zu denen Du Dich äußerst und greife in Ermangelung dessen dann halt nicht als Ersatz die Person an. Dann kannst auch Du ab und zu mal Recht bekommen bzw Rechthaben bzw. mit Deiner Sichtweise überzeugen und die Oberhand haben. Wenn Du das nicht kannst, obsiegt halt notgedrungen und zwangsläufig das Argument des Anderen, wenn der mit stichhaltigeren und sachlicheren Argumenten aufwarten kann als Du, daran ist dann aber nicht der Andere schuld, wenn Du darin nicht besser bist und nicht mehr weißt. So ist es halt in einer Demokratie und bei Meinungs- und Redefreiheit.

</OT>

Back to topic, please!

sierkb16.06.16 14:23

Paddy2590:

+1

Eventus16.06.16 14:34

Was spricht denn für nicht zertifizierte Quellen?!

Wenn Apple die Gefahr vermindert, dass der unbedarfte Kunde seinen Computer beschädigt (um dann bei und gegen Apple zu jammern und Ansprüche zu stellen), ist das gut für fast alle Kunden. Es bleiben nur die üblichen Bastler und selbsternannten Könner, die glauben, Software von anderen Bastlern und selbsternannten Könnern verwenden zu müssen.

Live long and prosper! 🖖

Eventus16.06.16 14:39

sierkb
Hast du eigentlich jeden lieben Tag lang nichts besseres zu tun als hier streitlustig aufs nächste Opfer zu warten?

Live long and prosper! 🖖

blackxs16.06.16 14:52

Hat das den schon einer so??

Den bei mir mit 10.12 Beta 1 ..

torfdin16.06.16 15:27

blackxs

...
Den bei mir mit 10.12 Beta 1 ..
...

sehr drollig (was, wenn das "Problem" nur heiße Luft wäre)

Gibt es eigentlich ein Offizielles Statement von Apple, dass die dritte Option weg fällt?

Für Open Source mit der kompletten Problematik (Software nicht im Appstore ...) wäre das sehr schade, wenn die fehlende-dritte-Option in der Final-Version käme.

Bsp: (aktuelles) Libreoffice-Sprachpaket (das ist wohl auf einem unsigned Disc-Image)

immer locker bleiben - sag' ich, immer locker bleiben [Fanta 4]

vadderabraham16.06.16 15:34

Immer noch grundweg falsch! Auf meinem Beta sierra ist Punkt 3. immer noch vorhanden und anwählbar. Punkt, Ende!

Rolf Sauber16.06.16 16:00

blackxs

Hat das den schon einer so??

Den bei mir mit 10.12 Beta 1 ..

Das ist interessant, denn der Wegfall der dritten Option ist von Apple bestätigt. In der Security Session der WWDC wurde es explizit so vorgestellt:

Hier ein Screenshot daraus:

Marcel_75@work16.06.16 16:28

blackxs

Hat das den schon einer so??

Den bei mir mit 10.12 Beta 1 ..

Das ist noch ein bug in der ersten Entwicklerversion und wurde in der "What's new in Security" session auch erwähnt (um das zu wissen muss man aber auch dabei gewesen sein oder sich alternativ die Videoaufzeichnung angesehen haben).

Metti16.06.16 16:53

Eventus

Was spricht denn für nicht zertifizierte Quellen?!

Ich bin Programmentwickler und habe kein Interesse daran, Apple jedes Jahr 99$ zu bezahlen, um ein Entwicklerzertifikat zu erhalten.
Meine Programme sind bislang kostenlos und nicht über den App-Store zu beziehen.

Ich fänd es schon blöd, wenn Anwender meine Programme nicht mehr nutzen könnten. Alternativ muss ich für Mac-Anwender mein Programm kostenpflichtig machen, damit ich die Kosten für den Entwickleraccout herein bekomme. Meine Planung geht dahin.

Ob man das gut findet, darf jeder für sich entscheiden.

Gruß, Stefan Mettenbrink.

Eitot16.06.16 16:54

Apple hat während der Entwicklersitzung ausdrücklich erwähnt, dass die Option nur in den Systemeinstellungen verschwindet. Gatekeeper kann aber weiterhin ausgeschaltet werden, zum Beispiel über die Kommandozeile:

sudo spctl --master-disable

sierkb16.06.16 16:55

torfdin

Gibt es eigentlich ein Offizielles Statement von Apple, dass die dritte Option weg fällt?

Ja. Gibt es. In einem WWDC 2016-Track:

heise

Die bisherige Option für "Keine Einschränkungen" bei App-Downloads soll offenbar auch nicht im weiteren Verlauf der Beta von macOS 10.12 zurückkehren. Die gestrichene Option sei eine bewusste Änderung in Gatekeeper teilte das Unternehmen in einer Session auf der Entwicklerkonferenz WWDC mit.

Quelle:

Siehe dazu auch mein entsprechender Beitrag mit Verlinkung in einem anderen MTN-Thread hier: .

torfdin

Bsp: (aktuelles) Libreoffice-Sprachpaket

Siehe dazu auch die Diskussion im LibreOffice Bug 89657 - The lang-pack installation mechanism on OS X unacceptable -- needs refactoring for better installation UX sowie der dort angesichts der sich nun bei Sierra verschärfenden Problematik und Dringlichkeit heute von jemandem eingereichte Kommentar 39 .

sierkb16.06.16 17:05

Metti

Eventus

Was spricht denn für nicht zertifizierte Quellen?!

Marcel Bresink sieht das wohl ähnlich und andere namhafte Entwickler und Entwickler-Schmieden wie z.B. auch Panic Software, die machen einen weiten Bogen um den AppStore (, ), zumal man seine Software funktional verkrüppeln muss und sie nicht so anbieten kann, wie man es gerne möchte und es sinnvoll wäre, um da reinzukommen.

Zumal Entwickler-Zertifikate eigentlich auch nur Augenwischerei sind und an Sicherheit keinen echten Mehrwert bringen, zumal in letzter Zeit sich Malware und Missbrauch verbreiten und sogar im AppStore mehrfach einnisten konnte, trotz Entwicklerzertifikat. Und Apple hat's nicht gemerkt und durchgewunken. Und erst gemerkt, als es schon zu spät war, die betreffende Software schon im Umlauf und der Schaden schon da und öffentlich drüber berichtet worden ist. Verschiedene Sicherheitsexperten benennen das auch ganz offen, dass das Augenwischerei ist und im Grunde nix bringt. Und die Praxis bestätigt sie auch. Und genau deshalb ist Apple jetzt zu solchen Schritten genötigt. Weil das bisherige Konzept eigentlich nix bringt und im Grunde von genau denen, an die es eigentlich gerichtet ist, sehr leicht zu umgehen und auszuhebeln ist. Die lachen über das alles, für die sind das keine wirklichen Hürden. Whitehats haben da in der Vergangenheit genügend drüber gesprochen und drauf aufmerksam gemacht, dass das ganze Konzept bisher im Grunde ärschlings ist und sein Ziel im Grunde komplett verfehlt.

Eventus16.06.16 17:23

Metti

Eventus

Was spricht denn für nicht zertifizierte Quellen?!

Ohne dich und deine Programme zu kennen, stellen sich mir allgemein diese Fragen: Warum arbeitet jemand an einer Software, die er gratis an Nutzer abgibt? Entweder als Training, oder weils ein Auftraggeber bezahlt, oder weils Werbung für seine anderen Angebote sein soll, oder weils mit Fremdwerbung etwas in die Kasse bringen soll, oder?

Offenbar bringt dir deine Software nicht genug Werbeeinnahmen, dass sich dadurch die Vermarktungskosten von Apple decken liessen. Einen Auftraggeber scheints nicht zu geben. Also ist deine Software entweder Eigenwerbung oder ein Hobbyprodukt. Finds nicht sehr tragisch, wenn Apple das eingegrenzt.

(Wichtig: Es kann sein, dass ich irgendwie falsch überlegt hab. Bitte also nicht übel nehmen, wenn ich dir Unrecht tue. Danke im Voraus!)

Live long and prosper! 🖖

Eitot16.06.16 17:45

Die Programme befinden sich nicht in einem ‘versteckten’ Verzeichnis. ‘Path randomization’ bedeutet in diesem Fall, dass beim Ausführen ein Programm in einen separaten, zufälligen Pfad verschoben und darin ausgeführt wird, ohne dass der Anwender davon etwas mitbekommt. Das ist aber nur so lange der Fall, bis der Anwender das Programm einzeln (also ohne zusätzliche Dateien) in das Programme-Verzeichnis verschiebt, danach wird die Regel nicht mehr angewendet. Diese Regel gilt sowohl für signierte wie auch nicht-signierte Programme, ausgenommen Programme die aus signierten Installationspaketen (.pkg) oder signierten DMG-Abbildern stammen.

Dies beschreibt den Versuch von Schadsoftware, sich als eine andere, unbedenkliche App auszugeben, um den Nutzer zum Öffnen zu verleiten. Da die Schadsoftware nun aber nicht mehr im Programme-Ordner liegt, findet sie nicht mehr den Pfad zu den Ressourcen einer anderen App.

Die Gefahr liegt eher bei signierten Programmen die externe Komponenten außerhalb ihres App-Bündels platzieren und gebündelt vertreiben, zum Beispiel in einem Archiv. Ein Angreifer könnte nun diese Komponenten austauschen, mit Schadcode versehen um eine Lücke im Programm auszunutzen und dann alles zusammen erneut vertreiben, ohne die ursprüngliche Signatur zu invalidieren. Gatekeeper würde eine solche Manipulation nicht erkennen, weil es die externen Komponenten nicht überprüft. Mit ‘path randomization’ wird dem Programm der Zugang zu diesen Komponenten abgeschnitten und somit die Lücke geschlossen. Entwickler werden dazu gezwungen, um in solchen Fällen alle Komponenten im App-Bündel zu platzieren oder auf ein signiertes Installationspaket oder DMG-Abbild zurückzugreifen, da Programme mit externen Komponenten sonst nicht mehr funktionieren können. Wie gesagt, sobald ein Programm aber einmal ohne andere Dateien in das Programme-Verzeichnis verschoben wurde, gilt diese Regel nicht mehr (auch für nicht-signierte Programme).

sierkb16.06.16 18:23

Eitot:

Danke für Deine weiterführende Erläuterung.

Unsichtbar für Nutzer hat Apple das Handling mit Programmen von nicht zertifizierten Entwicklern geändert, um für mehr Sicherheit zu sorgen: Sie werden nicht mehr im Programme-Ordner abgelegt. Für den Nutzer sieht es zwar so aus, denn sie werden weiterhin darin angezeigt, aber ihr tatsächliches Verzeichnis ist zufallsgeneriert an anderer Stelle (»Path Randomization«).
[…]
Die Programme befinden sich nicht in einem ‘versteckten’ Verzeichnis. ‘Path randomization’ bedeutet in diesem Fall, dass beim Ausführen ein Programm in einen separaten, zufälligen Pfad verschoben und darin ausgeführt wird, ohne dass der Anwender davon etwas mitbekommt.

Dieser zufällige Pfad hat wo seine Wurzel, weißt Du das? Unterhalb von /var/folders/* wo ja auch bzgl. der meisten benutzer- und systemrelevanten Temp-, Cache- und mancher Socket-Datei schon randomisiert abgelegt wird (und auch /tmp deshalb immer leerer wird)? Oder wo?

Nicht nur könnte und würde. Sondern genau das passiert leider auch und das vermehrt (weil sich das als Erfolgsrezept natürlich durchaus herumgesprochen hat).
Erst wird was Signiertes offenbar Gutartiges vorangeschickt, das wird (teilweise nur oberflächlich oder auch gar nicht geprüft) von Apple durchgewunken, und dann kommt Huckepack was Unsigniertes Schadhaftes hinterher bzw. wird von der grad' durchgewunkenen App nachgezogen, und weder die AppStore-Eingangskontrolle noch Gatekeeper beanstanden das bzw. prüfen da erneut, weil ja bereits einmal zuvor beim Vorangegangenen erfolgreich und mit validem Zertifikat akzeptiert.

Weitere News-Kommentare anzeigen

Sicherheit: Fragen und Antworten zu Gatekeeper in macOS Sierra

Kommentare

Kommentieren

Sie müssen sich einloggen, um die News kommentieren zu können.