ゲートキーパー (macOS)

ゲートキーパー

開発者	アップル社
初回リリース	2012年7月25日 ( 2012-07-25 )
オペレーティング·システム	macOS

Gatekeeperは、AppleのmacOS オペレーティングシステムのセキュリティ機能です。^{[1] [2]}コード署名を強制し、ダウンロードしたアプリケーションの実行を許可する前に検証することで、マルウェアを誤って実行する可能性を減らします。 Gatekeeperは、 Mac OS X Leopard（10.5）で導入され、 Mac OS X Snow Leopard（10.6）で拡張されたファイル隔離に基づいています。 ^{[3] [4]この機能は、} Mac OS X Lionのバージョン10.7.3でコマンドラインユーティリティspctlとして始まりました。^{[5] [6]}グラフィカルユーザーインターフェイスは、もともとOS X Mountain Lion （10.8）で追加されましたが、10.7.5アップデートでLionにバックポートされました。^[7]

システム環境設定のセキュリティとプライバシー パネルには、次の 3 つのオプションがあり、次からダウンロードしたアプリを許可します。

Mac App Store

Mac App Storeからダウンロードしたアプリケーションのみを起動できるようにします。

Mac App Storeと特定開発者

Mac App Store からダウンロードしたアプリケーションと、認定された Apple 開発者によって署名されたアプリケーションの起動を許可します。これは Mountain Lion 以降のデフォルト設定です。

どこでも

すべてのアプリケーションの起動を許可します。これにより、Gatekeeperが無効になります。これはLionのデフォルト設定です。macOS Sierra（10.12）以降、このオプションはデフォルトで非表示になっています。^{[8] [9]}

ただし、このオプションは、ターミナルから「sudo spctl --master-disable」コマンドを使用し、管理者パスワードで認証することで再度有効にすることができます。

コマンドラインユーティリティspctlは、カスタムルールや個別または包括的な権限などのきめ細かい制御や、Gatekeeperをオフにするオプションを提供します。^[6]

アプリケーションをダウンロードすると、ダウンロードしたファイルに特定の拡張ファイル属性（「隔離フラグ」）を追加することができます。^{[10]この属性は、} Webブラウザや電子メールクライアントなど、ファイルをダウンロードするアプリケーションによって追加されますが、 Transmissionなどの一般的なBitTorrentクライアントソフトウェアでは通常追加されません。アプリケーション開発者は、この機能をアプリケーションに実装する必要があり、システムでは実装されていません。システムは、Xprotectと呼ばれる署名ベースのシステムを使用して、個々のアプリケーションにこの動作を強制することもできます。^[11]

ユーザーがこのような属性を持つアプリケーションを開こうとすると、システムは実行を延期し、次のことを確認します。

• ブラックリストに載っている、
• Appleまたは認定開発者によってコード署名されているか、
• 署名と一致するコード署名されたコンテンツが含まれています。

Mac OS X Snow Leopard以降、システムは既知のマルウェアや安全でないソフトウェアを識別するために2つのブラックリストを保持しています。ブラックリストは定期的に更新されます。アプリケーションがブラックリストに登録されている場合、ファイル検疫はそれを開くことを拒否し、ユーザーにゴミ箱にドラッグすることを推奨します。^{[11] [12]}

コード署名要件が満たされていない場合、ゲートキーパーはアプリケーションの起動を拒否します。Appleは、アプリケーションが署名された開発者の証明書を取り消し、それ以上の配布を禁止することができます。^{[1] [3]}

アプリケーションがファイル検疫またはゲートキーパーを通過すると、通常どおり実行できるようになり、再度検証されることはありません。^{[1] [3]}

Gatekeeperを無効にするには、ユーザー（管理者として行動する）がシステム環境設定のセキュリティとプライバシーパネルからより緩いポリシーに切り替えるか、コンテキストメニューからアプリケーションを開くかspctlで追加して、特定のアプリケーションの手動上書きを許可する必要があります。^[1]

開発者は、システムによってユニットとして検証できるディスクイメージに署名することができます。macOS Sierra では、これにより開発者はバンドルされたすべてのファイルの整合性を保証し、攻撃者がそれらを感染させて再配布するのを防ぐことができます。さらに、「パスのランダム化」により、アプリケーションバンドルはランダムな隠しパスから実行され、それらの場所に関連する外部ファイルへのアクセスが防止されます。アプリケーションバンドルが署名されたインストーラパッケージまたはディスクイメージから生成された場合、またはユーザーが他のファイルを含まずにアプリケーションを手動で別のディレクトリに移動した場合は、この機能はオフになります。^[8]

マルウェア対策における Gatekeeper の有効性と根拠は認められているが^[3]、留保も付いている。セキュリティ研究者の Chris Miller は、Gatekeeper はアプリケーションが最初に開かれたときにのみ開発者証明書を検証し、既知のマルウェア リストを参照すると指摘している。すでに Gatekeeper を通過したマルウェアは阻止されない。^[13]さらに、Gatekeeper は検疫フラグを持つアプリケーションのみを検証する。このフラグはシステムではなく他のアプリケーションによって追加されるため、フラグの追加を怠ったり失敗したりしても Gatekeeper は起動しない。セキュリティ ブロガーの Thomas Reed によると、BitTorrent クライアントはこれに頻繁に違反している。アプリケーションがネットワーク共有やUSB フラッシュ ドライブなどの別のソースから取得された場合もフラグは追加されない。^{[10] [13]}また、開発者証明書を取得するための登録プロセスと証明書盗難の可能性についても疑問が提起されている。^[14]

2015年9月、セキュリティ研究者のパトリック・ウォードルは、ライブラリやJavaScriptを含む可能性のあるHTMLファイルなどの外部ファイルとともに配布されるアプリケーションに関する別の欠点について書いています。^[8]攻撃者はこれらのファイルを操作し、それらを通じて署名されたアプリケーションの脆弱性を悪用することができます。その後、アプリケーションとその外部ファイルは、アプリケーションバンドル自体の元の署名をそのまま残したまま再配布できます。Gatekeeperはそのような個々のファイルを検証しないため、セキュリティが侵害される可能性があります。^[15] Appleは、パスのランダム化と署名されたディスクイメージを使用して、macOS Sierraでこの問題を軽減するメカニズムを提供しました。^[8]

2021年には、ファイルの最初の行（インタープリタ#!のパスなし）に配置するとGatekeeperをバイパスする脆弱性が発見されました。 ^[16]

2022年に、マイクロソフトの研究者が、 AppleDouble形式を悪用して任意のアクセス制御リストを設定し、Gatekeeperをバイパスする脆弱性を公開しました。^[17]

• マイクロソフト スマートスクリーン
• システム整合性保護
• サンドボックス（コンピュータセキュリティ）