システム整合性保護

macOSに存在するセキュリティレイヤー
開発者	アップル社
初回リリース	2015年9月16日; 9年前 ( 2015-09-16 )
オペレーティング·システム	macOS
含まれるもの	OS X El Capitan (OS X 10.11) 以降
タイプ	コンピュータセキュリティソフトウェア
Webサイト	developer.apple.com/library/archive/documentation/Security/Conceptual/System_Integrity_Protection_Guide/ Introduction/ Introduction.html

システム整合性保護（SIP、^[1]ルートレス^{[2] [3]}と呼ばれることもある）は、OS X El Capitan（2015）（OS X 10.11）で導入されたAppleのmacOS オペレーティングシステムのセキュリティ機能です。カーネルによって強制されるいくつかのメカニズムで構成されています。中心となるのは、ルートユーザーまたはルート権限を持つユーザー（sudo ）によって実行された場合でも、特定の「権限」を持たないプロセスによる変更からシステム所有のファイルとディレクトリを保護することです。

Apple によれば、ルート ユーザーは、特にそのユーザーが管理者でもある単一のユーザー アカウントを持つシステムでは、システムのセキュリティに重大なリスクをもたらす可能性があるとのことです。SIP はデフォルトで有効になっていますが、無効にすることもできます。^{[4] [5]}

Apple は、システム整合性保護は高いレベルのセキュリティを確保するために必要なステップであると述べている。WWDC 開発者セッションの 1 つで、 Apple エンジニアの Pierre-Olivier Martel 氏は、無制限のルート アクセスはシステムに残る弱点の 1 つであると述べ、「マルウェアはパスワード 1 つまたは脆弱性1 つでデバイスを完全に制御できます」と述べた。同氏は、macOS のほとんどのインストールには、管理者の資格情報を持つユーザー アカウントが 1 つしかないため、ほとんどのユーザーは、要求するプログラムにルート アクセスを許可できると述べた。このようなシステムのユーザーがプロンプトが表示され、アカウント パスワードを入力すると (Martel 氏によると、パスワードは弱いか存在しないことが多い)、システム全体のセキュリティが危険にさらされる可能性がある。^[4] macOS でルート権限を制限することは前例のないことではありません。たとえば、Mac OS X Leopardより前のバージョンの macOS では、 BSDとその派生バージョンに由来するセキュリティ機能であるsecurelevelのレベル 1が強制されます。このセキュリティ機能は、macOS の一部のベースになっています。^[6]

システム整合性保護は、次のメカニズムで構成されます。

• システム ファイルとディレクトリの内容とファイル システム権限の保護。
• コード インジェクション、ランタイム アタッチメント (デバッグなど)、およびDTraceに対するプロセスの保護。
• 署名されていないカーネル拡張(「kext」)に対する保護。

システム整合性保護は、保護フラグが設定されたシステムファイルとディレクトリを保護します。これは、ファイルまたはディレクトリに拡張ファイル属性を追加するか、ファイルまたはディレクトリを に追加することによって行われます。またはその/System/Library/Sandbox/rootless.conf両方によって行われます。保護されているディレクトリには/System、、、、（ は含まれません）があります。^[8]、、およびから、およびへのシンボリックリンクも保護されていますが、ターゲットディレクトリ自体は保護されていません。 にプリインストールされているほとんどの Apple アプリケーションも保護されています。^[1]カーネルであるXNUは、特定の権限を持たないプロセスがフラグの設定されたファイルとディレクトリの権限と内容を変更することを防ぎ、保護された実行可能ファイルに関するコードインジェクション、ランタイムアタッチメント、および DTrace も防止します。^[9]/bin/sbin/usr/usr/local/etc/tmp/var/private/etc/private/tmp/private/var/Applications

OS X Yosemite以降、ドライバなどのカーネル拡張機能は、特定の Apple 権限でコード署名される必要がある。開発者は、Apple にそのような権限を持つ開発者 ID を要求する必要がある。 ^[10]署名されていない拡張機能が存在する場合、カーネルは起動を拒否し、代わりにユーザーに禁止記号を表示する。このメカニズムは「kext 署名」と呼ばれ、システム整合性保護に統合された。^{[4] [11]}

システム整合性保護は、SIPが有効な場合にシステムプログラムを呼び出すときに特定の環境変数をサニタイズします。たとえば、SIPは、/bin/bashなどのシステムプログラムを呼び出す前にLD_LIBRARY_PATHとDYLD_LIBRARY_PATHをサニタイズして、Bashプロセスへのコードインジェクションを回避します。^[12]

SIPによってデフォルトで保護されるディレクトリには以下が含まれます: ^[13]

• /System
• /sbin
• /bin
• /usr
• /Applications

/usrサブディレクトリを除いて保護されています/usr/local。/Applicationsカレンダー、写真、Safari、ターミナル、コンソール、App Store、メモなど、macOSにプリインストールされているアプリは保護されています。^[13]

システム整合性保護は、システムパーティションの外部からのみ（全体的または部分的に）無効にすることができます。そのために、Appleは、リカバリシステム内のターミナルウィンドウまたは起動可能なmacOSインストールディスクから実行できるcsrutil コマンドラインユーティリティを提供しており、デバイスのNVRAMにブート引数を追加します。これにより、デバイス上のEl CapitanまたはmacOS Sierraのすべてのインストールに設定が適用されます。 ^[4] macOSのインストール時に、インストーラはフラグの付いたシステムディレクトリ内の不明なコンポーネントをに移動します。^{[1] [4]システムディレクトリへの}書き込みアクセスを防止することにより、Appleソフトウェアのアップデート中にシステムファイルとディレクトリの権限が自動的に維持されます。その結果、ディスクユーティリティ^[14]および対応する操作では権限の修復は利用できません。 /Library/SystemMigration/History/Migration-[UUID]/QuarantineRoot/diskutil

システム整合性保護に対する評価はまちまちだ。Macworldは、Appleが将来のリリースでユーザーや開発者から完全な制御権を奪い、macOSのセキュリティポリシーをAppleのモバイルオペレーティングシステム iOSのセキュリティポリシーに徐々に移行し、多くのユーティリティや変更のインストールに脱獄が必要になる可能性があるという懸念を表明した。^{[2] [15]}一部のアプリケーションとドライバーは、この機能を一時的または永続的に無効にしないと、完全に機能しないか、まったく操作できない。Ars Technicaは、大規模な開発者はAppleと直接協力できる可能性があるため、これは小規模な開発者に不釣り合いな影響を与える可能性があると示唆した。しかし、彼らはまた、パワーユーザーを含むほとんどのユーザーには、この機能を無効にする理由がなく、「欠点はほとんどない」と述べた。^[1]

• Apple の Mac Developer Library のシステム整合性保護ガイド