Como desativar a proteção de integridade do sistema em um Mac (e por que você não deveria)

O Mac OS X 10.11 El Capitan protege os arquivos e processos do sistema com um novo recurso denominado Proteção da Integridade do Sistema. SIP é um recurso de nível de kernel que limita o que a conta “root” pode fazer.

Este é um ótimo recurso de segurança e quase todos – até mesmo “usuários avançados” e desenvolvedores – devem deixá-lo habilitado. Mas, se você realmente precisar modificar os arquivos do sistema, pode contorná-lo.

O que é a proteção da integridade do sistema?

No Mac OS X e em outros sistemas operacionais semelhantes ao UNIX , incluindo Linux, há uma conta “root” que tradicionalmente tem acesso total a todo o sistema operacional. Tornar-se o usuário root – ou obter permissões de root – dá acesso a todo o sistema operacional e a capacidade de modificar e excluir qualquer arquivo. O malware que obtém permissões de root pode usar essas permissões para danificar e infectar os arquivos do sistema operacional de baixo nível.

Digite sua senha em uma caixa de diálogo de segurança e você deu as permissões de root do aplicativo. Isso tradicionalmente permite que ele faça qualquer coisa em seu sistema operacional, embora muitos usuários de Mac possam não ter percebido isso.

A Proteção de Integridade do Sistema – também conhecida como “sem raiz” – funciona restringindo a conta root. O próprio kernel do sistema operacional verifica o acesso do usuário root e não permite que ele faça certas coisas, como modificar locais protegidos ou injetar código em processos protegidos do sistema. Todas as extensões do kernel devem ser assinadas e você não pode desabilitar a Proteção da Integridade do Sistema no próprio Mac OS X. Os aplicativos com permissões de root elevadas não podem mais interferir nos arquivos do sistema.

Você provavelmente notará isso se tentar gravar em um dos seguintes diretórios:

• /Sistema
• / bin
• / usr
• / sbin

O OS X simplesmente não permite, e você verá uma mensagem “Operação não permitida”. O OS X também não permite que você monte outro local sobre um desses diretórios protegidos, então não há como contornar isso.

A lista completa de locais protegidos pode ser encontrada em /System/Library/Sandbox/rootless.conf em seu Mac. Inclui arquivos como os aplicativos Mail.app e Chess.app incluídos no Mac OS X, então você não pode removê-los – mesmo a partir da linha de comando como usuário root. Isso também significa que o malware não pode modificar e infectar esses aplicativos, no entanto.

Não por coincidência, a opção “ reparar permissões de disco ” no Utilitário de Disco – há muito usada para solucionar vários problemas do Mac – foi removida. A proteção de integridade do sistema deve evitar que permissões de arquivos cruciais sejam adulteradas. O Utilitário de Disco foi reprojetado e ainda tem uma opção de “Primeiros Socorros” para reparar erros, mas não inclui nenhuma maneira de reparar as permissões.

Como desativar a proteção de integridade do sistema

Aviso : não faça isso a menos que tenha um bom motivo para fazê-lo e saiba exatamente o que está fazendo! A maioria dos usuários não precisará desativar esta configuração de segurança. Não se destina a impedir que você mexa com o sistema – tem como objetivo evitar que malware e outros programas mal-comportados interfiram no sistema. Mas alguns utilitários de baixo nível podem funcionar apenas se tiverem acesso irrestrito.

A configuração da Proteção de integridade do sistema não é armazenada no Mac OS X propriamente dito. Em vez disso, ele é armazenado na NVRAM em cada Mac individual. Ele só pode ser modificado no ambiente de recuperação.

Para inicializar no modo de recuperação , reinicie o Mac e segure Command + R ao inicializar. Você entrará no ambiente de recuperação. Clique no menu “Utilitários” e selecione “Terminal” para abrir uma janela de terminal.

Digite o seguinte comando no terminal e pressione Enter para verificar o status:

csrutil status

Você verá se a Proteção de integridade do sistema está habilitada ou não.

Para desativar a proteção de integridade do sistema, execute o seguinte comando:

csrutil disable

Se você decidir que deseja ativar o SIP posteriormente, volte ao ambiente de recuperação e execute o seguinte comando:

csrutil enable

Reinicie o seu Mac e sua nova configuração de Proteção de Integridade do Sistema entrará em vigor. O usuário root agora terá acesso total e irrestrito a todo o sistema operacional e a todos os arquivos.

---

Se você já tinha arquivos armazenados nesses diretórios protegidos antes de atualizar seu Mac para OS X 10.11 El Capitan, eles não foram excluídos. Você os encontrará movidos para o diretório / Library / SystemMigration / History / Migration- (UUID) / QuarantineRoot / em seu Mac.

Crédito da imagem: Shinji no Flickr