Как отключить систему защиты целостности системы (SIP) AKA «без рута» в macOs [OS X]

Apple представила защиту целостности системы , также известную как «без корневых», с OS X 10.11, El Capitan. Я понимаю, что это шаг к общей защите от вредоносных программ, но как разработчик мне нужен доступ на запись к некоторым файлам, которые он блокирует.

Как отключить эту защиту?

Документация Apple включает в себя отключение SIP, О защите целостности системы на вашем Mac и Настройка защиты целостности системы .

В статье на lifehacker.com перечислены эти шаги:

1. Перезагрузите Mac в режиме восстановления, перезагрузив компьютер и удерживая кнопку Command+, Rпока на экране не появится логотип Apple.
2. Нажмите Утилиты> Терминал.
3. В окне терминала введите csrutil disableи нажмите Enter.
4. Перезагрузите ваш Mac.

Вы можете проверить, ограничен ли файл или папка, введя эту lsкоманду, используя заглавную O (а не ноль 0), чтобы изменить флаг длинного листинга:

ls -lO /System /usr 

Ищите ограниченный текст, чтобы указать, где применяется SIP.

По умолчанию (= SIP включен) следующие папки ограничены (см. Страницу поддержки Apple ):

/System
/usr
/bin
/sbin
Apps that are pre-installed with OS X

... и следующие папки бесплатны:

/Applications
/Library
/usr/local

Можно отключить SIP, загрузившись в Recovery HD и выполнив следующую команду:

csrutil disable

Также возможно включить защиту SIP и выборочно отключить ее аспекты, добавив один или несколько флагов в csrutil enableкоманду. Все требуют загрузки из Recovery, чтобы установить их:

Включить SIP и разрешить установку неподписанных расширений ядра

csrutil enable --without kext

Включить SIP и отключить защиту файловой системы

csrutil enable --without fs

Включить SIP и отключить ограничения отладки

csrutil enable --without debug

Включить SIP и отключить ограничения DTrace

csrutil enable --without dtrace

Включить SIP и отключить ограничения на запись в NVRAM

csrutil enable --without nvram

У меня также есть пост с дополнительной информацией о SIP:

Защита целостности системы - добавление еще одного уровня в модель безопасности Apple

Если цель состоит в том, чтобы просто отключить защиту целостности системы, то загрузка в раздел Recovery HD, как ранее рекомендовано в других ответах здесь, через Command+ rпри загрузке, не самый быстрый способ сделать это.

Вы можете сочетать однопользовательскую загрузку с загрузкой HD восстановления в недокументированной комбинации клавиш запуска:

• https://support.apple.com/en-us/HT204904 покрывает нормальное восстановление
• держать Command+ r+ , sчтобы загрузить в монопольном режиме восстановления пользователя.

Это приведет вас к минимальной минимальной среде, которая необходима для этого напрямую .

Было бы безопаснее изменить, /etc/pathsтак что /usr/local/binэто просто раньше usr/bin. Таким образом, вы можете выполнять свою работу по разработке /usr/local/binбез отключения SIP.

Чистые установки ОС упорядочены /etc/pathsтаким образом со времен El Capitan, но если вы обновляете ОС с Yosemite или более ранней версии, вам придется изменить порядок путей вручную.

Если вам нужен только доступ к / usr / local, взгляните на эту страницу: https://github.com/Homebrew/homebrew/blob/master/share/doc/homebrew/El_Capitan_and_Homebrew.md

Идея состоит в том, чтобы временно отключить SIP с помощью csrutil disable, добавить /usr/local, использовать chflags, чтобы установить этот каталог без ограничений

 sudo mkdir /usr/local && sudo chflags norestricted /usr/local && sudo chown -R $(whoami):admin /usr/local

и затем повторно включите SIP, используя csrutil enable.

Если /usr/localна момент вашего обновления уже существует, то даже вышеперечисленное не является необходимым. Вы можете просто запустить

sudo chown -R $(whoami):admin /usr/local

Если вы не можете войти в раздел восстановления для запуска csrutil disable(чтобы отключить SIP ), попробуйте установить параметры загрузки с помощью nvramкоманды, например

sudo nvram boot-args="rootless=0"

Однако, если у вас есть следующая ошибка:

nvram: Ошибка установки переменной - «boot-args»: (iokit / common) не разрешено

тогда это не сработает. Вам по-прежнему нужно загрузить его восстановления / безопасный режим.

Видеть:

• Установка переменной NVRAM при нормальной загрузке не разрешена, но разрешена в режиме восстановления
• Перезапуск в безопасном режиме без использования клавиши Shift под Мохаве

У меня недостаточно репутации, чтобы добавить это в качестве комментария к ссылке на github Homebrew 404 выше. У Wayback Machine все еще есть это:

http://web.archive.org/web/20160117204214/https://github.com/Homebrew/homebrew/blob/master/share/doc/homebrew/El_Capitan_and_Homebrew.md