Я могу загружать приложения с пользовательских веб-сайтов и запускать их, даже если мои настройки привратника установлены на «AppStore Only». Это мое заявление - оно даже не подписано.
Что может быть причиной этого? Я могу воспроизвести это поведение на всех моих 3 маках.
macos
gatekeeper
JasonGenX
источник
источник
Ответы:
Это особенность состояния, при которой пользователь-администратор всегда может переопределить Gatekeeper и открыть приложение, щелкнув правой кнопкой мыши приложение в Finder.
Пользователь с правами администратора также может изменить настройки Gatekeeper или полностью отключить его, поэтому нет особого вреда (по крайней мере, на мой взгляд) в представлении одноразового диалогового окна белого списка, чтобы гарантировать, что пользователь с правами администратора допускает несовместимость (без подписи). или не Mac App Store) приложение для запуска.
Теперь, если вы нашли способ для пользователя, не являющегося администратором, обойти Gatekeeper, то я бы ожидал, что компания Apple предоставит уязвимость в системе безопасности, чтобы получить дыру в поиске дыры, как только они исправят любую ошибку реализации, позволяющую запускать приложения из политики.
Apple подробно описывает эту функцию, как явно занести в белый список приложение.
Gatekeeper - это не защита от вредоносных программ и не черный список. Это набор политик, которые позволяют сначала запускать правильно подписанные приложения и / или проверять квитанции магазина приложений Mac. Если пользователь с правами администратора запускает, а затем одобряет запуск несовместимого программного обеспечения, у вас есть проблема с образованием или политикой, а не обнаружение некоторого недостатка в Gatekeeper.
Подробно я суммировал (и в основном скопировал) соответствующие разделы справки Apple о внесении в белый список любого приложения, чтобы Gatekeeper позволял ему работать беспрепятственно и беспрепятственно:
Вы можете легко контролировать, кто может занести в белый список Приложения, не раздавая имена пользователей и пароли Администратора пользователям, которые не знают об этой функции, а также вы можете управлять привратником из терминала или менеджера профилей и другого программного обеспечения управляемых настроек, такого как Casper из JAMF. Вы также можете проверить свои машины на наличие программного обеспечения, которое занесено в белый список, чтобы периодически сбрасывать список разрешенных приложений и определять, кто выполняет эту функцию в случае, если вы хотите изменить политику и привычку.
источник
spctlчтобыspctl --assess -v /Applications/Whatever.appпоказать вам, разрешено ли это или отклонено, иspctl --remove /Applications/Whatever.appсбросить «Диалог» и статус для конкретного приложения. Я использую инструмент для сбора всех приложений в системах, чтобы я мог проверять использование и исправлять вещи при необходимости с помощью короткого сценария.Загрузка файла через SMB не приведет к карантину, а поскольку приложение не помещено в карантин, политика привратника никогда не проверяется. Я не уверен, почему он помечен как карантин на других ваших компьютерах ...
Чтобы проверить на карантин в любой момент, используйте
ls -ld@команду для поиска атрибута com.apple.quarantine:Если этот атрибут карантина присоединен к приложению, будет проверена политика привратника; если нет, то не будет. Интересный вопрос - почему он был помещен в карантин на других ваших компьютерах, и если вы используете эту команду для проверки приложения в различных точках по мере его распространения, вы можете выяснить, когда атрибут присоединяется (и, следовательно, почему он подключается).
РЕДАКТИРОВАТЬ: Есть примечание, относящееся к этому в разделе «Нажмите здесь для более подробной информации» статьи КБ Apple № HT5290 :
источник
xattr -d com.apple.quarantineего, вы можете открыть его, даже если оно нарушает политику привратника.Если вы включили эту скрытую настройку, она также отключает Gatekeeper:
Или OS X позволяет открывать все приложения независимо от настроек в Системных настройках.
источник
Gatekeeper запрещает запуск приложений двойным щелчком, но вы всегда можете переопределить его, выбрав « Открыть» в контекстном меню.
Если вы можете запускать загруженные неподписанные приложения двойным щелчком, это проблема с Gatekeeper. Файлы сохранять свой статус карантина в качестве расширенного атрибута называется com.apple.quarantine . Если по каким-либо причинам этот атрибут очищен из загруженных вами файлов, Gatekeeper будет считать загруженные файлы ничем не отличающимися от любых других файлов на вашем компьютере. Так что я бы посоветовал, чтобы загрузка программы с последующим использованием
xattr -l filenameв терминале была бы хорошим диагностическим инструментом, если у вас установлен Xcode.Если вы запускаете их с помощью команды «Открыть» из меню, это заданное поведение. Обратите внимание, что как только вы запустили программу из меню, она всегда может быть запущена двойным щелчком независимо от настроек вашего гейткипера.
источник