macOS 10.14.5: Apple hebt Sicherheitsniveau an

20. Mai 2019 15:00 Uhr - Redaktion

Vor knapp einem Jahr, zur Entwicklerkonferenz WWDC 2018 in San Jose, kündigte Apple eine Erweiterung der macOS-Sicherheitsfunktion Gatekeeper an. Ein neuer Notarisierungsdienst sieht vor, dass per Apple-Developer-ID signierte Mac-Software vor der Bereitstellung durch den Entwickler einem automatisierten Scan unterzogen wird, um zu verhindern, dass damit absichtlich oder unbeabsichtigt Malware ausgeliefert wird. Dieser neue Mechanismus wird nun schrittweise scharfgeschaltet.

Bis macOS 10.14.4 war die Notarisierung freiwillig. Mit dem vor einer Woche veröffentlichten macOS 10.14.5 hat sich dies geändert: Die Malware-Prüfung mitsamt Beglaubigung ist seitdem für neue und aktualisierte Kernel-Erweiterungen sowie für Software, die mit neuen Apple-Developer-IDs signiert wurde, verpflichtend. Ab Herbst, mit der Einführung von macOS 10.15, wird die Notarisierung dann allgemeiner Standard, d. h. für alle, auch ältere Developer-IDs. Details erläutert das Unternehmen auf dieser Web-Seite.

Allerdings führt die Notarisierungspflicht jetzt zu ersten Problemen. Beispielsweise lässt sich die neue Version 6.0.8 der Virtualisierungssoftware VirtualBox nicht installieren, weil der Hersteller Oracle es versäumt hat, seine Kernel-Erweiterung von Apple beglaubigen zu lassen. Dies ist unverständlich, da Apple in den letzten Monaten regelmäßig und in aller Deutlichkeit auf die kommende Änderung hingewiesen hat. Workarounds für das Problem sind auf dieser Web-Seite zu finden. Wann Oracle ein Bug-Fix-Update vorlegen wird, ist unklar.

 
macOS Mojave
 
macOS: Apple führt automatische Malware-Prüfung für signierte Software ein.
Bild: Apple.

 

Hintergrund: Seit macOS Sierra können außerhalb des Mac-App-Stores vertriebene Programme standardmäßig nur dann ausgeführt werden, wenn sie für die Sicherheitsfunktion Gatekeeper signiert sind. Dazu müssen sich die Entwickler bei Apple registrieren und sich ein Gatekeeper-Zertifikat ausstellen lassen.

Wird mit Gatekeeper-signierten Anwendungen Missbrauch getrieben, beispielsweise zur Verteilung von Werbesoftware (Adware) oder Schadsoftware (Malware), zieht Apple nachträglich die Gatekeeper-Zertifikate zurück, wodurch die betreffenden Programme nicht mehr geöffnet und auf den Rechnern der User keinen Schaden mehr anrichten können.

Mit der neuen, zusätzlichen Sicherheitsprüfung (Notarisierung) geht Apple noch einen Schritt weiter. Gatekeeper-Software wird für die Beglaubigung mittels eines automatisierten Prüfungsprozesses beim Mac-Hersteller eingereicht (zu einem Server hochgeladen). Dabei wird die Software automatisch und schon im Vorfeld auf bekannte Ad- und Malware überprüft und nur dann beglaubigt und für den Vertrieb freigegeben, wenn die Prüfung keine Infizierung festgestellt hat. Diese Prüfung dauert lediglich einige Minuten und ist nicht mit einem App-Store-Review zu verwechseln.

Die Verbreitung von Ad- oder Malware über von Apple signierte Apps wird durch die Notarisierung erschwert. Natürlich kann die Beglaubigung ausgetrickst werden – über neue, vom Scansystem noch nicht erkannte Malware - doch dann hat Apple noch immer die Möglichkeit, im Notfall nachträglich das Developer-Zertifikat zurückzuziehen und den Nutzer durch aktualisierte Definitionen für die Malware-Erkennung XProtect zu warnen.

Unter dem Strich ist die Neuerung zu begrüßen, da nun schon vor der Bereitstellung von Software eine Malware-Prüfung durchgeführt wird und sich die Angriffsfläche und damit das Risiko für den Nutzer wieder ein Stückchen verringert – was in Zeiten zunehmender digitaler Sicherheitsbedrohungen sehr zu begrüßen ist.

Und nein, macOS wird dadurch nicht zum eingezäunten System: Es ist weiterhin das Starten von nicht signierter Software möglich. Die Deaktivierung der Sicherheitsfunktion Gatekeeper sollten allerdings nur erfahrene Nutzer vornehmen, die wissen was sie tun. Mehr dazu in: Softwareinstallationen aus allen Quellen in macOS zulassen.

Kommentare

Allein wenn man überlegt wie viele Apps sparkle nutzen um nach Updates suchen:

 Sprakel unterstützt noch keine Hardened Binaries, hat seine eigene Framework ID und unterstützt kein Sandboxing. Also gleich drei Gründe warum man keine Notarisieeung bekommt wenn das eigene App Sparkle enthält. Und das ist nur ein Framework, es gibt zu viele Gründe das Apps nicht notarisiert werden können wenn sie nicht für den Apps Store entwickelt wurden. 

Bin gespannt wie es da weiter geht.

Ich vermute mal ganz ganz stark, dass es dort mehr Neuigkeiten zum Thema Notarisierung geben wird.

Die Idee an sich ist ja nicht verkehrt.

Und ganz ehrlich: Sandboxing erwarte ich heutzutage einfach von jeder Software. Da sind dann auch mal die Entwickler gefordert, entsprechende Modernisierungen zu gehen. Es ist ja fast schon Wahnsinn, was es im Jahr 2019 für Programme gibt, die noch kein 64bit können geschweige denn Metal nutzen etc.

Ich benötige oftmals ältere Software, 10 bis 20 Jahre alt, die vom Entwickler vernachlässigt oder aufgegeben wurde. Da kann ich weder mein System um 20 Jahre zurücksetzen, noch erwarten, dass der Entwickler es anpasst. Also habe ich ein Problem. Einfache Lösungen bieten sich an: 1) Man kann den veralteten Bezug auf die neue Lokalisation umleiten. 2) Man kann nicht signierte Software einmalig zur Installation freischalten, ohne dass man den Systemschutz dauerhaft aushebelt. Letzteres Ansinnen ist möglich, aber gefährlich und völlig unnötig. macOs 10.14 ist ja nicht nur sehr sicher, sondern u.a. wg. UNIX sehr flexibel, auch und gerade für einfache Anwender.