Die System Integrity Protection sichert, wie bereits geschreiben, das System weitestgehend vor dem Zugriff von aussen ab. Dies wird erreicht indem sensible Bereiche des System nicht mehr verändert werden können. Nach der Installation von El Capitan ist die System Integrity Protection standartmäßig aktiviert was zur Folge hat, dass...
-> Diverse Systemverzeichnisse besonders geschützt und ausgeblendet sind (/System, /bin, /sbin, /usr...)
-> Nicht signierte Extensions nicht mehr geladen werden
-> Im Festplattendienstprogramm die Optionen zum reparieren der Berechtigungen fehlen
-> Der Inhalt von Systemverzeichnissen nicht mehr verändert werden kann
-> Der Inhalt des NVRAMs nicht mehr verändert werden kann
Per Design lässt die System Integrity Protection also keinerlei Veränderungen an systemrelevanten Dateien zu und zwar weder durch Benutzer noch durch Programme und selbst der root User ist davon nicht ausgenommen. Für den Otto normalanwender also eigentlich ein durchaus sinnvolles Feature denn das System läuft bei normaler Benutzung mit aktiver SIP nicht anders oder schlechter als ohne nur eben sicherer. Für die Hackintosh Community ist das freilich kein akzeptabler Zustand denn die SIP in der Form in der Apple sie implementiert hat ist für uns eher lästig als nützlich denn sie verhindert zuverlässig, dass unsere Hacks booten da essentielle Extensions wie etwa die FakeSMC jetzt nicht mehr geladen werden. Glücklicherweise lässt sich das Feature sehr fein konfigurien aber dazu muss man erstmal verstehen wie es funktioniert. Die SIP umfasst folgende Restriktionen:
-> Apple Internal
-> Kext Signing
-> Filesystem Protection
-> Debugging Restrictions
-> Dtrace Restrictions
-> NVRAM Protections
und kennt neben an und aus auch noch eine Menge individuelle Konfigurationen die es uns ermöglicht den Schutzgrad unseren Bedürfnissen entsprechend einzustellen. Aber wie funktioniert das Ganze nun? Beim Start des Systems wertet der OS-X eigene Bootloader (boot.efi) bzw. der Kernel den inhalt einer bestimmte NVRAM Variable aus (CSRActiveConfig) und stellt das Schutzlevel entsprechend ihres Inhalts ein. Ist die Variable nicht vorhanden oder enthält den Wert 0 bedeutet dies das die System Integrity Protection komplett aktiv ist, weicht der Wert von der 0 ab wird der Schutzgrad entsprechen der Konfiguration eingestellt. Folgende Übersicht veranschaulicht die möglichen Konfigurationen:
- hex n/a nvram dtrace intern debug pid fs kexts
- csrutil enabled --no-internal 00 0 0 0 0 0 0 0 0
- csrutil enabled 10 0 0 0 1 0 0 0 0
- csrutil enable —-without kext 11 0 0 0 1 0 0 0 1
- csrutil enable —-without fs 12 0 0 0 1 0 0 1 0
- csrutil enable —-without debug 14 0 0 0 1 0 1 0 0
- csrutil enable —-without dtrace 30 0 0 1 1 0 0 0 0
- csrutil enable —-without nvram 50 0 1 0 1 0 0 0 0
- csrutil disabled 77 0 1 1 1 0 1 1 1
- Other settings
- disabled (no internal) 67 0 1 1 0 0 1 1 1
Hier wird deutlich, das sich das Schutzlevel sehr fein einstellen lässt. Für einen typischen Hackintosh Fall (Post install) würde es zum Beispiel reichen vorübergehend den Filesystem Schutz auszuschalten und das laden unsignierter Extensions zu erlauben. Folgt man dem oberen Beispiel ergibt sich hieraus also:
Also ein binärwert von 00000011 oder eben ein hex Wert von 03 setzten lässt sich der Wert nun abhängig vom Bootloader auf unterschiedliche Art und Weise. Bei Clover erreicht man das indem man den Wert in den Bereich RT-Variables unter den Punkt CsrActiveConfig in die config.plist einträgt was dann in etwa so aussieht:
unter Ozmosis gelingt es indem man den Wert mit dem folgenden Kommando in den NVRAM schreibt
oder an der entsprechenden Stelle in die defaults integriert. Allerdings funktioniert das nicht mehr, wenn El Capitan bereits läuft. Um den Wert zu setzen muss man dann entweder die EIF Shell aus dem Bios starten (HermitShell) und den Wert mittels SetVar Befehl setzen oder aber Yosemite booten und die Einstellung vor der Installation von El Capitan dort vornehmen. Prüfen wie die SIP eingestellt ist kann man dann anschließend im laufenden El Capitan durch die Eingeabe des folgenden Befehls ins Terminal:
die Antwort sieht bei komplett abgeschalteter SIP dann so aus
- System Integrity Protection status: enabled (Custom Configuration).
- Configuration:
- Apple Internal: disabled
- Kext Signing: disabled
- Filesystem Protections: disabled
- Debugging Restrictions: disabled
- DTrace Restrictions: disabled
- NVRAM Protections: disabled
- This is an unsupported configuration, likely to break in the future and leave your machine in an unknown state.
Für diejenigen unter Euch, die es lieber grafisch mögen gibt es aber auch ein Tool zum setzen der Einstellungen. Das SIPUtility läuft sowohl auf Yosemite als auch auf El Capitan und lässt komfortable Änderungen an der Konfiguration zu solange der NVRAM beschreibbar ist.
