Hiểu về cơ chế bảo mật rootless của OS X El Capitan: giới hạn cả quyền root, hạn chế malware

Vì sao Apple lại nghĩ đến việc hạn chế quyền của root? Tại hội nghị WWDC diễn ra hồi tháng 6/2015, kĩ sư Pierre-Olivier Martel của Apple đã mô tả rằng quyền không giới hạn của người dùng root / super user chính là một trong những điểm yếu còn lại của hệ thống. "Bất kì phần mềm nào có password của root đều có quyền kiểm soát toàn bộ máy tính của bạn".

Ông nói thêm rằng bởi vì hầu hết người dùng OS X đều chỉ tạo 1 tài khoản trên máy nên mặc định tài khoản này cũng có đầy đủ quyền của root. Nếu sơ ý, người dùng có thể cấp quyền root cho một phần mềm mã độc khi được nó yêu cầu mà không hề biết đến sự mất an toàn đang đe dọa chính mình. Ngoài ra, người dùng thường không đặt password hoặc password quá đơn giản nên sẽ dẫn đến việc bị dò ra mật khẩu một cách dễ dàng và chiếm lấy quyền root trong tích tắc. Chính vì thế mà SIP mới xuất hiện.

Thực chất thì việc giới hạn quyền root cũng đã có từ trước chứ không phải quá mới mẻ. Từ OS X Leopard 10.5 về trước, Apple cũng áp dụng cơ chế bảo mật tương tự và nó là tính năng của BSD, hệ điều hành UNIX mà OS X có xài một phần.

Hạn chế ghi vào các thư mục hệ thống

Vậy thì những thư mục nào bị hạn chế? Chúng gồm có:

• /System
• /System
• /bin
• /usr (nhưng không áp dụng cho “/usr/local”)
• /sbin

Để thử SIP với các folder trên rất đơn giản, bạn chỉ cần mở cửa sổ Terminal và thử lệnh sudo mkdir TestTinhte để tạo folder mới trong thư mục /System. Bạn sẽ nhận được thông báo rằng bạn không được phép làm chuyện này, ngay cả khi đã có chữ sudo (tức chạy dưới quyền root).


Nếu bạn có những file, folder "lạ" đã cài vào những thư mục nói trên từ trước khi update lên OS X El Capitan thì sao? Khi đó, hệ điều hành sẽ di chuyển những file này vào thư mục /Library/SystemMigration để bạn khôi phục lại khi cần thiết, còn 6 thư mục nói trên thì sẽ y nguyên như cách mà Apple cấu trúc chúng, không ai được xâm phạm.

Không còn được phép chèn dữ liệu vào tiến trình đang chạy

EasySIMBL là một công cụ rất mạnh cho phép bạn tùy biến gần như mọi thứ trên máy Mac: từ điển, dock, bản đồ... cho đến thanh status và giao diện phần mềm. Thậm chí phần mềm này còn có thể bổ sung các chức năng mới vào cho OS X nữa. Ví dụ, một extension của EasySIMBL cho phép ứng dụng Twitter chính chủ trên OS X hiển thị hình ảnh nhúng từ Instagram, vốn không có sẵn. Và để làm điều đó thì EasySIMBL đã tận dụng cơ chế đẩy dữ liệu vào một tiến trình đang hoạt động và can thiệp, chỉnh sửa nó.

Nghe qua thì những phần mềm như EasySIMBL rất là hay, nhưng nó cũng khiến hệ thống gặp nguy hiểm. Lỡ một phần mềm mã độc nào đó chèn code độc hại vào một phần mềm đang hoạt động để đánh cắp hay giả mạo thông tin thì sao? Lỡ hacker dùng các đoạn code chèn vào kiểu này để đánh sập hệ thống của bạn thì sao?

Thế là Apple quyết định cắt hẳn khả năng chèn code này luôn bằng SIP. Như vậy thì hãng có thể đảm bảo rằng người dùng OS X El Capitan sẽ an toàn hơn.

Không còn kernel extension "lậu"

"Kernel" là phần cốt lõi của mọi hệ điều, và OS X cũng một kernel được xây dựng dựa trên nền tảng UNIX. Còn "kernel extension" (kexts) là những phần mềm được phép tương tác trực tiếp với kernel. Có thể bạn đã gặp chữ này trong lúc cài đặt các driver bên thứ ba cho máy tính của mình lúc mới sắm một thiết bị ngoại vi mới nào đó.

csrutil disable