Wie deaktiviere ich die System Integrity Protection (SIP) -ALKA "rootless" auf macOs [OS X]?

Apple hat mit OS X 10.11, El Capitan, den Systemintegritätsschutz eingeführt , der auch als "rootless" bezeichnet wird. Ich verstehe, dass dies ein Schritt zum allgemeinen Schutz vor Malware ist, aber als Entwickler benötige ich Schreibzugriff auf einige der Dateien, die gesperrt werden.

Wie deaktiviere ich diesen Schutz?

Die Dokumentation von Apple befasst sich mit dem Deaktivieren von SIP, Informationen zum Systemintegritätsschutz auf Ihrem Mac und dem Konfigurieren des Systemintegritätsschutzes .

Ein Artikel auf lifehacker.com listet diese Schritte auf:

1. Starten Sie Ihren Mac im Wiederherstellungsmodus neu, indem Sie den Computer neu starten und Command+ gedrückt halten, Rbis das Apple-Logo auf dem Bildschirm angezeigt wird.
2. Klicken Sie auf Dienstprogramme> Terminal.
3. Geben Sie im Terminalfenster ein csrutil disableund drücken Sie Enter.
4. Starten Sie Ihren Mac neu.

Sie können überprüfen, ob eine Datei oder ein Ordner eingeschränkt ist, indem Sie diesen lsBefehl mit dem Großbuchstaben O (und nicht mit Null 0) absetzen, um das Langlisten-Flag zu ändern:

ls -lO /System /usr 

Suchen Sie nach dem eingeschränkten Text, um anzugeben, wo SIP erzwungen wird.

Standardmäßig (= SIP aktiviert) sind die folgenden Ordner eingeschränkt (siehe Apple Support-Seite ):

/System
/usr
/bin
/sbin
Apps that are pre-installed with OS X

... und die folgenden Ordner sind kostenlos:

/Applications
/Library
/usr/local

Sie können SIP deaktivieren, indem Sie auf Recovery HD booten und den folgenden Befehl ausführen:

csrutil disable

Es ist auch möglich, den SIP-Schutz zu aktivieren und bestimmte Aspekte davon zu deaktivieren, indem dem csrutil enableBefehl ein oder mehrere Flags hinzugefügt werden . Alle müssen von Recovery gebootet werden, um sie einzustellen:

Aktivieren Sie SIP und erlauben Sie die Installation von nicht signierten Kernel-Erweiterungen

csrutil enable --without kext

Aktivieren Sie SIP und deaktivieren Sie den Dateisystemschutz

csrutil enable --without fs

Aktivieren Sie SIP und deaktivieren Sie die Debugging-Einschränkungen

csrutil enable --without debug

Aktivieren Sie SIP und deaktivieren Sie DTrace-Einschränkungen

csrutil enable --without dtrace

Aktivieren Sie SIP und deaktivieren Sie Einschränkungen beim Schreiben in den NVRAM

csrutil enable --without nvram

Ich habe auch einen Beitrag mit weiteren Informationen zu SIP:

Systemintegritätsschutz - Hinzufügen einer weiteren Ebene zum Apple-Sicherheitsmodell

Wenn das Ziel darin besteht, den Systemintegritätsschutz wirklich nur zu deaktivieren, ist das Booten der Recovery HD-Partition, wie in den anderen Antworten hier empfohlen, über Command+ rbeim Booten nicht der schnellste Weg.

Sie können den Einzelbenutzermodus-Start mit dem Wiederherstellungs-HD-Start in einer undokumentierten Startschlüsselkombination kombinieren:

• https://support.apple.com/de-de/HT204904 deckt die normale Wiederherstellung ab
• Halten Sie Command+ r+ sgedrückt, um in den Einzelbenutzer-Wiederherstellungsmodus zu starten.

Dies bringt Sie nur in die minimale Umgebung, die dafür direkt benötigt wird .

Es wäre sicherer, das /etc/pathsso zu modifizieren , dass /usr/local/bines lediglich vorher geht usr/bin. Auf diese Weise können Sie Ihre Entwicklungsarbeit innerhalb von erledigen, /usr/local/binohne SIP deaktivieren zu müssen.

Neuinstallationen des Betriebssystems werden /etc/pathsseit El Capitan auf diese Weise ausgeführt. Wenn Sie jedoch ein Upgrade des Betriebssystems von Yosemite oder einer früheren Version durchführen, müssen Sie die Pfadreihenfolge manuell ändern.

Wenn Sie nur auf / usr / local zugreifen möchten, besuchen Sie diese Seite: https://github.com/Homebrew/homebrew/blob/master/share/doc/homebrew/El_Capitan_and_Homebrew.md

Die Idee ist , SIP vorübergehend zu deaktivieren, indem csrutil disableSie /usr/localchflags hinzufügen und verwenden, um dieses Verzeichnis auf uneingeschränkt zu setzen

 sudo mkdir /usr/local && sudo chflags norestricted /usr/local && sudo chown -R $(whoami):admin /usr/local

und dann wieder mit SIP aktivieren csrutil enable.

Wenn dies /usr/localzum Zeitpunkt Ihres Upgrades bereits vorhanden ist, ist auch das oben Genannte nicht erforderlich. Sie können einfach laufen

sudo chown -R $(whoami):admin /usr/local

Wenn Sie nicht in die Wiederherstellungspartition gelangen können csrutil disable, um SIP auszuführen (zu deaktivieren ), versuchen Sie, die Startargumente mit einem nvramBefehl festzulegen , z

sudo nvram boot-args="rootless=0"

Wenn Sie jedoch den folgenden Fehler haben:

nvram: Fehler beim Setzen der Variablen - 'boot-args': (iokit / common) nicht erlaubt

dann klappt es nicht. Sie müssen es dennoch im Wiederherstellungs- / abgesicherten Modus starten.

Sehen:

• Das Festlegen einer NVRAM-Variablen im normalen Systemstart ist nicht zulässig, im Wiederherstellungsmodus jedoch zulässig
• Neustart im abgesicherten Modus ohne Verwendung der Umschalttaste unter Mojave

Ich habe nicht genug Reputation, um dies als Kommentar zum obigen github Homebrew 404-Link hinzuzufügen. Die Wayback-Maschine hat es immer noch:

http://web.archive.org/web/20160117204214/https://github.com/Homebrew/homebrew/blob/master/share/doc/homebrew/El_Capitan_and_Homebrew.md