Cómo habilitar (o deshabilitar) SIP o Rootless en tu OSX

Apple ha añadido una nueva característica de seguridad, bastante importante, para los usuarios de OS X El Capitan. El mecanismo de protección denominado SIP o Sistema de Protección de la Integridad permite que el malware no modifique ciertos archivos, denominados raíz en este contexto, y de este modo evitar que alguien pueda aprovecharse de ciertas ejecuciones de binarios. El modo "sin raíces" se puede utilizar para cualquier usuario o administrador del sistema.

Es totalmente recomendable que cualquier usuario del sistema lo utilice y lo tenga activo, ya que es una medida de protección. En algunas ocasiones la ejecución de ciertos programas o la configuración y utilización de servicios públicos hacen que sea necesario deshabilitar SIP, pero debemos ser conscientes de los riesgos. Si eres usuario de OS X El Capitan o de MacOS Sierra puedes habilitar y deshabilitar el modo Rootless desde un terminal del sistema operativo. Tanto para la activación como la desactivación del modo Rootless se deben seguir los mismos pasos, solo cambiará el último comando, es decir cambiar un enable por un disable.

1. Reiniciar el Mac y antes de que OS X arranque pulsar Command + R desde el teclado. Esto hará que entremos en modo de recuperación.
2.  Al entrar en el modo de recuperación se puede ver en la barra superior la etiqueta Utilities y entrar en el Terminal.
3. En el terminal ejecutar csrutil enable y de este modo se habilitará SIP en el sistema. Si se quiere deshabilitar se puede ejecutar csrutil disable.
4. Una vez que se vea el mensaje Successfully [enabled|disabled] System Integrity Protection en el terminal. Reinicia la máquina. 

Figura 1: Habilitar / Deshabilitar SIP

Como se ha mencionado anteriormente es totalmente recomendable tener activado SIP o Rootless debido a que es un mecanismo de protección que nos ayudará a tener nuestro Mac menos vulnerable. Por defecto, lo encontramos activo tanto en OS X El Capitan como en MacOS Sierra.

Guía de uso de rootless en OS X El Capitán de JNUC'15

Guía sobre uso de Rootless en OS X

En estas fechas se ha celebrado la JNUC, JAMF Nation User Conference, celebrada en Minneapolis. En una de las charlas se ha presentado una guía basada en el modelo defensa en profundidad. Para los que no estén muy cerca de dicho modelo se refiere a la implementación de distintas capas de seguridad por niveles, yendo desde el nivel físico al nivel de aplicación, pasando previamente por perímetro, red interna y bastionado de servidores. 

En la charla se hace un repaso por una serie de elementos para fortificar o realizar hardening a los sistemas OS X. Los elementos que se trabajan son los que todos vosotros ya conocéis en mayor o menor medida. Desde hablar de Gatekepeer y sus usos y configuraciones hasta hablar de sandboxing, pasando por diferentes permisos POSIX, o la nueva capa de seguridad denominada rootless.  Ya hemos hablado de rootless como una declaración de guerra de Apple contra intenciones de romper sus sistemas. Además, es una de las novedades más importantes respecto a la seguridad de los sistemas OS X.

Figura 1: System Integrity Protection

Una vez que la charla llega al System Integrity Protection y la configuración de rootless se puede ver como las slides son de esta nueva característica. Se detalla la configuración de rootless en la guía y cómo realizar pequeños ejemplos que demuestren el funcionamiento del sistema. Charla y slides recomendadas para que aprendáis más sobre elementos de seguridad en OS X.

OS X El capitan: Nuevas características de Seguridad y 101 vulnerabilidades corregidas

OS X El capitan ya está disponible para nuestros sistemas Mac. Es el momento de actualizar el equipo para la instalación del nuevo sistema operativo. El Capitán se ejecutará en todos los equipos que pudieran ejecutar previamente OS X Yosemite. ¿Qué hay sobre el capó del nuevo sistema operativo? Es cierto que muchas características mostradas no tienen que ver con la seguridad, pero es cierto que el nuevo sistema tiene mucho que dar en temas de seguridad y privacidad. Apple quiere, con este movimiento, que su sistema sea más dificil de atacar. 

La seguridad básica de el nuevo sistema operativo es la misma que en OS X Yosemite. Es más, si abrimos el panel de control de Seguridad y Privacidad veremos que no existen diferencias entre ambas versiones. Es cierto que Apple ha incorporado algunas nuevas características de seguridad en OS X 10.11, las cuales podemos ver aquí:

• Doble factor de autenticación. Como ya hablamos en su día sobre las novedades en Watch OS 2 e iOS 9 dónde se hablaba de la nueva autenticación en 2 pasos. Esta autenticación en dos pasos requerirá el uso de un código cada vez que se conecte desde un navegador o un dispositivo. 

•  Rootless. El nuevo sistema de protección de la integridad ha llegado. Rootless hace que los archivos de una aplicación solo puedan ser modificados por la aplicación del instalador o actualizaciones de software que se instalen a través de la aplicación AppStore. Esto significa que incluso los administradores no puedan cambiar o eliminar estos archivos. Cuando un usuario instala una aplicación de Internet y la instalación es llevada con el usuario con más privilegio, esta aplicación podría modificar archivos en el sistema así como ejecutar órdenes con el máximo privilegio. Por esta razón, Rootless cambia lo que conocemos. Los administradores ya no tienen este acceso de root, por lo que no pueden ser capaces de cambiar nada en la carpeta raíz del sistema u otras direcciones importantes. 

• Apple ha añadido App Transport Security, tanto en iOS 9 como en OS X 10.11. Esta app exige que cualquier aplicación que solicite datos a través del protocolo no seguro HTTP utilice la versión segura o HTTPs.  

Figura 1: Security Advisory OS X El Capitan 10.11

La salida del nuevo sistema operativo también corrige una serie de errores y vulenerabilidades en OS X. Según el Security Advisory publicado por Apple más de 101 vulnerablidades han sido corregidas con esta actualización. En muchas existía la posibilidad de ejecutar código arbitrario a través de dichas vulnerabilidades, por lo que se necesita actualizar a la mayor brevedad posible.

Rootless y la declaración de guerra de Apple al Jailbreak

Se comienza a hablar y mucho sobre el nuevo iOS 9 y el futuro OS X 10.11. Las especulaciones nos llevan a pensar en que Apple pondrá más difícil que nunca el Jailbreak, según aparecen noticias y rumores en Internet. Parece que Apple ha puesto el ojo sobre ello, pero tampoco nos extrañaría que aún tomando más medidas sigan apareciendo agujeros que provocasen la posibilidad de hacer Jailbreak. 

Algunos medios se hacen eco de esta noticia y califican que el Jailbreak en iOS 9 será prácticamente imposible. Por el contrario existe otra corriente que dice que puede ser más difícil o tener más medidas de seguridad, pero que siempre aparecerá un agujero. Uno de los principales cambios que traerá iOS 9, y sobre el que se sustenta esa ola de noticias sobre el Jailbreak es Rootless, el cual podría prevenir la ejecución de exploits de root en iOS. Según definen Rootless es una característica a nivel de kernel que Apple proporcionará tanto para iOS como para OS X, la cual está diseñada para preservar la seguridad y proteger el acceso a archivos necesarios para, por ejemplo, realizar jailbreak.

Figura 1: Descripción de Rootless en 9to5Mac

Lo que se ha dicho sobre Rootless es que se podrá deshabilitar en un Mac, aunque no es conocido si se podrá deshabilitar de un sistema operativo iOS. Las fuentes no confirmadas hablan de que será un golpe importante a la comunidad Jailbreak, ya que hará el desafío del Jailbreak más grande para los hackers. Apple ha ido dotando de más y más capas de seguridad a su sistema, por ejemplo recordemos la introducción de ASLR en iOS 4.3 o las Stack Canaries a partir de iOS 5. En definitiva, Rootless es un nuevo reto para los hackers y jailbreakers.