MacOS внедряет запрет на запуск стороннего софта

P.S. предлагаю возродить повсеместную традицию использования термина «анальное рабство» как синонима использования продукции Apple.

Дык еще когда пролетала новость что хеши бинарников на сервер отправляет для проверки «легитимности» об этом говорили. macOS начал скатываться с уходом Жопса и скоро докатится до состояния iOS

в brew все пакеты подписаны.

а если из портов собирать - то подпишешь сам.

и вообще очередные влажные манямечты линпусенка

Должны страдать. /thread

а если из портов собирать - то подпишешь сам.

Подпись требует девелоперского аккаунта в Apple, который внезапно платный.

и вообще очередные влажные манямечты линпусенка

Да-да, главное придумать оправдание своему повелителю. Типичный юзер макоси.

Просто теперь девелоперы не нужны, ИИ все напишет. Пользуну достаточно будет сказать вслух «эй, мэк, сделай мне прогу для рисования лягушек», и в Купертино зашустрят подневольные гномики, через секунду все будет готово.

Следующим этапом станет выпиливание CLI, чтобы не баловались.

Ого. Удивлён. На полном серьёзе удивлён. Правда только тем, что они только сейчас внедряют. Я думал, давно уже должно было так быть…

В предыдущей версии 15.0 нужно было в настройках руками разрешить запуск каждой отдельной неподписанной проги. Собственно, новость в том, что эту настройку выпилили.

Не мако$б, но звучит слишком невероятно, учитывая, что значительная (большинство?) часть западных разработчиков использует Мак.

Это плохо. Надеюсь Apple не уйдёт в лютую анальщину.

в настройках руками разрешить запуск каждой отдельной неподписанной проги

Я бы хотел иметь такую фичу.

Ну пользователям сей продукции нравится когда над ними издеваются. Так что всё нормально - продажи продукции скорее всего вырастут. Но мы же тут все толерантные - куколды макаводы тоже люди :-))).

Анальное очко Овертона!

Не уйдёт. Ушёл уже. Десятки лет назад. До сих пор там.

Другой вопрос: откуда у тебя возьмется отдельная неподписанная прога в линуксе? Если подпись проверяется на этапе скачивания с реп)))

Другой вопрос: откуда у тебя возьмется отдельная неподписанная прога в линуксе?

После сборки этой проги из исходников.

Если подпись проверяется на этапе скачивания с реп)))

Главное, смайликов побольше. Разница в том, что в линуксе ты сам выбираешь список репозитариев, которые будешь использовать, и ключи, подписям от которых ты доверяешь. В случае с макосью, подписи целиком контролируются Apple.

Ты такой умный. Я бы тебя модератором сделал.

На Линукс тоже скоро перенесут, средства готовятся, но какой дистрибутив будет первым? Думаю что то из RH. Вижу это как атомарная система в readonly, приложения ставятся только через песочницу, типа flatpak, /home/ будет незапускаемым разделом.

Конечно можно будет поставить нормальный дистрибутив, но на рутованном дистрибутиве не будут запускаться нужные программы, как сейчас они требуют systemd.

Очень странно, что они дошли до этого только сейчас. Глядя на всю ту иррациональную, запредельную, невыразимую паранойю с запуском чего либо на ios, давно напрашивалось предположение, что скоро у них так будет везде.

Но, если честно, насрать. Яблочники сознательно выбрали путь страданий, чего их жалеть?

Ну так я и говорю, что это нахер не надо в линуксе. Контроль в другом месте, по помойкам не шаримся, в отличии от любителей фистинга от господина.

Странно, в 15.2 опция есть

Специально ради этого даже все защиты включил:

whbex@M1Laptop ~ % csrutil status
System Integrity Protection status: enabled.
whbex@M1Laptop ~ % spctl --status
assessments enabled

Для полной и окончательно безопасной безопасности зонд должен входить без малейших зазоров и люфтов.

Подпись требует девелоперского аккаунта в Apple, который внезапно платный.

Как ни странно, голые бинарники даже с SIP запускаются без требования подписи со стороны Apple.

whbex@M1Laptop ~ % codesign --remove-signature -f main-unsigned 
main-unsigned: replacing existing signature
whbex@M1Laptop ~ % ./main-unsigned                              
zsh: killed     ./main-unsigned
whbex@M1Laptop ~ % codesign -f -s - ./main-unsigned             
whbex@M1Laptop ~ % ./main-unsigned                              
Hello world!

Реально подпись требуется для обхода Gatekeeper. Но он проверяет бинарники только если на них quarantine bit висит. Убираем его - приложения запускается даже с запретом на запуск всего не из AppStore.
https://i.postimg.cc/6QQkqKMp/2024-11-22-20-40-04.png

Спасибо за ваш отзыв. Данный недостаток будет устранен в скором времени.

О, нет! Мой кросворд больше работать не будет! Правда он под PPC/Intel... :D

Наверное его устранят тогда же, когда и выпилят к чертям возможность отключения SIP и LocalPolicy.

Хотя мне не ясно, зачем вместо использования обычного iBoot с iPad на M1 они придумали отдельную систему загрузочных политик с возможностью тонко настраивать каждую систему независимо от других. Если потом её выпиливать в целях огораживания железа.

Прикол в том, что на бинарники с macOS x86 (через розетту) ограничения действуют не так сильно.

Враньё. В 15.1 всё ещё можно. Но приходится на каждый чих ходить в настройки и разрешать «установить из неподписанного пакета», «запустить неподписанное приложение в первый раз». Бесит, да.

Не отписались потому, что это ересь.
Человек просто не знает разницы между подписью и атрибутом quarantined.

Подпись требует девелоперского аккаунта в Apple, который внезапно платный.

Для коммерческого использования

Подпись требует девелоперского аккаунта в Apple, который внезапно платный.

Для коммерческого использования

Для любого. Если ты бесплатную софтину хочешь распространять, всё равно плоти.

The Apple Developer Program is 99 USD per membership year, or in local currency where available.1

Eligible nonprofit organizations, accredited educational institutions, and government entities can request a fee waiver.

https://developer.apple.com/programs/whats-included/

Херово будет со всяким подсанкционным софтом, типа КриптоПро, у которого отозвали ключи для подписи.

С Emacs проблемы маловероятны. В чем проблема подписать бинарник.

# spctl --master-disable же.

Это не совсем правда, ты всегда можешь бесплатно подписать для локального использования, если надо. Я бинари на расте на одном маке собираю (вообще никак не подписываю) и по ssh кидаю на другой, просто запускаются и всё

Забавно, но, как мы знаем, к тому же самому, но с некоторым опозданием, идет и Линукс. Пока это уровень ядра, но ровно по тем же основаниям - безопасность.

Херово будет со всяким подсанкционным софтом, типа КриптоПро, у которого отозвали ключи для подписи.

дак для этого оно и делается

я против

модератор это что то из перверсивных гомофантазий

модератор это что то из перверсивных гомофантазий

Модератор – это херня в моём старом фортепиано.

Херово будет со всяким подсанкционным софтом, типа КриптоПро, у которого отозвали ключи для подписи.

Или с VPN для стран, где не положено.

С Emacs проблемы маловероятны. В чем проблема подписать бинарник.

В необходимости заводить аккаунт и платить ябблу деньги?

Для любого. Если ты бесплатную софтину хочешь распространять, всё равно плоти.

Недавно пришлось чуть-чуть подправить и пересобрать одну маковскую поделку. Получилась директория с файлами, ничего не подписано. Раздал коллегам - у всех работает.

Мне тут недавно маководы в очередной раз тужились доказать что макось отлично подходит для веб разработки…

Это не совсем правда, ты всегда можешь бесплатно подписать для локального использования, если надо.

А нелокального? Простой сценарий: я выложил код своей мегапроги на житхаб, настроил CI для сборки релизов, хочу чтоб юзеры могли качать и ставить сборки без лишних проблем.

А вдруг там пропаганда традиционных ценностей?

Удивительно, что даже на ЛОР-е находится много людей, которые терпят подобное обращение с собой. Кушают за обе щеки, нахваливают, их всё устраивает.

В необходимости заводить аккаунт и платить ябблу деньги?

Да нет такой необходимости, codesign в руки и вперёд.

Маковский шланг, ЕМНИП, автоматически подписывает.

MacOS

Кому этот унылый кал вообще нужен?

Тенденция мало что показывает, все что изменилось – это убрали простой путь, но оставили при этом более сложный. Бинари, полученные из homebrew или собранные руками, запускаются как и раньше без каких-то телодвижений. spctl --master-disable это стремный совет, я бы такого не делал.

Без проблем. Только юзер специально одобряет запуск в «настройках», это нормальная практика давно

ВАХАХАХАХА. Велком ту ios. Сеансы БДСМ станут ещё более жеще