Défenses et vérification intégrées

macOS est livré avec plusieurs défenses déjà activées. La chose la plus utile que vous puissiez faire avec eux n'est pas de les configurer davantage, mais de vérifier, de temps en temps, que rien ne les a discrètement désactivés. Chaque commande de cette leçon est en lecture seule : aucune d'entre elles ne modifie un paramètre.

Il convient de préciser pourquoi une vérification est importante si ces défenses sont activées par défaut. Les installateurs de logiciels demandent parfois l'autorisation de modifier les paramètres de sécurité dans le cadre de leur configuration, un membre de la famille ou un collègue résolvant un problème peut désactiver quelque chose et oublier de le rallumer, et un Mac configuré il y a des années peut simplement être antérieur à un paramètre qui est désormais la valeur par défaut pour les nouvelles installations. Rien de tout cela n'est probable, mais les vérifications ci-dessous prennent quelques secondes et ne changent rien, il y a donc peu de raisons de les ignorer.

Protection de l'intégrité du système (SIP)

SIP empêche même le compte root/administrateur de modifier les parties protégées du système : les dossiers principaux tels que /System, /usr, /bin et /sbin, ainsi que les applications intégrées d'Apple. Apple explique que ceux-ci « ne peuvent être modifiés que par des processus signés par Apple et disposant des droits appropriés », ce qui empêche les logiciels nuisibles disposant d'un accès administrateur de réécrire silencieusement le système d'exploitation sous vous. Les logiciels tiers peuvent toujours écrire dans /Applications, /Library et /usr/local. Vérifiez son statut avec :

$ csrutil status
System Integrity Protection status: enabled.

La désactivation de SIP nécessite de démarrer dans recoveryOS et d'exécuter délibérément csrutil disable ; il ne s'éteint jamais tout seul. Ce cours ne détaillera pas ce processus, car il y a rarement une bonne raison pour qu'un Mac mono-utilisateur le fasse, et cela supprime une protection qui est par ailleurs très difficile à contourner pour les logiciels nuisibles.

Gardien d’accès et notarisation

Gatekeeper vérifie les applications avant qu'elles ne soient autorisées à s'exécuter pour la première fois. Apple la décrit comme une technologie « conçue pour garantir que seuls des logiciels fiables fonctionnent sur votre Mac », en vérifiant qu'une application est signée par un développeur identifié ou téléchargée depuis l'App Store. Depuis macOS Catalina, la plupart des logiciels distribués en dehors de l'App Store doivent également être notariés : soumis à Apple et analysés à la recherche de contenu malveillant connu avant que Gatekeeper ne permette à un utilisateur de l'ouvrir, et Apple peut révoquer cette légalisation ultérieurement si un logiciel malveillant est détecté. Vérifiez si le système d’évaluation sur lequel Gatekeeper s’appuie est actif :

$ spctl --status
assessments enabled

XProtect

Là où Gatekeeper vérifie le logiciel avant sa première exécution, XProtect continue de le vérifier par la suite. Le guide de sécurité de la plate-forme d'Apple le décrit comme une technologie intégrée pour la détection et la suppression des logiciels nuisibles basées sur les signatures, qui analyse les applications lors de leur lancement, lorsque les fichiers changent et met à jour ses signatures indépendamment des mises à jour complètes de macOS. Gatekeeper, notarisation et XProtect fonctionnent comme des couches : les deux premiers tentent en premier lieu de garder les logiciels nuisibles hors du Mac, et XProtect intercepte ce qui passe à travers.

Mode de verrouillage

Le mode verrouillage est un autre type de défense : il ne s’agit pas d’une vérification des antécédents, mais d’un échange délibéré et visible de commodité contre protection. Apple le décrit comme « une protection facultative et extrême, conçue pour les très rares individus qui... pourraient être personnellement ciblés par certaines des menaces numériques les plus sophistiquées », et précise explicitement que « la plupart des gens ne sont jamais ciblés par des attaques de cette nature ». Activé, il bloque la plupart des types de pièces jointes et des aperçus de liens, restreint les technologies Web complexes dans Safari, bloque les appels FaceTime de contacts inconnus et nécessite le déverrouillage d'un appareil avant qu'un accessoire puisse s'y connecter. Il se trouve dans Paramètres système → Confidentialité et sécurité → Mode de verrouillage et mérite d'être connu plutôt que nécessairement utilisé : il est conçu pour les personnes qui ont conclu spécifiquement qu'elles pourraient être une cible de ce type, et non comme une étape générale de durcissement.

Garder tout à jour

Aucun des éléments ci-dessus n'a d'importance si le Mac exécute un ancien logiciel présentant des faiblesses connues et corrigées. Paramètres système → Général → La mise à jour logicielle est le principal moyen de maintenir macOS à jour et peut être configuré pour installer automatiquement les mises à jour. Depuis Terminal, vous pouvez vérifier ce qui est disponible sans rien installer :

$ softwareupdate --list
Software Update found the following new or updated software:
* Label: macOS 26.1-26A123
	Title: macOS 26.1, Version: 26.1, Size: 11728377KiB, Recommended: YES, Action: restart