Permissões e sandboxing no macOS

Um sistema operativo que só separasse processos uns dos outros ainda deixaria uma lacuna: uma app ainda poderia pedir a sua câmara, os seus contactos ou todo o seu disco, e recebê-los silenciosamente. O macOS fecha essa lacuna com três ideias sobrepostas: o sandbox das apps, um sistema de permissões de privacidade, e o tipo de conta com que tem sessão iniciada.

O sandbox das apps: isolar as apps umas das outras

A documentação de segurança da plataforma da Apple afirma que "todas as apps da App Store estão em sandbox para restringir o acesso a dados guardados por outras apps. Se uma app da App Store precisar de aceder a dados de outra app, só o consegue fazer usando as APIs e serviços fornecidos pelo macOS." Na prática, uma app em sandbox não consegue simplesmente aceder à pasta ou memória de outra app; tem de passar por um canal que o macOS controla, o que é o que torna a camada seguinte, os pedidos de permissão, significativa em vez de fácil de contornar.

Os pedidos de permissão de privacidade que vê todos os dias

A Apple descreve claramente o princípio por trás dos pedidos que vê: "a Apple acredita que os utilizadores devem ter total transparência, consentimento e controlo sobre o que as apps fazem com os seus dados." No macOS atual, isto é aplicado pelo próprio sistema, de modo que uma app não consegue ler silenciosamente os seus ficheiros em Documentos, Transferências, Ambiente de Trabalho, iCloud Drive ou um volume de rede sem o seu consentimento primeiro.

Definições do Sistema > Privacidade e Segurança lista as categorias que as apps podem pedir para usar, incluindo Câmara, Microfone, Serviços de Localização, Contactos, Fotografias, Acesso Total ao Disco, Gravação de Ecrã e Áudio do Sistema, e Acessibilidade, cada uma com uma breve descrição do que permiti-la deixa uma app fazer. Duas valem a pena conhecer pelo nome: o Acesso Total ao Disco, que "permite que as apps acedam a todos os ficheiros no seu computador, incluindo dados de outras apps", e a Acessibilidade, que permite que uma app "corra scripts e comandos do sistema para controlar o seu Mac". Ambas são muito mais amplas do que a maioria das apps precisa, por isso um pedido de qualquer uma delas merece um segundo olhar.

• Um primeiro pedido mostra sempre uma janela a nomear a app e a permissão, antes de qualquer acesso ser concedido.
• Pode rever e revogar qualquer permissão mais tarde em Definições do Sistema > Privacidade e Segurança, sem desinstalar a app.
• O Acesso Total ao Disco e a Acessibilidade têm de ser ativados manualmente nas Definições; o macOS não os vai conceder a partir de uma simples janela emergente.

Padrão vs. administrador: a conta com que inicia sessão

A terceira camada é o seu tipo de conta. O Guia do Utilizador de Mac da Apple explica que um administrador "consegue acrescentar e gerir outros utilizadores, instalar apps, e mudar definições", e avisa: "não configure o início de sessão automático para um administrador. Se o fizer, alguém poderia simplesmente reiniciar o seu Mac e obter acesso com privilégios de administrador. Para manter o seu Mac seguro, não partilhe nomes e palavras-passe de administrador." Uma conta padrão, em contraste, "consegue instalar apps e mudar as suas próprias definições, mas não consegue acrescentar outros utilizadores nem mudar as definições de outros utilizadores." Usar uma conta padrão para o trabalho diário, e reservar a conta de administrador para os momentos que precisam dela, impede que um erro ou um clique enganado chegue a definições de todo o sistema.