Разрешения и песочница в macOS

Операционная система, которая лишь разделяет процессы между собой, всё равно оставила бы брешь: приложение могло бы запросить доступ к вашей камере, контактам или всему диску и получить его незаметно. macOS закрывает эту брешь тремя пересекающимися идеями: песочницей приложений, системой разрешений на конфиденциальность и типом учётной записи, под которой вы вошли в систему.

Песочница приложений: изоляция приложений друг от друга

Документация Apple по безопасности платформы утверждает, что «все приложения из App Store помещаются в песочницу, чтобы ограничить доступ к данным, хранимым другими приложениями. Если приложению из App Store нужен доступ к данным другого приложения, оно может получить его только через API и службы, предоставляемые macOS» (all apps from the App Store are sandboxed to restrict access to data stored by other apps. If an app from the App Store needs to access data from another app, it can do so only by using the APIs and services provided by macOS). На практике приложение в песочнице не может просто залезть в папку или память другого приложения; ему приходится идти через канал, который контролирует macOS, — именно это делает следующий уровень, запросы разрешений, осмысленным, а не легко обходимым.

Ежедневные запросы разрешений на конфиденциальность

Apple прямо формулирует принцип, стоящий за запросами, которые вы видите: «Apple считает, что у пользователей должны быть полная прозрачность, согласие и контроль над тем, что приложения делают с их данными» (Apple believes that users should have full transparency, consent, and control over what apps are doing with their data). В текущей macOS это обеспечивается самой системой, поэтому приложение не может незаметно читать ваши файлы в Документах, Загрузках, на Рабочем столе, в iCloud Drive или на сетевом диске без вашего предварительного согласия.

Раздел «Настройки системы» → «Конфиденциальность и безопасность» (System Settings > Privacy & Security) перечисляет категории, которые приложения могут запрашивать: Камера, Микрофон, Служба геолокации, Контакты, Фото, Полный доступ к диску, Запись экрана и системного звука, а также Универсальный доступ, — каждая с кратким описанием того, что разрешение даёт приложению. Две категории стоит знать по названию: Полный доступ к диску (Full Disk Access), который «позволяет приложениям обращаться ко всем файлам на вашем компьютере, включая данные других приложений» (allows apps to access all files on your computer, including data from other apps), и Универсальный доступ (Accessibility), который позволяет приложению «запускать скрипты и системные команды для управления вашим Mac» (run scripts and system commands to control your Mac). Оба разрешения гораздо шире, чем нужно большинству приложений, поэтому запрос на любое из них заслуживает повторного внимания.

• Первый запрос всегда показывает уведомление с именем приложения и разрешением — прежде чем будет предоставлен какой-либо доступ.
• Вы можете позже просмотреть и отозвать любое разрешение в «Настройки системы» → «Конфиденциальность и безопасность», не удаляя приложение.
• Полный доступ к диску и Универсальный доступ нужно включать вручную в Настройках; macOS не предоставляет их через простое всплывающее окно.

Стандартная учётная запись против администратора: под кем вы вошли в систему

Третий уровень — тип вашей учётной записи. Руководство пользователя Mac от Apple объясняет, что администратор «может добавлять других пользователей и управлять ими, устанавливать приложения и изменять настройки» (can add and manage other users, install apps, and change settings), и предупреждает: «Не настраивайте автоматический вход для администратора. Если вы это сделаете, кто угодно сможет просто перезапустить ваш Mac и получить доступ с правами администратора. Чтобы обеспечить безопасность вашего Mac, не сообщайте имена и пароли администраторов другим» (Don’t set up automatic login for an administrator. If you do, someone could simply restart your Mac and gain access with administrator privileges. To keep your Mac secure, don’t share administrator names and passwords). Стандартная же учётная запись, напротив, «может устанавливать приложения и изменять собственные настройки, но не может добавлять других пользователей или изменять настройки других пользователей» (can install apps and change their own settings, but can’t add other users or change other users’ settings). Использование стандартной учётной записи для повседневной работы и приберегание учётной записи администратора для моментов, когда она действительно нужна, не даёт ошибке или обманному клику добраться до общесистемных настроек.