Ventura は、ブランドの現代的な xattr でアプリの検疫を変更しました

Ventura のサイクルでハーフタイムを進めている今、Apple が最終的な 6 月の WWDC で提示するのを忘れていた現代的な側面を安心して発見できるのは素晴らしいことです。このテキストでは、macOS 13 がアプリの隔離の戦略をどのように変更したかを概説し、隔離されたアプリの出自を監視するためのブランドの現代的な長期属性を追加しました。

隔離のクリア

ファイルが Safari または検疫をサポートする他のアプリの使用法をダウンロードするとすぐに、それがフォームの長期属性 com.apple.quarantine は、ダウンロードしたファイルに追加されるとすぐに変わります。これは、検疫フラグ自体で構成され、その役割がなくなったかどうか、またはクリアされたかどうか、アタッチされた時間、フラグを接続したアプリまたはエージェント、および ~/Library/ にある QuarantineEvents データベース内のエントリへの UUID 参照を示します。 Preferences/com.apple.LaunchServices.QuarantineEventsV2.

そのアプリが初めて skedaddle になって、Gatekeeper の厳しいチェックを受けたとき、許可され次第、検疫フラグが変更されて、アプリが検疫されなくなったことを指摘するように変更され、そのアプリの将来の起動は、最初の厳しいチェックに耐えられませんでした. たとえば、ファイルが AirDrop を通過するときに接続される長年の検疫フラグは 0081 であり、それがクリアされると 00c1 になります。その変更された拡張属性以外に、そのフラグのクリアランスを保持するファイルはないようです。

来歴

macOS Ventura では、検疫がクリアされる瞬間まで基本的に同じで、macOS が com.apple.provenance の形式のブランドの現代的な長期属性 (xattr) を添付します。ファイルに。これは、その検疫イベントに対する 11 バイトのバイナリ参照クィアで構成され、SIP によって保護されて存続し、削除されるのを防ぎます。

説明すると、アプリが Mac 間で転送されるときの使用量はAirDrop の任意の一意の com.apple.quarantine xattr は、フラグが 0081 の役割を持つブランドの現代的なものに置き換えられます。受信者の Mac で開かれ、隔離フラグが 00c1 に変更され、11 バイトの com.apple.provenance xattr が追加され、SIP が使用されます

Ventura の一部の初期リリースでは、com.apple.provenance xattr は、検疫から取り出されるとすぐにアプリ内の各フォルダーとファイルに追加されます。そのセットでは、11 バイトの識別子は、そのアプリで検疫から取り出されたすべてのレコードデータとフォルダーを介して同様に当てはまります。 macOS 13.2.1 のアットマークの動作は、単一の com.apple.provenance xattr を .app フォルダーに添付するだけではちっぽけなように見えます。さらに、独特の com.apple.quarantine xattrs が取り除かれ、保護された com.apple.provenance xattrs at the succor of.

キャストオフ

SIP 保護を無効にすることは、特定の人にとって慎重です: 保護された com.apple.provenance xattr を持つアプリが 1 つの他の数量にコピーされる場合、SIP保護が壊れ、xattrも老舗のスキル内で削除されます。あるいは、平和的に保護されている xattr を引き出そうとするコードは失敗し、一部のユーザーによって Ventura で報告された問題が発生しました。

反対の不公平 com.apple.macl xattr は、TCC のプライバシー保護のセグメントとして任意のファイルに接続することもでき、SIP によって保護されます com.apple.provenance は、アプリとそのコンテンツに最も簡単に接続する必要があります。おそらく macOS のセグメントのエラーのように、末尾にゼロを埋め込むことで 4096 バイトに増加したと仮定しても、サイズは 11 バイトに過ぎないように見えます。

はcom.apple.provenance xattr の目的と使用法は不明であり、平和的に進化しているように見えます。その動作と検疫での使用の他の証拠を聞いて、私は非常に心配しています.