Como desabilito o SIP (System Integrity Protection) AKA “sem raiz” nos macOs [OS X]

A Apple lançou o System Integrity Protection , também conhecido como "sem raiz", com o OS X 10.11, El Capitan. Entendo que este é um passo para a proteção geral contra malware, mas como desenvolvedor, preciso de acesso de gravação a alguns dos arquivos que ele bloqueia.

Como desabilito essa proteção?

A documentação da Apple abrange a desativação do SIP, sobre a proteção da integridade do sistema no seu Mac e a configuração da proteção da integridade do sistema .

Um artigo no lifehacker.com lista estas etapas:

1. Reinicie o seu Mac no modo de recuperação reiniciando o computador e mantendo pressionada Command+ Raté o logotipo da Apple aparecer na tela.
2. Clique em Utilitários> Terminal.
3. Na janela Terminal, digite csrutil disablee pressione Enter.
4. Reinicie o seu Mac.

Você pode verificar se um arquivo ou pasta está restrito emitindo este lscomando usando o capital O (e não zero 0) para modificar o sinalizador de listagem longa:

ls -lO /System /usr 

Procure o texto restrito para indicar onde o SIP é imposto.

Por padrão (= SIP ativado), as seguintes pastas são restritas (consulte a página de suporte da Apple ):

/System
/usr
/bin
/sbin
Apps that are pre-installed with OS X

... e as seguintes pastas são gratuitas:

/Applications
/Library
/usr/local

É possível desativar o SIP, inicializando no Recovery HD e executando o seguinte comando:

csrutil disable

Também é possível ativar as proteções SIP e desativar seletivamente aspectos dela, adicionando um ou mais sinalizadores ao csrutil enablecomando. Todos exigem a inicialização do Recovery para configurá-los:

Habilite o SIP e permita a instalação de extensões de kernel não assinadas

csrutil enable --without kext

Ativar SIP e desativar proteções do sistema de arquivos

csrutil enable --without fs

Habilitar SIP e desabilitar restrições de depuração

csrutil enable --without debug

Habilite o SIP e desabilite as restrições do DTrace

csrutil enable --without dtrace

Habilite o SIP e desabilite as restrições de gravação na NVRAM

csrutil enable --without nvram

Também tenho um post disponível com mais informações sobre o SIP:

System Integrity Protection - Adicionando outra camada ao modelo de segurança da Apple

Se o objetivo é realmente desabilitar o System Integrity Protection, a inicialização na partição do Recovery HD, conforme recomendado anteriormente nas outras respostas aqui, via Command+ rna inicialização, não é a maneira mais rápida de fazer isso.

Você pode combinar a inicialização no modo de usuário único com a inicialização do HD de recuperação em uma combinação de teclas de inicialização não documentada:

• https://support.apple.com/pt-BR/HT204904 abrange recuperação normal
• mantenha pressionado Command+ r+ spara inicializar no modo de recuperação de usuário único.

Isso leva você apenas ao ambiente mínimo necessário para isso diretamente .

Seria mais seguro modificá- /etc/pathslo, como /usr/local/binantes usr/bin. Dessa forma, você pode realizar seu trabalho de desenvolvimento /usr/local/binsem precisar desativar o SIP.

As instalações limpas do sistema operacional ordenam /etc/pathsdessa maneira desde o El Capitan, mas se você estivesse atualizando o sistema operacional do Yosemite ou anterior, teria que modificar a ordem do caminho manualmente.

Se tudo o que você precisa é acessar / usr / local, consulte esta página: https://github.com/Homebrew/homebrew/blob/master/share/doc/homebrew/El_Capitan_and_Homebrew.md

A idéia é desativar temporariamente o SIP usando csrutil disable, adicionar /usr/local, usar chflags para definir esse diretório como não restrito

 sudo mkdir /usr/local && sudo chflags norestricted /usr/local && sudo chown -R $(whoami):admin /usr/local

e, em seguida, reative o SIP usando csrutil enable.

Se /usr/localjá existe no momento da sua atualização, mesmo os itens acima não são necessários. Você pode simplesmente executar

sudo chown -R $(whoami):admin /usr/local

Se você não conseguir entrar no Recovery Partition para executar csrutil disable(para desativar o SIP ), tente definir argumentos de inicialização com o nvramcomando, por exemplo

sudo nvram boot-args="rootless=0"

No entanto, se você tiver o seguinte erro:

nvram: Erro ao definir variável - 'boot-args': (iokit / common) não permitido

então não vai funcionar. Você ainda precisa inicializar o modo de recuperação / segurança.

Vejo:

• Definir uma variável NVRAM na inicialização normal não é permitido, mas é permitido no modo de recuperação
• Reiniciando no modo de segurança sem usar a tecla Shift no Mojave

Não tenho reputação suficiente para adicionar isso como um comentário ao link do github Homebrew 404 acima. A Wayback Machine ainda possui:

http://web.archive.org/web/20160117204214/https://github.com/Homebrew/homebrew/blob/master/share/doc/homebrew/El_Capitan_and_Homebrew.md