O GateKeeper me permite instalar qualquer coisa, nenhuma verificação é feita

Posso baixar aplicativos de sites personalizados e executá-los, mesmo quando as configurações do meu gatekeeper estão em "Somente AppStore". Esta é a minha inscrição - nem está assinada.

Qual poderia ser a razão disso? Eu posso reproduzir esse comportamento em todos os meus 3 macs.

Esse é um recurso de status por design em que um usuário administrador sempre pode substituir o Gatekeeper e abrir um aplicativo clicando com o botão direito do mouse no aplicativo no Finder.

Um usuário administrador também pode alterar as configurações do Gatekeeper ou desativá-lo completamente, para que não haja nenhum dano real (pelo menos aos meus olhos) em apresentar uma caixa de diálogo única na lista branca para garantir que o usuário administrador pretenda permitir um não-compatível (não assinado) (ou não Mac App Store) para executar.

Agora, se você encontrou uma maneira de um usuário não administrador ignorar o Gatekeeper, esperaria que a Apple arquivasse uma vulnerabilidade de segurança para obter crédito por encontrar um buraco, uma vez que corrigem qualquer erro de implementação feito para permitir a execução de aplicativos de política.

A Apple documenta esse recurso detalhadamente sobre como listar explicitamente um aplicativo.

• OS X: Sobre o Gatekeeper

O Gatekeeper não é uma proteção contra malware e não é uma lista negra. É um conjunto de políticas que permitem o primeiro lançamento de aplicativos assinados corretamente e / ou a validação de recibos da Mac App Store. Se um usuário administrador iniciar explicitamente e aprovar a execução de software não compatível, você terá um problema de educação ou política em vez de descobrir alguma falha no Gatekeeper.

Em detalhes, resumi (e principalmente copiei) as seções relevantes da ajuda da Apple na lista branca de qualquer aplicativo, para que o Gatekeeper permita que ele funcione sem impedimentos e sem interrupções:

Como abrir um aplicativo de um desenvolvedor não identificado e isentá-lo do Gatekeeper

Se você tiver certeza de que o aplicativo baixado da Internet é a versão mais recente e é de uma fonte confiável, poderá abrir um aplicativo de um desenvolvedor não identificado seguindo estas etapas.

Importante: Alguns aplicativos selecionados pela Apple de desenvolvedores que estão no processo de aquisição de assinaturas de ID do desenvolvedor apresentarão a opção "Abrir" quando clicarem duas vezes.

Nota: Na maioria dos casos, você precisará executar estas etapas apenas uma vez para todas as contas de usuário no Mac:

• No Finder, clique com a tecla Control pressionada ou clique com o botão direito do mouse no ícone do aplicativo.
• Selecione Abrir na parte superior do menu contextual que aparece.
• Clique em Abrir na caixa de diálogo. Se solicitado, digite um nome e senha de administrador.

Nota: Se houver um aplicativo que apresente várias caixas de diálogo do Gatekeeper, você poderá usar temporariamente a opção "Sempre" do Gatekeeper. Certifique-se de restaurar a opção Gatekeeper que estava lá antes para recuperar a função Gatekeeper.

Você pode controlar facilmente quem pode colocar os aplicativos na lista de permissões, não entregando nomes de usuário e senhas de Administrador a usuários que não conhecem essa funcionalidade, além de gerenciar o gatekeeper a partir do terminal ou gerenciador de perfis e outros softwares de configurações gerenciadas, como o Casper da JAMF. Você também pode auditar suas máquinas em busca de software que tenha uma lista branca para redefinir periodicamente a lista de aplicativos permitidos e determinar quem está exercendo essa função, caso deseje alterar a política e o hábito.

O download de um arquivo pelo SMB não acionará a quarentena e, como o aplicativo não está em quarentena, a política do gatekeeper nunca é verificada. Não sei por que está sendo marcado como quarentena nos outros computadores ...

Para verificar a quarentena a qualquer momento, use o ls -ld@comando para procurar o atributo com.apple.quarantine:

$ ls -ld@ /Applications/TextWrangler.app
drwxrwxr-x@ 3 gordon  staff  102 Apr 30  2012 /Applications/TextWrangler.app
    com.apple.FinderInfo     32 
    com.apple.quarantine     57 

Se esse atributo de quarentena estiver anexado ao aplicativo, a política de gatekeeper será verificada; se não, não vai. A pergunta interessante é por que ficou em quarentena nos outros computadores e, se você usar esse comando para verificar o aplicativo em vários pontos à medida que o distribui, poderá descobrir quando o atributo está sendo anexado (e, portanto, por que está sendo anexado).

EDIT: Há uma observação relacionada a isso na seção "Clique aqui para obter mais detalhes" do artigo da KB da Apple # HT5290 :

Importante: a assinatura da ID do desenvolvedor se aplica a aplicativos baixados da Internet. Aplicativos de outras fontes, como servidores de arquivos, unidades externas ou discos ópticos, são isentos, a menos que os aplicativos tenham sido originalmente baixados da Internet.

Se você ativou essa preferência oculta, ela também desativará o Gatekeeper:

defaults write com.apple.LaunchServices LSQuarantine -bool false

Ou o OS X permite abrir todos os aplicativos, independentemente da configuração nas Preferências do Sistema.

O Gatekeeper impede que os aplicativos sejam executados clicando duas vezes, mas você sempre pode substituí-lo selecionando Abrir no menu de contexto.

Se você pode executar aplicativos não assinados baixados clicando duas vezes, isso é um problema com o Gatekeeper. Os arquivos armazenam seu status de quarentena em um atributo estendido chamado com.apple.quarantine . Se, por algum motivo, esse atributo for apagado dos arquivos baixados, o Gatekeeper tratará os arquivos baixados como não sendo diferentes dos outros arquivos no seu computador. Então, sugiro que o download de um programa e o uso xattr -l filenameno Terminal sejam uma boa ferramenta de diagnóstico se você tiver o Xcode instalado.

Se você executá-los através do comando Abrir em um menu, esse é o comportamento projetado. Observe que, depois de executar um programa no menu, ele pode ser ativado para sempre, clicando duas vezes, independentemente das configurações do Gatekeeper.