XProtect, Gatekeeper et sécurité macOS : ce qu’ils font, et ce qu’ils laissent de côté

XProtect est la technologie anti‑malware intégrée d'Apple qui fait partie de macOS depuis Snow Leopard en 2009. Elle fonctionne comme un système de détection basé sur des signatures, ce qui signifie qu'elle maintient une base de données de signatures de logiciels malveillants connus et vérifie les fichiers par rapport à cette base lorsqu'ils sont ouverts, exécutés ou modifiés.

Le système XProtect comporte deux composants principaux à partir de macOS Ventura et versions ultérieures. Le premier est XProtect lui‑même, qui effectue une analyse basée sur des signatures lorsque vous ouvrez des fichiers téléchargés depuis Internet ou reçus via d'autres applications compatibles avec la quarantaine. Lorsque macOS applique un indicateur de quarantaine à un fichier téléchargé, l'ouverture de ce fichier déclenche une analyse XProtect. Si le fichier correspond à une signature de malware connue, macOS le bloque et affiche un avertissement.

Le second composant est XProtect Remediator, qui a remplacé l'ancien Malware Removal Tool. XProtect Remediator effectue des analyses périodiques en arrière‑plan, pas seulement lors de l'ouverture de fichiers, et peut détecter et supprimer des logiciels malveillants déjà installés sur le système. C'est une amélioration significative par rapport à l'XProtect original, qui ne pouvait que bloquer les menaces au moment de la première exécution. Les analyses du remediator s'effectuent silencieusement et ne nécessitent pas d'interaction de l'utilisateur.

Apple met à jour les signatures XProtect via un processus en arrière‑plan distinct des mises à jour régulières de macOS. Ces mises à jour de signatures sont livrées par le mécanisme de mise à jour logicielle et sont installées automatiquement, même si l'utilisateur a désactivé les mises à jour automatiques pour les versions majeures de macOS. Cela signifie que les définitions de malware de XProtect restent à jour sans que l'utilisateur ait à intervenir.

La limite de XProtect est inhérente à tout système de détection basé sur des signatures, il ne peut détecter que ce qu'il connaît déjà. Si un nouveau logiciel malveillant n'a pas été analysé et ajouté à la base de données de signatures d'Apple, XProtect ne le détectera pas. Il y a toujours un délai entre l'apparition d'un nouveau malware dans la nature et la livraison par Apple d'une signature mise à jour. XProtect ne réalise pas d'analyse comportementale ni de détection heuristique, il ne signale pas les comportements suspects, uniquement les signatures de code malveillant connues.

Gatekeeper est la première ligne de défense de macOS lorsque vous ouvrez des applications, et il se concentre sur la vérification de confiance plutôt que sur la détection de logiciels malveillants. Alors que XProtect pose la question de savoir si un fichier est connu comme malveillant, Gatekeeper pose une question différente : ce logiciel provient-il d'une source qu'Apple a vérifiée ?

Lorsque vous téléchargez et ouvrez une application, Gatekeeper vérifie deux choses. D'abord, il s'assure que l'application a été signée avec un certificat Apple Developer ID valide. La signature de code relie cryptographiquement l'application à un développeur enregistré, garantissant que le logiciel n'a pas été modifié depuis que le développeur l'a construit. Si la signature est invalide ou absente, Gatekeeper bloque l'application et avertit l'utilisateur.

Ensuite, pour les applications distribuées en dehors du Mac App Store, Gatekeeper vérifie que le logiciel a été notarié par Apple. Nous aborderons la notarisation en détail dans la section suivante, mais en essence, cela signifie que les systèmes automatisés d'Apple ont analysé l'application et confirmé qu'elle ne contient pas de logiciels malveillants connus ni de composants malveillants.

Les réglages de sécurité de Gatekeeper sur Mac peuvent être configurés dans Réglages Système, sous Confidentialité et sécurité. Le réglage par défaut autorise les applications de l'App Store et des développeurs identifiés. Il n'existe plus d'option visible pour autoriser les applications de n'importe où, et les utilisateurs qui souhaitent contourner Gatekeeper pour une application spécifique doivent faire un clic droit et choisir Ouvrir, ou utiliser une commande dans le Terminal pour désactiver complètement Gatekeeper, ce qu'Apple déconseille fortement.

Le système de quarantaine fonctionne de concert avec Gatekeeper. Lorsque vous téléchargez un fichier via une application compatible avec la quarantaine (Safari, Chrome, Mail, Messages et la plupart des applications populaires), macOS attache un attribut étendu appelé com.apple.quarantine au fichier. Cet attribut est ce qui déclenche les vérifications de Gatekeeper lorsque vous tentez d'ouvrir le fichier. Les fichiers provenant de canaux non compatibles avec la quarantaine, comme certains outils de téléchargement en ligne de commande ou des copies directes de fichiers, peuvent ne pas recevoir cet attribut et donc ne pas déclencher les vérifications de Gatekeeper. Il s'agit d'un cas limite connu, que les utilisateurs avertis comme les attaquants connaissent.

La notarisation est le composant le plus récent du triptyque de sécurité d'Apple, introduit avec macOS Mojave et obligatoire pour tous les logiciels distribués en dehors du Mac App Store depuis macOS Catalina. Elle comble le vide entre la signature de code, qui vérifie qui a créé le logiciel, et XProtect, qui recherche des malwares connus.

Le processus de notarisation fonctionne ainsi : avant de distribuer son application, un développeur la téléverse vers le service de notarisation d'Apple. Les systèmes automatisés d'Apple analysent l'application à la recherche de malwares connus, vérifient d'éventuels problèmes liés à la signature de code, et confirment que l'application utilise des API approuvées et n'inclut pas de composants malveillants connus. Si le logiciel passe ces vérifications, Apple émet un ticket de notarisation qui est joint à l'application ou rendu disponible en ligne. Ce processus ne prend généralement que quelques minutes.

Lorsqu'un utilisateur ouvre une application notarisée, Gatekeeper vérifie le ticket de notarisation, soit à partir du ticket joint à l'application, soit en vérifiant en ligne auprès des serveurs d'Apple. Cela confirme que les systèmes d'Apple ont examiné le logiciel et n'ont trouvé aucun problème au moment de la soumission. L'utilisateur voit une boîte de dialogue de confirmation standard plutôt qu'un avertissement effrayant concernant des développeurs non identifiés.

La notarisation n'est pas un examen complet de sécurité. La documentation d'Apple précise clairement qu'il s'agit d'une analyse automatisée, et non d'une revue humaine du code. Elle recherche des signatures de malwares connues, valide la chaîne de signature de code, et confirme que l'application utilise le runtime renforcé, qui limite certaines capacités potentiellement dangereuses comme l'injection de code et le détournement de bibliothèques dynamiques. Mais elle n'analyse pas le comportement de l'application à l'exécution, n'examine pas quelles données elle collecte, ni n'évalue quelles connexions réseau elle établit.

Cette distinction est importante, car la notarisation peut donner un sentiment de confiance trompeur. Une application notarisée a passé les contrôles automatisés d'Apple, mais peut encore adopter un comportement que les utilisateurs trouveraient inacceptable : collecte agressive de données, suivi persistant, connexions à des réseaux publicitaires, ou télémétrie envoyant des données d'utilisation détaillées à des serveurs tiers. La notarisation confirme l'absence de malwares connus, pas la présence d'un comportement respectueux de la vie privée. C'est l'une des lacunes majeures du modèle de sécurité de macOS pour les utilisateurs soucieux de leur vie privée.

Comprendre ce que XProtect, Gatekeeper et Notarization ne couvrent pas est tout aussi important que de comprendre ce qu'ils font. Ces lacunes ne sont pas des bogues ou des oublis, elles reflètent la portée spécifique de chaque outil. Mais pour les utilisateurs soucieux de leur vie privée et de leur sécurité au-delà de la prévention de logiciels malveillants basique, ces lacunes sont significatives.

Les connexions réseau sortantes ne sont pas du tout surveillées par les fonctionnalités de sécurité de macOS. XProtect ne vérifie pas vers quels serveurs vos applications se connectent. Gatekeeper n'évalue pas si une application envoie des données à des réseaux publicitaires. La notarization ne vérifie pas quelles données de télémétrie une application collecte. Une fois qu'une application fonctionne sur votre Mac, elle peut établir des connexions sortantes vers n'importe quel serveur sur Internet, et aucune des fonctionnalités de sécurité intégrées de macOS ne signalera ni ne bloquera ce comportement.

Le blocage des trackers et des outils d'analyse n'est pas intégré au modèle de sécurité de macOS. Une application notarized et signée par un développeur vérifié peut inclure un suivi via Facebook SDK, Google Analytics, Mixpanel, Amplitude, ou tout autre framework d'analyse et de publicité. Ces connexions ne sont pas des logiciels malveillants. Ce sont des fonctionnalités délibérées, intégrées au logiciel. macOS ne dispose d'aucun mécanisme pour les détecter, les signaler ou les bloquer.

Les comportements invasifs pour la vie privée issus de logiciels légitimes échappent totalement à ces protections. Une application qui lit le contenu de votre presse-papiers, surveille votre activité dans le système de fichiers dans le cadre de ses autorisations de sandbox, ou construit des profils détaillés de vos habitudes d'utilisation ne viole aucune politique de sécurité de macOS tant qu'elle opère dans ses autorisations accordées. Le système d'autorisations de macOS contrôle l'accès à des ressources spécifiques comme la caméra, le microphone et les contacts, mais ne contrôle ni ne surveille la transmission de données sortantes.

Les logiciels malveillants nouveaux et de type zero-day disposent d'une fenêtre d'opportunité avant que leurs signatures ne soient mises à jour. Bien que XProtect Remediator ait amélioré le délai de réponse, il existe toujours une période où les nouvelles menaces ne sont pas encore détectées. Les attaques d'ingénierie sociale qui convainquent les utilisateurs de contourner Gatekeeper, une tactique malheureusement courante, rendent inefficace toute la chaîne de signature de code et de notarization, car l'utilisateur a explicitement contourné la protection.

Ces lacunes ne sont pas théoriques. Elles concernent chaque utilisateur Mac, chaque jour, à travers les applications qu'il a déjà installées et en lesquelles il a confiance.

La lacune la plus importante des fonctionnalités de sécurité de macOS est l'absence de surveillance et de contrôle du trafic sortant. Apple vous fournit des outils pour vérifier que le logiciel est légitime avant son exécution, et pour détecter les malwares connus. Ce qu'Apple ne vous donne pas, c'est un moyen de voir ou de contrôler ce que vos applications légitimes, notarized et approuvées par Gatekeeper font avec votre connexion réseau une fois qu'elles sont en fonctionnement.

C'est là qu'interviennent les pare-feux applicatifs. Contrairement au pare-feu intégré de macOS, qui contrôle principalement les connexions entrantes et possède des capacités de filtrage relativement basiques, un pare-feu de trafic sortant surveille chaque connexion que chaque application sur votre Mac tente d'établir avec Internet.

NetMute est conçu spécifiquement pour combler cette lacune. Lorsqu'une application sur votre Mac tente de se connecter à un serveur, qu'il s'agisse d'un serveur de contenu légitime, d'un point de terminaison d'analyse, d'un réseau publicitaire ou d'un domaine de suivi inconnu, NetMute intercepte la connexion et vous montre exactement ce qui se passe. Vous voyez le nom de l'application, le serveur de destination et la fréquence des connexions. À partir de là, vous pouvez autoriser ou bloquer toute connexion d'un clic.

Cela offre une couche de protection que XProtect, Gatekeeper et Notarization n'ont jamais été conçus pour fournir. Au lieu de vous demander si un logiciel est malveillant, NetMute vous permet de poser une question plus nuancée et pratique : cette application spécifique se connecte-t-elle à des serveurs avec lesquels vous êtes à l'aise ? Un éditeur de texte signé, notarized, qui envoie discrètement des analyses de frappes à un serveur tiers n'est pas un malware selon la définition d'Apple, mais c'est un comportement que la plupart des utilisateurs voudraient bloquer s'ils en avaient connaissance.

La valeur du contrôle du trafic sortant devient immédiatement évidente dès la première utilisation. La plupart des utilisateurs sont surpris du nombre de connexions que leurs applications établissent en arrière-plan, et du nombre de ces connexions qui pointent vers des domaines liés au suivi, à la publicité et à la collecte de données plutôt qu'à la fonctionnalité principale de l'application.

NetMute est disponible sur NetMute.com, gratuit à télécharger, avec Premium en achat intégré unique. Sans abonnement, sans compte requis. Il fonctionne en complément des fonctionnalités de sécurité intégrées de macOS, comblant la lacune spécifique qu'elles laissent ouverte : vous donner visibilité et contrôle sur ce que vos applications envoient dans le monde.