XProtect, Gatekeeper et sécurité macOS : ce qu’ils font, et ce qu’ils laissent de côté

XProtect est la technologie anti-malware intégrée d’Apple, présente dans macOS depuis Snow Leopard en 2009. Elle fonctionne comme un système de détection basé sur des signatures, ce qui signifie qu’elle maintient une base de données de signatures de malwares connus et compare les fichiers à cette base lorsqu’ils sont ouverts, exécutés ou modifiés.

Le système XProtect comporte deux composants principaux depuis macOS Ventura et les versions ultérieures. Le premier est XProtect lui-même, qui effectue une analyse basée sur des signatures lorsque vous ouvrez des fichiers téléchargés depuis Internet ou reçus via d’autres applications compatibles avec la quarantaine. Lorsqu’un fichier téléchargé reçoit un attribut de quarantaine, son ouverture déclenche une analyse XProtect. Si le fichier correspond à une signature de malware connue, macOS le bloque et affiche un avertissement.

Le second composant est XProtect Remediator, qui a remplacé l’ancien Malware Removal Tool. XProtect Remediator lance des analyses périodiques en arrière-plan, pas seulement à l’ouverture des fichiers, et peut détecter et supprimer des malwares déjà installés sur le système. C’est une amélioration importante par rapport à XProtect d’origine, qui ne pouvait bloquer les menaces qu’au moment de leur première exécution. Les analyses du remediator s’exécutent silencieusement et ne nécessitent aucune interaction de l’utilisateur.

Apple met à jour les signatures XProtect via un processus en arrière-plan distinct des mises à jour système macOS régulières. Ces mises à jour de signatures sont distribuées via le mécanisme de mise à jour logicielle et installées automatiquement, même si l’utilisateur a désactivé les mises à jour automatiques pour les principales versions de macOS. Cela signifie que les définitions de malware de XProtect restent à jour sans que l’utilisateur ait à faire quoi que ce soit.

La limite de XProtect est inhérente à toute détection basée sur des signatures : il ne peut détecter que ce qu’il connaît déjà. Si un nouveau malware n’a pas encore été analysé et ajouté à la base de signatures d’Apple, XProtect ne le détectera pas. Il y a toujours un délai entre l’apparition d’un nouveau malware dans la nature et la publication par Apple d’une signature mise à jour. XProtect ne fait pas non plus d’analyse comportementale ni de détection heuristique : il ne signale pas les comportements suspects, seulement les signatures de code malveillant connues.

Gatekeeper est la première ligne de défense de macOS quand vous ouvrez des applications, et il se concentre sur la vérification de la confiance plutôt que sur la détection des logiciels malveillants. Là où XProtect se demande si un fichier est connu comme malveillant, Gatekeeper pose une autre question : ce logiciel provient-il d'une source qu'Apple a vérifiée ?

Quand vous téléchargez et ouvrez une application, Gatekeeper vérifie deux choses. D'abord, il confirme que l'application a été signée avec un certificat Apple Developer ID valide. La signature de code relie cryptographiquement l'application à un développeur enregistré, ce qui garantit que le logiciel n'a pas été altéré depuis sa création. Si la signature est invalide ou absente, Gatekeeper bloque l'application et avertit l'utilisateur.

Ensuite, pour les applications distribuées en dehors de l'App Store, Gatekeeper vérifie que le logiciel a été notarisé par Apple. Nous reviendrons en détail sur la notarisation dans la section suivante, mais en substance, cela signifie que les systèmes automatisés d'Apple ont analysé l'application et confirmé qu'elle ne contient pas de logiciel malveillant connu ni de composants malfaisants.

Les réglages de sécurité macOS de Gatekeeper se configurent dans Réglages Système, sous Confidentialité et sécurité. Le réglage par défaut autorise les applications de l'App Store et des développeurs identifiés. Il n'existe plus d'option visible pour autoriser les applications de n'importe où, et les utilisateurs qui veulent contourner Gatekeeper pour une application précise doivent faire un clic droit puis choisir Ouvrir, ou utiliser une commande Terminal pour désactiver Gatekeeper entièrement, ce qu'Apple déconseille fortement.

Le système de quarantaine fonctionne de concert avec Gatekeeper. Quand vous téléchargez un fichier via une application compatible avec la quarantaine, Safari, Chrome, Mail, Messages et la plupart des applications populaires, macOS ajoute au fichier un attribut étendu appelé com.apple.quarantine. C'est cet attribut qui déclenche les vérifications de Gatekeeper lorsque vous essayez d'ouvrir le fichier. Les fichiers qui arrivent via des canaux qui ne gèrent pas la quarantaine, comme certains outils de téléchargement en ligne de commande ou des copies de fichiers directes, peuvent ne pas recevoir cet attribut et donc ne pas déclencher les vérifications de Gatekeeper. C'est un cas limite connu, dont les utilisateurs avancés comme les attaquants ont conscience.

La notarisation est le composant le plus récent du trio de sécurité d'Apple, introduit dans macOS Mojave et exigé pour tous les logiciels distribués en dehors de l'App Store depuis macOS Catalina. Elle comble l'écart entre la signature de code, qui vérifie qui a créé le logiciel, et XProtect, qui recherche les logiciels malveillants connus.

Le processus de notarisation fonctionne ainsi : avant de distribuer son application, un développeur la téléverse vers le service de notarisation d'Apple. Les systèmes automatisés d'Apple analysent l'application à la recherche de logiciels malveillants connus, vérifient d'éventuels problèmes de signature de code et confirment que l'application utilise des API approuvées et n'inclut pas de composants malveillants connus. Si le logiciel passe ces vérifications, Apple délivre un ticket de notarisation, qui est agrafé à l'application ou rendu disponible en ligne. En général, ce processus ne prend que quelques minutes.

Quand un utilisateur ouvre une application notarisée, Gatekeeper vérifie le ticket de notarisation, soit à partir du ticket agrafé à l'application, soit en consultant les serveurs d'Apple en ligne. Cela confirme que les systèmes d'Apple ont examiné le logiciel et n'ont relevé aucun problème au moment de la soumission. L'utilisateur voit une boîte de dialogue de confirmation standard, plutôt qu'un avertissement inquiétant sur un développeur non identifié.

La notarisation n'est pas un examen de sécurité complet. La documentation d'Apple est claire à ce sujet : il s'agit d'une analyse automatisée, pas d'une revue du code par un humain. Elle recherche des signatures de logiciels malveillants connus, valide la chaîne de signature de code et vérifie que l'app utilise le hardened runtime, qui limite certaines capacités potentiellement dangereuses comme l'injection de code et le détournement de bibliothèques dynamiques. Mais elle n'analyse pas le comportement de l'application à l'exécution, n'examine pas les données qu'elle collecte et n'évalue pas les connexions réseau qu'elle établit.

Cette distinction compte, car la notarisation donne aux utilisateurs un sentiment de confiance qui peut être trompeur. Une application notarisée a passé les contrôles automatisés d'Apple, mais elle peut toujours adopter des comportements que les utilisateurs jugeraient inacceptables : collecte agressive de données, suivi persistant, connexions à des réseaux publicitaires ou télémétrie envoyant des données d'utilisation détaillées vers des serveurs tiers. La notarisation confirme l'absence de logiciels malveillants connus, pas la présence d'un comportement respectueux de la vie privée. C'est l'une des lacunes les plus importantes du modèle de sécurité de macOS pour les utilisateurs soucieux de leur vie privée.

Comprendre ce que XProtect, Gatekeeper et la notarisation ne couvrent pas est tout aussi important que comprendre ce qu’ils couvrent. Ces angles morts ne sont ni des bugs ni des oublis, ils reflètent le périmètre précis de chaque outil. Mais pour les utilisateurs qui se soucient de confidentialité et de sécurité au-delà de la simple prévention des logiciels malveillants, ces limites sont importantes.

Les connexions réseau sortantes ne sont absolument pas surveillées par les fonctions de sécurité de macOS. XProtect ne vérifie pas à quels serveurs vos applications se connectent. Gatekeeper n’évalue pas si une app envoie des données à des réseaux publicitaires. La notarisation ne passe pas en revue la télémétrie qu’une application collecte. Une fois qu’une app s’exécute sur votre Mac, elle peut établir des connexions sortantes vers n’importe quel serveur sur Internet, et aucune des fonctions de sécurité macOS intégrées d’Apple ne signalera ni ne bloquera ce comportement.

Le blocage des traqueurs et des outils d’analyse ne fait pas partie du modèle de sécurité de macOS. Une application notarized, signée par code, provenant d’un développeur vérifié, peut intégrer le suivi de Facebook SDK, Google Analytics, Mixpanel, Amplitude, ou n’importe quel autre framework d’analyse et de publicité. Ces connexions ne sont pas des logiciels malveillants. Ce sont des fonctions volontaires intégrées au logiciel. macOS n’a aucun mécanisme pour les détecter, les signaler ou les bloquer.

Le comportement invasif pour la vie privée d’un logiciel légitime sort complètement du cadre de ces protections. Une application qui lit le contenu de votre presse-papiers, surveille l’activité de votre système de fichiers dans les limites de ses permissions de sandbox, ou dresse des profils détaillés de vos habitudes d’utilisation ne viole aucune politique de sécurité macOS tant qu’elle reste dans les permissions qui lui ont été accordées. Le système d’autorisations de macOS contrôle l’accès à certaines ressources, comme la caméra, le micro et les contacts, mais il ne contrôle ni ne surveille la transmission de données sortantes.

Les nouveaux malwares et les menaces zero-day disposent d’une fenêtre d’action avant la mise à jour des signatures. Même si XProtect Remediator a amélioré le temps de réponse, il existe toujours une période pendant laquelle les menaces toutes nouvelles ne sont pas encore détectées. Les attaques d’ingénierie sociale qui poussent les utilisateurs à contourner Gatekeeper, une tactique malheureusement très courante, rendent toute la chaîne de signature et de notarisation inefficace, parce que l’utilisateur a explicitement levé la protection.

Ces lacunes ne sont pas théoriques. Elles concernent chaque utilisateur de Mac, tous les jours, à travers les applications qu’il a déjà installées et en qui il a confiance.

La lacune la plus importante des fonctions de sécurité de macOS est l’absence de surveillance et de contrôle du trafic sortant. Apple vous donne des outils pour vérifier qu’un logiciel est légitime avant son exécution, ainsi que des outils pour détecter les malwares connus. En revanche, elle ne vous donne aucun moyen de voir ou de contrôler ce que vos applications légitimes, notarized et approuvées par Gatekeeper font de votre connexion réseau une fois qu’elles tournent.

C’est là qu’interviennent les pare-feu au niveau des applications. Contrairement au pare-feu macOS intégré, qui contrôle surtout les connexions entrantes et reste relativement basique dans ses capacités de filtrage, un pare-feu de trafic sortant surveille chaque connexion que chaque application sur votre Mac tente d’établir vers Internet.

NetMute a été conçu pour cette lacune. Quand une application sur votre Mac tente de se connecter à un serveur, qu’il s’agisse d’un serveur de contenu légitime, d’un point de terminaison d’analyse, d’un réseau publicitaire ou d’un domaine de suivi inconnu, NetMute intercepte la connexion et vous montre exactement ce qui se passe. Vous voyez le nom de l’application, le serveur de destination et la fréquence des connexions. À partir de là, vous pouvez autoriser ou bloquer n’importe quelle connexion d’un seul clic.

Cela offre une couche de protection que XProtect, Gatekeeper et la notarisation n’ont jamais été conçus pour proposer. Au lieu de se demander si un logiciel est malveillant, NetMute vous permet de poser une question plus nuancée et plus pratique : cette application précise se connecte-t-elle à des serveurs qui me conviennent ? Un éditeur de texte signé par code et notarized qui envoie discrètement des statistiques de frappe à un serveur tiers n’est pas un malware selon la définition d’Apple, mais c’est un comportement que la plupart des utilisateurs voudraient bloquer s’ils en avaient connaissance.

L’intérêt du contrôle du trafic sortant devient évident dès la première utilisation. La plupart des utilisateurs sont surpris par le nombre de connexions que leurs applications établissent en arrière-plan, et par le nombre de connexions qui vont vers des domaines liés au suivi, à la publicité et à la collecte de données plutôt qu’à la fonction principale de l’application.

NetMute est disponible sur netmute.com en téléchargement gratuit, avec Premium sous forme d’achat intégré unique. Aucun abonnement, aucun compte requis. Il fonctionne en parallèle des fonctions de sécurité intégrées de macOS, en comblant la lacune précise qu’elles laissent ouverte : vous donner de la visibilité et du contrôle sur ce que vos applications envoient au monde.