Start

Der erste Start des Programms

Wenn Sie Sync Checker zum ersten Mal starten, integriert sich das Programm automatisch in das Sicherheitsmodell von macOS. Dies ist notwendig, da das Programm benutzt werden kann, um kritische Vorgänge in macOS durchzuführen, zum Beispiel um Betriebssystemdateien zu ändern oder sogar zu löschen. Nur verantwortlichen Systemverwaltern, die die Installation des jeweiligen Computers übernehmen, sollten solche Aktionen gestattet werden.

Aus diesem Grund enthält Sync Checker eine Wächterkomponente, die mit den Sicherheitsfunktionen von macOS kommuniziert. Unter normalen Umständen ist Sync Checker darauf beschränkt, sich wie ein normales Anwenderprogramm zu verhalten, wobei es keine erweiterten Rechte hat. Zum Beispiel kann es keine Systemfunktionen verwenden, die auf mehr als den aktuellen Benutzer Auswirkungen haben können. Gewisse Wartungsfunktionen erfordern allerdings, dass Sync Checker erlaubt wird, für den ganzen Computer und alle seine Benutzer zu handeln. In diesem Fall beantragt der eingebaute Wächter von Sync Checker die Erlaubnis bei macOS, vorübergehend eine Systemfunktion nutzen zu dürfen, die erweiterte Berechtigungen benötigt. Als Antwort auf diesen Antrag „friert“ macOS das Programm Sync Checker vollständig ein und öffnet ein Kennworteingabefenster, in das Sie ein gültiges Kennwort eines Systemverwalters eingeben müssen. Ist das Kennwort richtig, erlaubt macOS, dass Sync Checker seine Arbeit fortsetzt und es kann die angeforderte Aktion durchführen. Ist das Kennwort falsch, darf Sync Checker ebenfalls weiterlaufen, erhält jedoch die Rückantwort, dass die Erlaubnis nicht erteilt wurde und die laufende Anforderung zurückgewiesen wurde. In diesem Fall kann Sync Checker die gerade ausgewählte Aktion nicht durchführen. Durch dieses Verfahren wird es unmöglich, dass ein Unbefugter Programme wie Sync Checker missbrauchen könnte.

Um die Sicherheit weiter zu erhöhen, verwendet das Programm zusätzlich das Konzept der Benutzerrechtetrennung über mehrere Ebenen. Wenn ein Vorgang mit erweiterten Benutzerrechten ausgeführt werden muss, ist es nicht das Hauptprogramm selbst, das macOS um Erlaubnis fragt. Stattdessen erledigen zwei Zusatzprogramme, nämlich die Privileganforderung und das privilegierte Hilfsprogramm, jedes mit Berechtigungen, die unabhängig vom Hauptprogramm sind, diese Aufgabe. Auf diese Weise kann ein theoretisches Sicherheitsleck in einer dieser Komponenten sich nicht leicht in andere Teile von Sync Checker ausweiten. Die folgende Skizze zeigt das prinzipielle Design. Alle drei Komponenten kommunizieren über abgesicherte Kanäle, die von macOS überwacht werden.

Sicherheitsarchitektur für die Ausführung privilegierter Vorgänge
Sicherheitsarchitektur für die Ausführung privilegierter Vorgänge

Dieses Vorgehen hält sich streng an Apples Software-Richtlinien für systembezogene Dienstprogramme. Beachten Sie, dass Sync Checker noch nicht einmal das Verwalterkennwort „erfährt“, wenn dieses eingegeben wird. Alle sicherheitsbezogenen Abläufe werden direkt von macOS behandelt und überwacht. Sogar in dem unwahrscheinlichen Fall, dass ein Computervirus Sync Checker mit der Absicht angreifen würde, die Kennworteingabe „abzuhören“ um das Kennwort hierbei zu speichern und zu stehlen, hätte der Virus keinen Erfolg, da nur der gesondert geschützte Kern von macOS das Kennwort tatsächlich erhält und überprüft.

Die erste Kennworteingabe wird von macOS angefordert, wenn Sie Sync Checker zum ersten Mal starten. Das erlaubt dem Programm, das oben erwähnte Vertrauensverhältnis und den Schutzmechanismus aufzubauen. Andere Kennwortanfragen werden folgen, sobald Sie eine Operation starten, die erweiterte Rechte benötigt.

Alle beschriebenen Sicherheitsmaßnahmen werden ausschließlich durch macOS kontrolliert. Sie haben nichts mit der Registrierung oder Freischaltung der Software zu tun, sondern sind nötig, um Sicherheitslücken im Betriebssystem zu vermeiden.

macOS stellt automatisch sicher, dass der Benutzer nicht zu oft nach Kennworten gefragt wird. Nachdem ein Kennwort eingegeben wurde, „vertraut“ macOS allen Programmen, die vom gleichen Benutzer gestartet worden sind, für einen Zeitraum von 5 Minuten und gibt diesen ebenfalls alle Verwaltungsrechte.

Die folgenden Abschnitte enthalten Informationen für erfahrene Systemverwalter. Sie können beim ersten Lesen übersprungen werden.

Technische Details für fortgeschrittene Benutzer

Die Sicherheitskomponente wird im Ordner /Library/PrivilegedHelperTools abgelegt, der Apples empfohlenen Ort für solche Hilfsprogramme darstellt. Der Name der Komponente lautet com.bresink.system.privilegedhelper-syck. macOS startet und beendet das Programm automatisch, wie es gerade erforderlich ist, und vermeidet es, es längere Zeit im Hintergrund laufen zu lassen.

Sie können sich jederzeit dazu entscheiden, das Sicherheitsprogramm ohne Spuren zu entfernen. In diesem Fall verliert Sync Checker seine Fähigkeit, auf privilegierte Systembereiche zugreifen zu dürfen, so dass das Programm gezwungen wird, sich ebenso abzuschalten. Führen Sie die folgenden Schritte durch, um die Komponente zu entfernen:

  1. Starten Sie Sync Checker falls es noch nicht läuft.
  2. Wählen Sie den Menüpunkt Werkzeuge > Sicherheitskomponente entfernen ….
  3. Folgen Sie den Anweisungen, die das Programm gibt. Als letzter Schritt dieses Vorgangs beendet sich das Programm selbst.

Ändern der Sicherheitsrichtlinien

Sich nur mit einem Name-/Kennwortpaar eines Systemverwalters zu identifizieren, ist möglicherweise in großen Organisationen nicht ausreichend. Vielleicht sollte der Benutzer zusätzlich Mitglied in einer weiteren Gruppe speziell ausgebildeten Personals sein, um einen gewissen Vorgang auslösen zu können, oder vielleicht sollten andere Regeln entschärft werden, so dass auch nicht-administrative Benutzer das Recht bekommen, privilegierte Aufgaben erledigen zu dürfen. Sync Checker folgt Apples Richtlinien, intern mit benannten Rechten für jede Klasse von Operationen zu arbeiten und diese Namen in der Sicherheitsrichtliniendatenbank von macOS zu registrieren. Auf diese Weise können fortgeschrittene Systemverwalter die Rechte in der Datenbank feinanpassen, falls nötig, so dass Rechte an bestimmte Authentifizierungsmechanismen gebunden werden. Details werden in einem separaten Kapitel erläutert.