ClearanceKit pour MAC

ClearanceKit est un outil gratuit et open source qui contrôle quels programmes de votre Mac peuvent toucher à vos fichiers sensibles. Il utilise le framework Endpoint Security d’Apple pour surveiller les événements du système de fichiers, comme les ouvertures, renommages, suppressions, copies et lectures de dossiers, et bloque tout processus qui accède à un chemin protégé sans règle d’autorisation explicite. Il vise les machines de développement, où un script d’installation npm, pip ou brew hors sandbox s’exécute avec tous vos droits et pourrait sinon lire des dossiers comme ~/.ssh, des identifiants cloud ou les cookies du navigateur.

Les règles identifient les programmes par leur signature de code, le Team ID et le Signing ID vérifiés par macOS, et non par leur chemin ou l’empreinte du fichier : elles continuent donc de fonctionner après les mises à jour. Les règles de prison confinent un processus, et ses processus enfants, à un ensemble de dossiers autorisés, et les règles d’ascendance peuvent exiger que l’accès provienne d’un parent de confiance. Les accès refusés s’affichent dans une fenêtre SwiftUI native où vous pouvez les examiner et bâtir votre politique, qui peut aussi être déployée par profils de configuration MDM. ClearanceKit est développé par Craig J. Bass et publié sous licence MIT ; il n’établit aucune connexion réseau, n’envoie aucune télémétrie et n’a pas de mise à jour automatique, les nouvelles versions se téléchargent donc depuis sa page de versions GitHub. Au premier lancement, vous devez activer son extension système et lui accorder l’accès complet au disque, deux conditions requises par Endpoint Security. La version 5.0.14 corrige une faille de sécurité qui permettait de lire des fichiers protégés via les services WebKit d’Apple. Le développeur n’indique pas de version minimale de macOS.

Fonctionnalités principales

ClearanceKit place une barrière devant vos dossiers privés.

• Chemins protégés : accès refusé sauf règle d’autorisation pour le processus.
• Règles de signature : identification des programmes par Team ID et Signing ID.
• Règles de prison : confinez un processus et ses enfants aux dossiers choisis.
• Règles d’ascendance : accès permis uniquement pour le compte d’un parent de confiance.
• Motifs glob : protégez des dossiers avec les jokers *, ** et ?.
• Revue des événements : consultez les accès refusés dans une fenêtre SwiftUI native.
• Prise en charge MDM : déployez des politiques par profils de configuration.
• Confidentiel : aucune connexion réseau, aucune télémétrie, aucun code tiers.

ClearanceKit 5.0.14 est une mise à jour de sécurité.

• Correction d’une faille qui permettait à tout processus local de lire des fichiers protégés via le service réseau WebKit d’Apple
• Nouvelles vérifications du processus responsable : les accès des services WebKit sont jugés comme l’app pour laquelle ils travaillent, comme Safari ou Mail
• Confirmation de risque étendue à l’autorisation des services WebKit et aux autres entrées de processus responsable
• Correction : le cache Endpoint Security est désormais vidé après une modification de la liste d’autorisation
• Préréglages Safari mis à jour