ClearanceKit（MAC版）

ClearanceKit は、Mac 上のどのプログラムが機密ファイルに触れてよいかを制御する、無料・オープンソースのツールです。Apple の Endpoint Security フレームワークを使って、ファイルを開く、名前を変える、削除する、コピーする、フォルダを読み取るといったファイルシステムのイベントを監視し、明示的な許可ルールなしに保護されたパスへアクセスするプロセスをブロックします。主な対象は開発用のマシンです。サンドボックス外で動く npm、pip、brew のインストールスクリプトはユーザーの全権限で実行されるため、そのままでは ~/.ssh、クラウドの認証情報、ブラウザの Cookie などのフォルダを読めてしまいます。

ルールはパスやファイルのハッシュではなく、macOS が検証するコード署名の Team ID と Signing ID でプログラムを識別するため、アップデート後もそのまま機能します。ジェイルルールはプロセスとその子プロセスを許可されたフォルダの範囲に閉じ込め、親子関係のルールでは信頼できる親プロセス経由のアクセスだけを許可できます。拒否されたアクセスはネイティブの SwiftUI ウインドウに表示され、そこで確認しながらポリシーを作れます。ポリシーは MDM の構成プロファイルで配布することもできます。ClearanceKit は Craig J. Bass が開発し、MIT ライセンスで公開しています。ネットワーク通信もテレメトリ送信もせず、自動アップデートもないため、新しいバージョンは GitHub のリリースページから入手します。初回起動時には、Endpoint Security に必要なシステム拡張機能の有効化とフルディスクアクセスの付与が求められます。バージョン 5.0.14 では、Apple の WebKit サービス経由で保護ファイルを読み取れてしまうセキュリティ上の問題が修正されました。開発者は必要な macOS の最低バージョンを公表していません。

主な機能

ClearanceKit は大切なフォルダの前に門を置きます。

• 保護パス：許可ルールのないプロセスのアクセスを拒否。
• 署名ルール：Team ID と Signing ID でプログラムを識別。
• ジェイルルール：プロセスとその子プロセスを指定フォルダに限定。
• 親子関係ルール：信頼できる親プロセス経由のアクセスだけを許可。
• glob パターン：*、**、? のワイルドカードでフォルダを保護。
• イベントの確認：拒否されたアクセスをネイティブの SwiftUI ウインドウで確認。
• MDM 対応：構成プロファイルでポリシーを配布。
• プライバシー重視：ネットワーク通信、テレメトリ、サードパーティ製コードなし。

ClearanceKit 5.0.14 はセキュリティアップデートです。

• 任意のローカルプロセスが Apple の WebKit ネットワークサービス経由で保護ファイルを読み取れた問題を修正
• 新しい責任プロセスのチェック：WebKit サービスによるアクセスを、Safari や Mail など実際に処理を依頼したアプリとして判定
• WebKit サービスやその他の責任プロセス項目を許可する際にもリスク確認を表示
• 修正：許可リストの変更後に Endpoint Security のキャッシュを消去するように
• Safari のプリセット項目を更新