江苏龙网

  1. 首页 > 资讯 > 科技 > >

CSDN|基于苹果自研芯片的 Mac 电脑对安全意味着什么？( 二 )


理论上 ， 对安全软件以及其他第三方应用来说 ， 开发者需要对应用进行重新编译才能在 arm 架构的 macOS 上运行 。 但是有些比较老的软件或者库可能很难找到可以运行的 arm64 版本 。 好消息是 ， 苹果提供了 Rosetta 2 仿真软件 。
CSDN|基于苹果自研芯片的 Mac 电脑对安全意味着什么？
本文插图
如果我们不重新编译的话 ，Rosetta 可以重新翻译和模拟 x86_64 的环境 ， 因此 x86_64 的二进制文件也可以直接在 macOS 以仿真的形式运行 。 但是效率会比较低 。
开发者还可以将 App 或者库重新编译为 universal 模式（同时包含 arm64 和 x86_64） ， 这样既能在 arm 架构的 Mac 上运行又能在 intel 架构的 Mac 上运行 。 但是这样做要对很多代码进行修改以及为 app 重新设置一些环境变量（比如 intel 的内存的 pagesize 是 4k ， arm 内存的 pagesize 是 16k） 。 另外 ， 还有一件非常麻烦的事情 ， 如果我们的应用中用到了一些第三方的库 ， 并且这些库没有提供 arm 的版本 ， 那么我们就没有办法成功编译我们的应用 ， 解决方案是：1. 要么采用仿真的形式；2. 要么等待开发者对库进行更新 。
iOS 应用和应用安全扫描
在 iOS 上有很多实用和爆款的应用让 iOS 的生态比 macOS 的生态更加成功 。 当然 ， 苹果也意识到了这一点 。 因此 ， arm 架构的 macOS 的一个杀手锏就是可以直接运行 iOS 的应用 。 虽然官方说需要开发者签署一个新的协议 ， 就可以让 iOS 的应用在 macOS 上上架 。 但个人推测 ， 只要对 app 进行重签名 ， 也可以运行任意 iOS 应用 。 对于安全软件来说 ， 不但要处理之前 x86_64 架构的二进制文件和应用 ， 在 arm 架构的 macOS 上 ， iOS 应用都可以在 macOS 上正常运行 。 因此 ， 杀毒和文件扫描工具 ， 也要有分析 arm64 架构的二进制文件以及 iOS 应用的能力 ， 不然用户安装了 arm 架构的恶意软件 ， 安全软件却无法对其进行分析 ， 则无法保证用户系统的安全性 。
新的安全框架: Endpoint Security
正如上文所提到的 ， 在完全安全模式下 ， 第三方的内核扩展是无法加载的 。 个人猜测是因为苹果想提供一个无法被第三方打扰的安全内核环境 ， 从而可以安全的运行 AppStore（保证支付安全） ， iOS App（内购） ， 以及保护安全芯片的数据等 。 但是现在很多 EDR 的安全软件都是基于内核扩展做的 ， 如果不能使用内核扩展 ， 则很多功能都不能正常运行 。
【CSDN|基于苹果自研芯片的 Mac 电脑对安全意味着什么？】为了解决这个问题 ， 苹果提供了一个新的安全框架叫 Endpoint Security（简称 ES） 。 现在已经支持超过 100 种系统事件的处理（随后会增加更多） 。 ES 的框架如图所示：
CSDN|基于苹果自研芯片的 Mac 电脑对安全意味着什么？
本文插图
ES 采用系统扩展（system extension）的形式 ， 本身运行在用户态 ， 然后监听内核传递过来的信息 ， 因此就算 ES 客户端 crash 了 ， 系统也不会 panic 和重启；苹果提供了 early load（早期加载）模式 ， 因此可以在系统启动的时候加载扩展 ， 从而可以获取所有的事件；另外 ， 因为是 ES 客户端是系统权限 ， 进程会被保护的很好 ， 不会轻易被 root 权限卸载掉 。
虽然 macOS 10.15 上就已经开始支持 ES 框架了 ， 但由于是比较新的框架 ， API 的参数和功能也经常改变 ， 还出现过一些 bug 。 但随着这两年的开发 ， ES 框架已经越来越稳定了 ， 并且功能一直在增强 ， 比如最新的版本已经可以支持监控 FCNTL ， PIPE ， 签名验证失败等相关的操作了 。
CSDN|基于苹果自研芯片的 Mac 电脑对安全意味着什么？
本文插图
不出意外 ， 2 年内随着内核扩展的淘汰 ， 绝大多数 EDR 产品都会基于 ES 框架进行开发 。


推荐阅读


上一篇：|美团二号套现离场，“铁三角”何以为继？

下一篇：|继蚂蚁更名后，支付宝加速变革，马云豪言将成现实？