Aujourd'hui a mis en évidence une fonctionnalité macOS peu connue qui permet à votre Mac de recevoir et d'utiliser automatiquement les correctifs critiques dans le cas malheureux d'un bug ou d'une vulnérabilité catastrophique.
Comme vous le savez, Apple a publié aujourd'hui un correctif pour un bogue majeur dans macOS qui activait l'accès root avec un mot de passe vide sur tout Mac exécutant macOS High Sierra version 10.13.1 ou plus récente.
Le problème, découvert hier par le développeur Lemi Orhan Ergin, était suffisamment grave pour justifier un redressement rapide ainsi que des excuses officielles de la société.
DIDACTICIEL: Utiliser Gatekeeper pour sécuriser votre Mac
Maintenant, de nombreuses personnes - nous-mêmes inclus - ont noté que le correctif de cette vulnérabilité a été téléchargé automatiquement et silencieusement en arrière-plan, avec une notification Gatekeeper apparaissant pour informer les utilisateurs que «Cette mise à jour doit être installée dès que possible.»
C'est là que les choses deviennent intéressantes…
Même si vous ne téléchargez pas manuellement ce correctif, il va se télécharger et s'installer lui-même. Selon Apple, les fichiers nécessaires seront «installés automatiquement sur tous les systèmes exécutant la dernière version (10.13.1) de macOS High Sierra».
Ce mécanisme de mise à jour automatique n'est pas facultatif par conception.
Il ne peut pas être désactivé à volonté, ce qui irait à l'encontre de son objectif de toute façon. L'objectif d'Apple avec cette fonctionnalité intéressante est la livraison rapide de correctifs système conçus pour résoudre les vulnérabilités et problèmes majeurs sans nécessiter aucune intervention de votre part.
Gatekeeper en action
Ce n'est certainement pas la première fois qu'Apple force l'installation automatique d'un correctif de sécurité.
Comme John Gruber de Daring Fireball et Jason Snell de Six Colors l'ont souligné plus tôt dans la journée, l'autre était la mise à jour de sécurité NTP en 2014 qui a affecté macOS 10.8 à 10.10.
Comme la mise à jour actuelle, ce correctif a été déployé et installé automatiquement sur les Mac des utilisateurs, sans nécessiter de redémarrage. Comme l'explique Snell, Apple dispose de fonctionnalités similaires.
DIDACTICIEL: Comment sécuriser votre Mac avec un mot de passe de firmware
Par exemple, Gatekeeper met à jour en silence la liste des logiciels malveillants connus qui renforcent votre sécurité lors du téléchargement et de l'installation d'applications non signées. Les utilisateurs peuvent visiter Préférences système → App Store pour dire à leur Mac de télécharger automatiquement d'autres éléments, comme les principales mises à jour macOS, les mises à jour de sécurité, les données de mise en quarantaine des fichiers, etc..
Capacités supplémentaires trouvées dans Préférences système → Sécurité et confidentialité facilite l'ajustement de divers paramètres liés à la sécurité à votre convenance, par exemple si un mot de passe est requis après le démarrage de l'économiseur d'écran ou si votre Mac se met en veille, etc..
DIDACTICIEL: S'assurer que votre Mac reçoit des mises à jour sur les nouveaux logiciels malveillants
Enfin, macOS a quelque chose appelé System Integrity Protection qui ferme de nombreux fichiers système à l'accès des utilisateurs afin d'empêcher le code malveillant de faire des ravages sur votre Mac.
DIDACTICIEL: Comment afficher le dossier de bibliothèque caché de macOS sur votre Mac
Compte tenu de la gravité de la vulnérabilité du mot de passe root et de la réponse rapide d'Apple en moins de 24 heures, nous avons estimé qu'il était important de résumer les fonctions de sécurité de mise à jour automatique de macOS qui protègent votre Mac avec des correctifs critiques sans aucune action de votre part.
Conclusion: Le mécanisme d'Apple pour pousser automatiquement les mises à jour de votre Mac en cas de bug catastrophique est une fonctionnalité cruciale dont vous ne savez même pas qu'il existe jusqu'à ce qu'il soit nécessaire.
Pensées?
