Полное руководство по включению SIP на macOS

Введение / Зачем это нужно

System Integrity Protection (SIP), также известный как «целостность системы», — это фундаментальный механизм безопасности в macOS, введённый начиная с OS X El Capitan. Он защищает ключевые системные файлы, папки и процессы от любых модификаций, даже от пользователя с правами администратора (root).

Включение SIP значительно повышает устойчивость вашей системы к:

• Вредоносному ПО, пытающемуся внедрить свои компоненты в системные директории.
• Случайному или намеренному повреждению ядра и системных библиотек.
• Атакам, использующим privilege escalation.

Этот гайд проведет вас через процесс активации SIP с нуля, от перехода в Recovery Mode до проверки статуса. Процесс безопасен и полностью обратим.

Требования / Подготовка

Перед началом убедитесь, что:

1. У вас есть физический доступ к Mac (не удалённое управление).
2. Вы знаете пароль учётной записи администратора (может потребоваться для некоторых операций в Recovery Mode).
3. На Mac установлена поддерживаемая версия macOS (Ventura, Sonoma, Sequoia или новее).
4. Вы закрыли все приложения и сохранили несохранённую работу, так как процесс потребует перезагрузки.
5. Важно: Если вы ранее отключали SIP для установки какого-либо ПО (например, системного драйвера или устаревшей утилиты), убедитесь, что это ПО больше не требуется, или будьте готовы снова его отключить после включения SIP.

Пошаговая инструкция

Шаг 1: Перезагрузите Mac в режим восстановления

Режим восстановления (Recovery Mode) — это специальная служебная среда, которая позволяет выполнять административные задачи, недоступные в обычной работе системы, включая управление SIP.

Для Mac с процессором Apple Silicon (M1, M2, M3):

1. Выключите Mac через меню «Яблоко» → «Выключить».
2. Нажмите и удерживайте кнопку питания до появления экрана загрузки с текстом «Загрузка options».
3. Нажмите «Параметры» и затем «Продолжить».
4. Дождитесь загрузки в среду восстановления.

Для Mac с процессором Intel:

1. Выключите Mac.
2. Включите Mac и немедленно удерживайте комбинацию клавиш Command (⌘) + R.
3. Удерживайте клавиши до появления логотипа Apple или вращающегося глобуса.
4. Дождитесь загрузки в среду восстановления.

После загрузки вы увидите окно «Утилиты macOS».

Шаг 2: Откройте терминал в среде восстановления

В верхней строке меню выберите «Утилиты» → «Терминал». Терминал откроется на фоне, характерном для Recovery Mode (обычно синий или серый). Это подтверждает, что вы находитесь в правильной среде.

Шаг 3: Включите SIP с помощью команды csrutil

В открытом терминале введите следующую команду и нажмите Enter:

csrutil enable

Что делает эта команда: она устанавливает флаг в NVRAM, который заставляет загрузчик macOS активировать все защитные механизмы System Integrity Protection при следующей загрузке системы.

Дополнительные опции (по желанию):

• csrutil enable --without debug — включает SIP, но оставляет возможность отладки ядра. Используйте, если вам нужны инструменты разработчика, но основная защита включена. Не рекомендуется для большинства пользователей.
• csrutil enable --without fs — включает SIP, но позволяет монтировать системные тома с правами записи. Это ослабляет защиту файловой системы. Используйте с extreme осторожностью, если вообще нужно.

После ввода команды вы должны увидеть сообщение об успешном включении: Successfully enabled System Integrity Protection. Please restart the machine for the changes to take effect.

Шаг 4: Перезагрузите Mac в обычном режиме

1. В меню «Яблоко» (в левом верхнем углу экрана Recovery Mode) выберите «Перезагрузить».
2. Mac выключится и загрузится в обычную операционную систему.
3. При появлении экрана входа в систему войдите под своей учётной записью.

Проверка результата

Чтобы убедиться, что SIP успешно активирован, выполните следующие действия:

1. Откройте Терминал в обычном режиме macOS (через Launchpad или Finder -> Программы -> Утилиты).
2. Введите команду:

   csrutil status
   

3. Ожидаемый вывод:

   System Integrity Protection status: enabled.
   

   Если вы видите enabled. — SIP активен и защищает вашу систему. Если статус disabled., повторите шаги, убедившись, что вы загружались именно в Recovery Mode и использовали csrutil enable.

Возможные проблемы

Проблема: Mac не загружается в Recovery Mode

• Симптом: При удержании кнопок загрузки появляется только обычный экран входа или система зависает.
• Решение: Убедитесь, что вы удерживаете правильную комбинацию клавиш для вашей модели Mac. Для Apple Silicon дождитесь появления экрана «Загрузка options». Для Intel начните удерживать клавиши сразу после нажатия кнопки питания. Если не помогает, попробуйте подключить Mac к сети Ethernet (если есть порт) или Wi-Fi, так как некоторые повреждения системных файлов могут мешать загрузке в Recovery Mode по сети.

Проблема: Команда csrutil не найдена или «operation not permitted»

• Симптом: В обычном режиме macOS команда csrutil недоступна или возвращает ошибку доступа.
• Решение: Это ожидаемое поведение. Команда csrutil доступна только в Recovery Mode. Убедитесь, что вы выполняли шаги именно в среде восстановления, а не в обычном рабочем режиме системы.

Проблема: После включения SIP перестало работать критическое для работы ПО

• Симптом: Некоторые старые системные расширения (KEXT), утилиты для глубокой настройки или программы типа старых версий Wine/Crossover перестали запускаться.
• Решение: SIP предназначен для блокировки таких действий. Вам придется временно отключить SIP, установить/настроить необходимое ПО, а затем, по возможности, снова включить SIP. Информацию о том, как отключить SIP, ищите в соответствующем гайде на FixPedia. Рассмотрите альтернативные, более современные и совместимые с SIP варианты ПО.