macos - 如何保护 Mac OS 系统扩展安全端点不被杀死

Question

如何保护我的 macOS 系统扩展端点安全：

A.被用户（root用户）杀死

B. 由root用户卸载？

Answer 1

1. 我想说你可以订阅一个 ES_EVENT_TYPE_AUTH_SIGNAL 事件来过滤掉你的进程的所有类似杀戮的信号（如果你在你的守护进程中运行它。如果你将它加载到系统进程中，用户就不能杀死它）。

2. 好吧，我不建议这样做。您应该问自己的主要问题：如果无法卸载，如何卸载您的系统扩展来卸载软件或更新它？

   根据设计，root 用户应该能够在系统上执行任何合理的操作。

   您仍然可以在这里做一些技巧，例如订阅 ES_EVENT_TYPE_AUTH_EXEC 事件并取消所有 launchctl 卸载尝试，或者使用您的系统扩展参数使用 systemextensionsctl，以防您通过单独的扩展执行此操作。