¿Cómo deshabilito la Protección de integridad del sistema (SIP) AKA "sin raíz" en macOs [OS X]

Apple ha introducido la Protección de integridad del sistema , también conocida como "sin raíz", con OS X 10.11, El Capitan. Entiendo que este es un paso para la protección general contra el malware, pero como desarrollador necesito acceso de escritura a algunos de los archivos que bloquea.

¿Cómo desactivo esta protección?

La documentación de Apple cubre deshabilitar SIP, Acerca de la Protección de integridad del sistema en su Mac y Configurar la Protección de integridad del sistema .

Un artículo en lifehacker.com enumera estos pasos:

1. Reinicie su Mac en modo de recuperación reiniciando su computadora y manteniendo presionado Command+ Rhasta que aparezca el logotipo de Apple en su pantalla.
2. Haga clic en Utilidades> Terminal.
3. En la ventana Terminal, escriba csrutil disabley presione Enter.
4. Reinicia tu Mac.

Puede verificar si un archivo o carpeta está restringido emitiendo este lscomando usando la O mayúscula (y no cero 0) para modificar el indicador de listado largo:

ls -lO /System /usr 

Busque el texto restringido para indicar dónde se aplica SIP.

De manera predeterminada (= SIP habilitado), las siguientes carpetas están restringidas (consulte la página de soporte de Apple ):

/System
/usr
/bin
/sbin
Apps that are pre-installed with OS X

... y las siguientes carpetas son gratuitas:

/Applications
/Library
/usr/local

Es posible desactivar SIP arrancando en Recovery HD y ejecutando el siguiente comando:

csrutil disable

También es posible habilitar las protecciones SIP y deshabilitar selectivamente aspectos del mismo, agregando uno o más indicadores al csrutil enablecomando. Todos requieren ser arrancados desde Recovery para configurarlos:

Habilite SIP y permita la instalación de extensiones de kernel sin firmar

csrutil enable --without kext

Habilite SIP y deshabilite las protecciones del sistema de archivos

csrutil enable --without fs

Habilite SIP y deshabilite las restricciones de depuración

csrutil enable --without debug

Habilite SIP y deshabilite las restricciones de DTrace

csrutil enable --without dtrace

Habilite SIP y deshabilite las restricciones para escribir en NVRAM

csrutil enable --without nvram

También tengo una publicación disponible con más información sobre SIP:

Protección de integridad del sistema: agregar otra capa al modelo de seguridad de Apple

Si el objetivo es realmente deshabilitar la Protección de integridad del sistema, el arranque en la partición Recovery HD como se recomienda anteriormente en las otras respuestas aquí a través de Command+ ren el arranque no es la forma más rápida de hacerlo.

Puede combinar el arranque en modo de usuario único con el arranque HD de recuperación en una combinación de teclas de inicio no documentada:

• https://support.apple.com/en-us/HT204904 cubre la recuperación normal
• Mantenga presionado Command+ r+ spara iniciar en el modo de recuperación de usuario único

Esto lo lleva directamente al entorno mínimo necesario que se necesita para esto directamente .

Sería más seguro modificarlo de /etc/pathsmodo que /usr/local/binsea ​​solo antes usr/bin. De esa manera, puede hacer su trabajo de desarrollo /usr/local/binsin tener que deshabilitar SIP.

Las instalaciones limpias del sistema operativo se han ordenado de /etc/pathsesta manera desde El Capitán, pero si estuviera actualizando el sistema operativo desde Yosemite o antes, tendría que modificar el orden de la ruta manualmente.

Si todo lo que necesita es acceder / usr / local, eche un vistazo a esta página: https://github.com/Homebrew/homebrew/blob/master/share/doc/homebrew/El_Capitan_and_Homebrew.md

La idea es deshabilitar temporalmente SIP usando csrutil disable, agregar /usr/local, usar chflags para establecer ese directorio en no restringido

 sudo mkdir /usr/local && sudo chflags norestricted /usr/local && sudo chown -R $(whoami):admin /usr/local

y luego vuelva a habilitar SIP usando csrutil enable.

Si /usr/localya existe en el momento de su actualización, incluso lo anterior no es necesario. Simplemente puedes correr

sudo chown -R $(whoami):admin /usr/local

Si no puede acceder a la Partición de recuperación para ejecutar csrutil disable(para deshabilitar SIP ), intente configurar los argumentos de arranque con el nvramcomando, por ejemplo

sudo nvram boot-args="rootless=0"

Sin embargo, si tiene el siguiente error:

nvram: Error al configurar la variable - 'boot-args': (iokit / common) no permitido

entonces no funcionará. Aún necesita iniciarlo en modo de recuperación / seguridad.

Ver:

• Establecer una variable NVRAM en el arranque normal no está permitido pero está permitido en el modo de recuperación
• Reiniciar en modo seguro sin usar la tecla Mayús en Mojave

No tengo suficiente reputación para agregar esto como un comentario al enlace github Homebrew 404 anterior. La máquina Wayback todavía lo tiene:

http://web.archive.org/web/20160117204214/https://github.com/Homebrew/homebrew/blob/master/share/doc/homebrew/El_Capitan_and_Homebrew.md