macOS Systemerweiterungen verständlich erklärt: Ein umfassender Leitfaden

Traditionell nutzten Entwickler Kernel Extensions (KEXTs), um ihren Anwendungen Zugriff auf systemnahe Ressourcen wie Arbeitsspeicher, Festplattenoperationen und Hardware-Peripheriegeräte zu ermöglichen. Dieser Ansatz brachte jedoch inhärente Sicherheitsrisiken mit sich, da Kernel Extensions im Kernel-Space ausgeführt werden und dadurch potenziell die Stabilität und Integrität des gesamten Betriebssystems gefährden konnten. Mit der Einführung von macOS Catalina (10.15) reagierte Apple auf diese Schwachstellen und stellte macOS System Extensions vor. Dieser innovative Paradigmenwechsel ermöglicht es Drittanbietern, die Funktionen von macOS zu erweitern, während ihr Code strikt im User-Space ausgeführt wird – was die Systemsicherheit und -stabilität deutlich erhöht.

System-Extension-Frameworks: Übersicht der macOS System Extensions

Das System-Extensions-Framework von Apple umfasst drei klar definierte Kategorien, die jeweils einem spezifischen Zweck bei der Erweiterung der macOS-Funktionalität dienen:

1. DriverKit Extensions

DriverKit Extensions sind die modernen Nachfolger der klassischen Kernel Extensions zur Unterstützung von Hardware. Sie ermöglichen es Gerätetreibern – etwa für USB, serielle Schnittstellen, Netzwerkkarten (NICs) oder Human Interface Devices (HIDs) – im User-Space statt im Kernel-Space zu laufen. DriverKit stellt dafür User-Space-Versionen ausgewählter I/O-Kit-Klassen bereit, sodass der Kernel I/O-Ereignisse sicher an den User-Space weiterleiten kann. Dies schafft eine deutlich sicherere Umgebung für die Ausführung von Treibern.

2. Network Extensions

Network Extensions ermöglichen es Entwicklern, das Netzwerkverhalten auf macOS-Systemen gezielt anzupassen. Dieses Framework umfasst mehrere Erweiterungstypen, darunter: App Proxy: Zur Erstellung von VPN-Clients mit flow-orientierten, benutzerdefinierten VPN-Protokollen, die Netzwerkverkehr verbindungsbasiert verarbeiten. Packet Tunnel: Für VPN-Clients mit paketorientierten, benutzerdefinierten VPN-Protokollen, die den Netzwerkverkehr auf Paketebene steuern. Filter Data: Ermöglicht das Filtern von Netzwerk-Flows zur Überwachung und Modifikation von Datenströmen. Filter Packet: Erlaubt das Filtern einzelner Netzwerkpakete zur detaillierten Analyse und Anpassung. DNS Proxy: Ermöglicht die Erstellung benutzerdefinierter DNS-Dienste zur Überwachung und Modifikation von DNS-Anfragen und -Antworten.

3. Endpoint Security Extensions

Das Endpoint-Security-Framework stellt Sicherheitsanbietern und Entwicklern eine umfassende Sammlung von APIs zur Verfügung, um Systemaktivitäten zu überwachen und zu steuern und macOS-Geräte vor bösartigen Bedrohungen zu schützen. Es ermöglicht die Überwachung und Kontrolle von Prozessen, Dateisystemereignissen, Netzwerkaktivitäten und Kernel-Operationen. Im Kern basiert das Framework auf einer Kernel Extension (KEXT), die sich unter /System/Library/Extensions/EndpointSecurity.kext befindet. Diese KEXT besteht aus mehreren zentralen Komponenten wie dem EndpointSecurityDriver, EndpointSecurityEventManager, EndpointSecurityClientManager und EndpointSecurityMessageManager, die eine reibungslose Kommunikation zwischen Betriebssystem und Endpoint-Security-Framework ermöglichen.

Architektonische Einblicke: Endpoint Security Framework

Das Endpoint-Security-Framework ermöglicht die Kommunikation im User-Space über die IOUserClient-Klasse und nutzt dabei zwei unterschiedliche Subklassen – abhängig vom Typ des Aufrufers: EndpointSecurityDriverClient: Diese Subklasse erfordert das Entitlement com.apple.private.endpoint-security.manager, das ausschließlich dem Systemprozess endpointsecurityd vorbehalten ist. EndpointSecurityExternalClient: Diese Subklasse benötigt das Entitlement com.apple.developer.endpoint-security.client und wird typischerweise von Drittanbieter-Sicherheitssoftware verwendet. Die Bibliothek libEndpointSecurity.dylib fungiert als Kommunikationsschnittstelle zwischen System Extensions und dem Kernel und nutzt das I/O Kit (IOKit) zur Interaktion mit der Endpoint-Security-KEXT. Zwei zentrale System-Daemons spielen eine entscheidende Rolle beim Management und Start von Endpoint-Security-System-Extensions: endpointsecurityd: Verantwortlich für das Verwalten und Starten von Endpoint-Security-System-Extensions, insbesondere während des frühen Bootvorgangs. Nur Extensions mit dem Flag NSEndpointSecurityEarlyBoot in der Info.plist werden in dieser Phase geladen. sysextd: Validiert System Extensions, verschiebt sie an die vorgesehenen Systemorte und veranlasst anschließend das Laden durch den entsprechenden Daemon. Das SystemExtensions.framework ist für die Aktivierung und Deaktivierung von System Extensions zuständig.

So aktivieren Sie System Extensions auf dem Mac

Obwohl System Extensions die Sicherheit und Stabilität von macOS erhöhen, sind einige Anwendungen weiterhin auf ältere Kernel Extensions (KEXTs) angewiesen. In solchen Fällen erscheint möglicherweise eine Meldung, dass zusätzliche System Extensions aktiviert werden müssen. Um System Extensions auf Mac-Geräten zuzulassen, ist ein Neustart im Wiederherstellungsmodus und die Nutzung des Startup Security Utility erforderlich. So gehen Sie vor:

1. Klicken Sie auf das Apple-Menü und wählen Sie „Ausschalten“.
2. Halten Sie die Einschalttaste gedrückt, bis „Startoptionen werden geladen“ angezeigt wird.
3. Wählen Sie „Optionen“ und klicken Sie auf „Fortfahren“.
4. Wählen Sie Ihr Startvolume und klicken Sie auf „Weiter“.
5. Geben Sie das Administratorpasswort ein und klicken Sie auf „Fortfahren“.
6. Wählen Sie in der Menüleiste „Dienstprogramme“ > „Startup Security Utility“.
7. Wählen Sie Ihr Startvolume und klicken Sie auf „Sicherheitsrichtlinie“.
8. Aktivieren Sie „Reduzierte Sicherheit“.
9. Aktivieren Sie „Benutzerverwaltung von Kernel Extensions von identifizierten Entwicklern erlauben“.
10. Klicken Sie auf „OK“.
11. Wählen Sie Ihr Administratorkonto aus, geben Sie das Passwort ein und klicken Sie auf „OK“.
12. Starten Sie den Mac über das Apple-Menü neu.

Nach dem Neustart kann ein Dialog erscheinen, der darauf hinweist, dass eine System Extension blockiert wurde. Klicken Sie in diesem Fall auf „Sicherheitseinstellungen öffnen“, navigieren Sie zu „Systemeinstellungen > Datenschutz & Sicherheit“, scrollen Sie zum Abschnitt „Sicherheit“ und klicken Sie auf „Erlauben“ neben der entsprechenden Meldung.

System-Extension-Management mit Trio MDM vereinfachen

Die manuelle Aktivierung von System Extensions ist zwar möglich, kann jedoch bei der Verwaltung vieler macOS-Geräte zeitaufwendig und fehleranfällig sein. Genau hier setzt Trio MDM (Mobile Device Management) an und bietet eine zentrale, effiziente Lösung für das Management von System Extensions in Unternehmen. Trio MDM ermöglicht das Whitelisting von Kernel Extensions und System Extensions, sodass genehmigte Anwendungen sicher und reibungslos ausgeführt werden können. Durch die Angabe der Team-ID, Bundle-ID oder beider Werte innerhalb der MDM-Richtlinie lassen sich notwendige Extensions vorab genehmigen. Ein besonderer Vorteil von Trio MDM ist die automatische Ermittlung der Bundle Identifier einer Anwendung, wodurch manueller Aufwand entfällt. Zusätzlich vereinfacht Trio die Aktivierung von System Extensions, indem Administratoren einen „Neustart“-Befehl senden und dabei die Option „Kernel-Cache neu erstellen“ aktivieren können. Dadurch werden erforderliche Extensions korrekt geladen – ohne manuelle Eingriffe auf jedem einzelnen Gerät. Fordern Sie noch heute eine kostenlose Demo an und entdecken Sie, wie Trio MDM Ihr System-Extension-Management optimieren kann.

Fazit: Die Zukunft der macOS System Extensions

Die Einführung von macOS System Extensions markiert einen bedeutenden Fortschritt in Apples Ansatz zur Integration systemnaher Software. Der Wechsel von Kernel Extensions zu System Extensions schafft ein ausgewogenes Verhältnis zwischen leistungsfähigem Systemzugriff und erhöhter Sicherheit sowie Stabilität. Entwickler profitieren von neuen Möglichkeiten, ohne die Systemintegrität zu gefährden, während Unternehmen von einer robusteren Plattform profitieren. Die drei Hauptkategorien – DriverKit, Network Extensions und Endpoint Security Extensions – bieten ein umfassendes Framework zur Erweiterung von macOS. Auch wenn der Umstieg Herausforderungen mit sich bringen kann, überwiegen die langfristigen Vorteile deutlich. Mit MDM-Lösungen wie Trio MDM lassen sich diese Prozesse erheblich vereinfachen. Wer macOS-Geräte professionell verwaltet, sollte sich mit System Extensions vertraut machen und moderne Management-Tools nutzen, um Sicherheit, Effizienz und Skalierbarkeit langfristig zu gewährleisten.