syspolicyd

Het controleert code. Een grote app voor het eerst openen, software installeren of archieven vol uitvoerbare bestanden uitpakken geeft het meer te controleren. Ontwikkelaars zien mogelijk meer activiteit als ze veel nieuwe binaries bouwen en uitvoeren.

Meestal niets. Laat de installatie of de eerste start afronden, dan hoort de activiteit te stoppen. Probeer het niet uit te schakelen, en ook de beveiligingscontroles die het uitvoert niet. Blijft het lang druk terwijl er niets gebeurt, herstart dan de Mac.

De functies van Apple die syspolicyd ondersteunt, controleren de handtekening van een app en, bij gedownloade software, of die is genotariseerd. Daardoor volgt de activiteit de code die op je Mac binnenkomt.

Bestanden die je downloadt, krijgen een quarantainemarkering die macOS vertelt ze te controleren als ze voor het eerst worden geopend. Is een app eenmaal gecontroleerd en toegestaan, dan is die eerste controle bij latere starts niet meer nodig, en daarom is de activiteit geconcentreerd rond nieuwe software.

• Een van internet gedownloade app voor het eerst openen.
• Apps installeren of bijwerken, ook grote apps met veel meegeleverde onderdelen.
• Archieven of schijfkopieën uitpakken die apps of opdrachtregeltools bevatten.
• Ontwikkelwerk dat veel nieuwe uitvoerbare bestanden maakt en uitvoert, zoals builds en pakketinstallaties.

Twee opdrachten die alleen lezen, laten zien wat het systeembeleid vindt, zonder iets te veranderen. Ze zijn handig als je wilt weten of een app is ondertekend en genotariseerd voordat je hem opent.

1. Voer spctl --status uit. Het toont assessments enabled als de Gatekeeper-controles aanstaan, en dat is de normale toestand.
2. Voer spctl --assess -vv /Applications/AppName.app uit met het pad naar een app. De uitvoer zegt of de app accepted is, en een regel source=, zoals Notarized Developer ID of Apple System, vertelt je waarom.
3. Om te zien of een gedownload bestand nog de quarantainemarkering heeft, voer je xattr -l ~/Downloads/FileName uit. Een vermelding com.apple.quarantine betekent dat macOS het controleert als het voor het eerst wordt geopend.

Schakel Gatekeeper niet uit, schakel System Integrity Protection niet uit en stop syspolicyd niet om CPU te besparen. Die wijzigingen halen controles weg die voorkomen dat onbetrouwbare software draait, en syspolicyd zou toch niet gestopt blijven.

Verwijder ook niet met xattr de quarantainemarkering van downloads om de controle bij de eerste start over te slaan. Die markering zorgt ervoor dat macOS software van internet bekijkt voordat die draait, en als je hem verwijdert, omzeil je die controle zonder dat de Mac in het dagelijks gebruik ook maar iets sneller wordt.

Blokkeert macOS een app die je vertrouwt, open hem dan op de ondersteunde manier: probeer hem eerst te openen, ga daarna naar Apple-menu > Systeeminstellingen > Privacy en beveiliging, scrol omlaag en klik op ‘Open toch’. De app wordt als uitzondering bewaard en opent vanaf dan gewoon.

Normaal: korte uitbarstingen van CPU-gebruik als je software opent, installeert of uitpakt, die stoppen zodra het werk klaar is. Ontwikkelaars zien er meer van, omdat elke nieuwe build van een tool of app nieuwe code is die misschien gecontroleerd moet worden.

Het bekijken waard: syspolicyd blijft lang druk terwijl je niets installeert of opent. Kijk of er iets op de achtergrond wordt geïnstalleerd, zoals een app-updater, en laat dat afronden. Gaat de activiteit door terwijl er niets gebeurt, herstart dan de Mac.