SIP в macOS: что это и как его отключить и включить обратно

Что такое SIP и от чего защищает

SIP (System Integrity Protection) в русских интерфейсах называется «защита целостности системы». Она появилась в OS X El Capitan и с тех пор встроена в каждую версию macOS, включая актуальную macOS 27 Golden Gate.

Идея простая. Раньше у администратора Mac были права делать с системными файлами что угодно. Вредоносная программа, получив такие права, могла подменить системную библиотеку или спрятать себя в папке, которую никто не проверяет. SIP запрещает это: изменять защищённые области может только процесс с подписью Apple и специальными правами. Пароль администратора ничего не меняет.

Под защитой находятся:

• папки /System, /usr, /bin, /sbin и /var;
• программы, которые установлены вместе с macOS (Safari, Почта, Терминал и другие).

А вот папки /Applications, /Library и /usr/local открыты: туда программы ставят свои файлы, и SIP этому не мешает. Ваши документы, фото и рабочий стол он тоже не трогает. Это защита самой системы, а не личных данных.

Важно. SIP не заменяет антивирус и не отвечает за то, какие программы вы запускаете. За запуск скачанных приложений отвечает Gatekeeper, за доступ к фото, камере и дискам отвечает отдельная система разрешений. У каждого механизма свои настройки.

Чем SIP отличается от других защит macOS

Путаница возникает потому, что в macOS несколько защитных слоёв, и в сети их часто смешивают. Вот как они делят обязанности.

Если ваша проблема лежит в строках Gatekeeper или разрешений, отключение SIP её не решит. Оно только снимет защиту, которая к вашей проблеме не относится.

Как проверить, включён ли SIP

Проверка занимает десять секунд и ничего не меняет.

1. Откройте Терминал: Finder, «Программы», папка «Утилиты».
2. Введите команду csrutil status и нажмите Return.
3. Прочитайте ответ.

Если защита работает, Терминал напишет, что System Integrity Protection status: enabled. Если отключена, вместо enabled будет disabled. Есть и промежуточный ответ: при частичном отключении система пишет о нестандартной конфигурации и перечисляет, какие проверки выключены. Такое встречается у разработчиков и почти никогда у обычных пользователей.

Если вы ничего не отключали сами, а Mac куплен не с рук и систему на нём не «настраивали», SIP почти наверняка включён. Так и должно быть.

Когда SIP мешает по-настоящему

Настоящих причин отключать SIP немного. Вот типичные ситуации и то, что разумнее сделать вместо отключения.

Если ваш случай во второй колонке пишет «нет», не отключайте SIP. Причина проблемы почти всегда в другом месте, а риск от отключения вполне реальный.

В старых инструкциях (времён OS X Yosemite и El Capitan) SIP отключали ради программ, которые правили системные папки. Сегодня такие программы ушли на расширения и отдельные разрешения. Поэтому ответ «отключите SIP, и заработает» встречается в сети намного чаще, чем действительно нужен.

Как отключить SIP

Порядок зависит от того, какой у Mac процессор. Если не уверены, откройте меню Apple и выберите «Об этом Mac»: в строке «Чип» или «Процессор» будет написано, какой установлен.

На Mac с чипом Apple

К Mac с чипом Apple относятся все модели с 2020 года: MacBook Air и Pro на M1 и новее, iMac 24 дюйма, Mac mini, Mac Studio и новый MacBook Neo. Других процессоров в macOS 27 нет, поддерживаются только Mac с чипом Apple.

Перед началом подключите зарядку, а важные файлы скопируйте: отключение SIP само данные не трогает, но если что-то пойдёт не так, лишняя копия лишней не будет.

1. Выключите Mac. Если он не выключается обычным способом, удерживайте кнопку питания около 10 секунд (на MacBook это кнопка Touch ID).
2. Нажмите кнопку питания и держите, пока на экране не появится надпись «Загрузка параметров запуска» и значок «Параметры».
3. Выберите «Параметры» и нажмите «Продолжить».
4. Если система попросит, выберите пользователя-администратора и введите его пароль.
5. В строке меню откройте «Утилиты» и выберите «Терминал».
6. Введите csrutil disable и нажмите Return. Терминал может запросить имя и пароль администратора.
7. Дождитесь сообщения, что защита отключена, затем в меню Apple выберите «Перезагрузить».

После загрузки откройте Терминал и проверьте csrutil status: должен быть ответ disabled.

На Mac с процессором Intel

Mac на Intel остаются на macOS 26 Tahoe и более старых версиях: macOS 27 на них не ставится. Порядок действий чуть другой, потому что режим восстановления запускается сочетанием клавиш.

1. Выключите Mac.
2. Включите его и сразу зажмите Command (⌘) и R. Держите, пока не увидите логотип Apple или вращающийся глобус. Если потребуется, выберите сеть Wi-Fi.
3. Выберите пользователя и введите пароль, если система просит.
4. В строке меню откройте «Утилиты» и выберите «Терминал».
5. Введите csrutil disable и нажмите Return.
6. Перезагрузите Mac через меню Apple.

Если SIP отключён, а правка не проходит

В macOS 11 Big Sur и новее системный раздел запечатан: он защищён криптографической подписью, и для его изменения одного отключения SIP мало. Разработчики работают с ним отдельными командами в том же режиме восстановления. Для обычного пользователя это знак остановиться: если вы добрались до запечатанного раздела, вы уже делаете то, что лучше не делать без чёткой задачи.

Как включить SIP обратно

Порядок тот же, что при отключении: режим восстановления, Терминал, команда. Только команда другая.

1. Запустите режим восстановления: на Mac с чипом Apple удерживайте кнопку питания до появления «Параметров», на Intel зажмите Command и R при включении.
2. Откройте «Утилиты» и выберите «Терминал».
3. Введите csrutil enable и нажмите Return.
4. Перезагрузите Mac.
5. В обычном режиме проверьте статус командой csrutil status: должно быть enabled.

Включайте защиту сразу после того, как сделали то, ради чего её отключали. Apple прямо предупреждает, что забытый выключенный SIP оставляет компьютер уязвимым для вредоносных программ. Поставьте напоминание, если есть риск забыть.

Если вы отключали SIP не сами, а по совету мастера или друга, проверьте статус. Часто защиту выключают на один раз и не возвращают.

Терминал пишет «Operation not permitted»

Это самая частая причина, по которой люди вообще ищут SIP. Вы запускаете команду, а система отвечает: «Operation not permitted». Кажется, что защита не пускает. В действительности чаще всего виноват другой механизм: у Терминала нет полного доступа к диску.

Как исправить:

1. Откройте Системные настройки.
2. Перейдите в «Конфиденциальность и безопасность» и выберите «Полный доступ к диску».
3. Нажмите кнопку добавления, выберите Терминал (или программу, которая выдаёт ошибку) и подтвердите.
4. Закройте Терминал полностью и запустите заново.

Если ошибка остаётся, а команда работает с /System или /usr, вот тогда это SIP. Но и в этом случае подумайте, нужно ли вам менять эти папки. Почти всегда та же задача решается без правки системных файлов: в /usr/local и в домашней папке пользователя SIP ничего не запрещает.

Чем рискуете, если оставить SIP выключенным

Риск не абстрактный, а вполне прикладной.

• Вредоносная программа получает больше возможностей. При включённом SIP она не может подменить системные файлы и закрепиться в них. Без SIP может.
• Обновления иногда ломаются. Если вы меняли системные файлы, обновление macOS может не установиться или Mac после него перестанет загружаться.
• Сбои сложнее понять. Когда что-то идёт не так, первым делом проверяют, не менялась ли система. С выключенным SIP ответ «менялась» гораздо вероятнее.

Отдельная оговорка для тех, кто покупает Mac с рук: проверьте csrutil status при осмотре. Выключенная защита без видимой причины повод задать продавцу вопросы.

Если после правок Mac не загружается

Сам статус SIP загрузку не ломает. Ломают её изменения, которые SIP запрещал, а вы сделали их после отключения. Симптомы: значок папки с вопросительным знаком, бесконечная загрузка, перезагрузки на этапе логотипа.

Порядок такой:

1. Запустите режим восстановления и включите SIP командой csrutil enable.
2. Попробуйте перезагрузиться.
3. Если не помогло, переустановите macOS поверх текущей системы из того же режима восстановления. По описанию Apple, переустановка macOS не стирает файлы и настройки, но копию лучше иметь заранее.
4. Если Mac не запускает даже режим восстановления, дело может быть не в программах, а в накопителе или плате.

В этом случае можно оставить заявку: мастер приедет и посмотрит Mac на месте или курьер заберёт его в мастерскую. Цену мы называем после диагностики, до начала работ. Подробнее про переустановку системы читайте на странице «Переустановка macOS», а про Mac, который вообще не подаёт признаков жизни, на странице «MacBook не включается».