com.apple.provenance: Neue „Extended Attributes“ in macOS Ventura

Apples Extended Attributes waren bei uns schon mehrfach Thema. Bei den Metainformationen, die Apples Mac-Betriebssystem beliebigen Dateien mit auf den Weg geben kann, handelt es sich um eindeutige Zusatzinformationen, die im Terminal oder über kleine Hilfs-Downloads wie die Freeware xattred von Howard Oakley eingesehen werden können.

Aus den Extended Attributes geht etwa hervor, ob eine Datei per AirDrop geschickt, aus dem Internet geladen oder vom Systemintegritätsschutz als besonders schützenswert gekennzeichnet wurde.

• Geladene Mac-Apps und Dateien: Quarantäne-Kennzeichnung entfernen

com.apple.quarantine erzeugt Nachfragen

Web-Downloads etwa erhalten das Extended Attribut „com.apple.quarantine“, das dafür sorgt, dass entsprechende Dateien nicht einfach ausgeführt werden können, sondern nach dem typischen Doppelklick zumindest einmal nachfragen, ob die aus dem Netz geladene Datei wirklich ausgeführt werden soll.

Das Extended Attribut „com.apple.rootless“ markiert Dateien die durch den Systemintegritätsschutz vor Veränderungen geschützt werden.

Neuzugang com.apple.provenance

In macOS Ventura ist mit com.apple.provenance nun ein neues Extended Attribute aufgetaucht, dessen genauer Einsatzzweck zwar noch nicht geklärt ist, allerdings liegen schon erste Hinweise vor, wozu die neue Meta-Info dienen könnte.

So lässt Apple grundsätzlich das Löschen von Quarantäne-Kennzeichnungen einer Datei zu und entfernt den Quarantäne-Hinweis bei der ersten erfolgreichen Ausführung eines Web-Download, damit dieser nicht jedes Mal aufs Neue nachfragt ob die Ausführung wirklich gewünscht ist. Akribisch Buch wird anschließend nicht mehr geführt.

Hier geht macOS Ventura nun anders vor und drückt einer Datei mit Quarantäne-Kennzeichnung nun den Stempel com.apple.provenance auf, der erhalten bleibt auch wenn die Ausführ-Erlaubnis einmal erteilt wurde. Dieses neue Extended Attribute ist zudem auch von Apples Systemintegritätsschutz gesichert und kann vom Anwender nicht ohne Weiteres entfernt werden.

Apple behält hier also die Provenienz bzw. die Herkunft aus dem Netz geladener Dateien im Auge, lässt aber unklar warum entsprechende Vorbereitungen getroffen wurden.