macOS Sequoia Spotlight révèle sur une session utilisateur les données de la session administrateur

ludmer67

Membre confirmé
11 Septembre 2009
65
1
Bonjour à tous,

J'ai fait hier soir une découverte étrange sur mon Mac (avec macOS Sequoia 15.5) : quand ma compagne se connecte à sa session Utilisateur (Standard), elle peut, depuis Spotlight, ouvrir des fichiers qui appartiennent à ma session Administrateur, même quand celle-ci est verrouillée. En fouillant davantage, elle peut aussi, depuis Finder, accéder à mon dossier Utilisateurs (celui avec Documents, Bureau, Téléchargements, etc.).

Quelques précisions : le SSD n'est pas protégé par FileVault, sa session n'a pas de mot de passe. D'ailleurs, en faisant à l'instant un test avec un compte Standard avec mot de passe, le problème est le même : un utilisateur Standard peut accéder aux fichiers de l'Administrateur, qui lui, en revanche, ne peut pas consulter les fichiers des autres.

Que faire ?
Merci !
 
@ludmer67 ça n'est pas du tout normal, dans le sens où ça n'est pas censé être le cas, et certainement pas le comportement par défaut dans macOS, et c'est évidement (comme tu l'as constaté) une grosse faille de sécurité / confidentialité.
Il y a eu, à un moment, une modification des permissions d'accès à ton compte administrateur (ta petite maison et ses sous-dossiers) qui sont maintenant bien trop permissives.
Ne cherche pas le problème dans les autres sessions, elles n'ont rien : c'est la tienne qui est devenue une passoire.


j'ai posé la question à Grok, cela est tout-à-fait normal.
Si Grok le dit, alors ça ne peut qu'être vrai !
(ou pas)
Demande-lui si c'est normal que tous les habitants de ton immeuble (même les nouveaux, même ceux que tu ne connais pas) aient le clé de ton appartement ?
 
Dernière édition:
  • J’aime
Réactions: peyret et edenpulse
@Bicus La réponse de Grok est argumentée, il faudrait déjà la lire. Elle correspond pile poil à ma situation et à celle de @ludmer67 , et je n'ai JAMAIS modifié les permissions. Et je suis sûr du coup que lui non plus. Étrange non ?

As-tu au moins vérifié sur une autre session que tu n'as pas accès aux fichiers de ton utilisateur principal ?
 
Qui va gagner, la sottise naturelle ou l'intelligence artificielle ?

La situation est "normale" si aucune précaution n'a été prise au moment de la création de nouveaux répertoires dans /nomabrege (aka la petite maison).

Par défaut le masque de macOS pour un nouveau répertoire est 755, c'est à dire :

propriétaire : lecture écriture
staff : lecture seulement
tout le monde : lecture seulement

Dès lors, il est normal que Spotlight puisse lire ce qui s'y trouve.

La solution est soit de ne jamais créer de fichier sur ce niveau soit de modifier les permissions du répertoire créé pour lui donner les mêmes qu'à Documents, Images, Musiques, etc. c'est-à-dire :

propriétaire : lecture et écriture
tout le monde : accès interdit

N.B.: Si on choisi d'interdire dorénavant l'accès à ces fichiers, on fera bien aussi de réinitialiser l'indexation Spotlight.

La "maison" est une bonne allégorie de la situation. C'est comme si vous aviez déposé vos documents dans le jardin. Tout le monde sur la machine peut les apercevoir, voire tout le monde sur le réseau local.

Par Moonwalker, intelligence naturelle supérieure.
 
  • J’aime
  • Haha
Réactions: Toum'aï et Romuald
Désolé de te contredire @Moonwalker mais c'est faut.
Le masque de macOS pour un nouveau répertoire est certes 755, mais absolument pas pour un utilisateur.
1748414793622.webp
Qui est bien différent comme tu peux le voir. Et encore heureux !
Aucun droits pour les autres utilisateurs et des droits d'execution uniquement au groupe. C'est tout

Faut surtout arrêter de vouloir tripatouiller dans les droits des dossiers utilisateur.


Et @sinbad21 encore faut-il comprendre la réponse. Ca n'est pas du tout ce que Grok donne en réponse.
"Les autres utilisateurs, même administrateurs, n'ont généralement pas d'accès aux dossiers "
Tout le reste est du conditionnel et t'explique comment ça PEUT exister.
 
J'ai trouvé la trace d'outils non-documentés et non-supportés par Apple, via Howard Oakley, qui permettraient de ré-initialiser les permissions du dossier utilisateur :


Sinon peut-être que le renommage du dossier utilisateur (fait dans les règles de l'art) ré-appliquera les bonnes permissions lors de sa ré-attribution au compte :


Dans tous les cas, faire une amont une bonne sauvegarde via Time Machine sur un disque externe évitera bien des déconvenues en cas de problèmes !
 
Dernière édition:
Désolé de te contredire @Moonwalker mais c'est faut.
Le masque de macOS pour un nouveau répertoire est certes 755, mais absolument pas pour un utilisateur.
Voir la pièce jointe 305425
Qui est bien différent comme tu peux le voir. Et encore heureux !
Aucun droits pour les autres utilisateurs et des droits d'execution uniquement au groupe. C'est tout

Faut surtout arrêter de vouloir tripatouiller dans les droits des dossiers utilisateur.


Et @sinbad21 encore faut-il comprendre la réponse. Ca n'est pas du tout ce que Grok donne en réponse.
"Les autres utilisateurs, même administrateurs, n'ont généralement pas d'accès aux dossiers "
Tout le reste est du conditionnel et t'explique comment ça PEUT exister.
De quoi tu parles ? Du fichier invisible .localized qui sert à traduire les noms de dossier dans le langage de l'utilisateur ? En l'occurence ce fichier .localized permet de transformer "Users" en "Utilisateurs" dans le Finder. C'est un fichier système root, ce n'est pas un fichier utilisateur.

Quant à ton dossier utilisateur (flouté), il a bien 755 comme droits. Ce qui veut dire que TOUS les utilisateurs de ton Mac ont accès en lecture seule à TOUS les fichiers de cet utilisateur, dès lors qu'ils appartiennent au même groupe de travail (staff par défaut).

Le point soulevé par la question initiale de ce fil est intéressant. La plupart du temps on est le seul utilisateur de son Mac et on ne fait pas attention à cette histoire de droits. Mais si on est chef de famille et qu'on partage le Mac entre 3 utilisateurs, il faut savoir que l'Utilisateur créé à l'installation du système est un utilisateur destiné à administrer le Mac, pas à y stocker des données personnelles.

Dans le cas de mon chef de famille il aura donc intérêt à se créer un dossier utilisateur pour lui-même en plus de l'utilisateur admin de départ, de manière à ce que ses données ne soient pas visibles des autres membres de la famille. Il y aura donc 4 utilisateurs en tout.

Quant à la réponse de Grok, elle ne concerne que les utilisateurs 2 à n, pas l'Utilisateur 1 qui fait l'objet d'un paragraphe séparé, puisqu'il n'a pas les mêmes droits que les autres (755 vs 700).
 
mais c'est faut.
Je ne saurais dire mieux (ou pire).
Faut surtout arrêter de vouloir tripatouiller dans les droits des dossiers utilisateur.

J'ai trouvé la trace d'outils non-documentés et non-supportés par Apple, via Howard Oakley, qui permettraient de ré-initialiser les permissions du dossier utilisateur :


Sinon peut-être que le renommage du dossier utilisateur (fait dans les règles de l'art) ré-appliquera les bonnes permissions lors de sa ré-attribution au compte :


Dans tous les cas, faire une amont une bonne sauvegarde via Time Machine sur un disque externe évitera bien des déconvenues en cas de problèmes !
Mais de quoi tu parles ? De quoi parlez-vous ?

Personne n’a demandé de « tripatouiller les droits des dossiers » ou de modifier les droits de /nomabrege

Ça va bien dans vos têtes ?

Ici nous parlons de NOUVEAUX dossiers, créés par l’utilisateur, donc avec le masque 755. Si ces dossiers sont placés au même niveau que les répertoires Documents, Images, Musique, etc., ils sont lisibles depuis les comptes utilisateurs du Mac et depuis le réseau local. Et c’est normal.

Ce sont les droits de ces dossiers qu’il convient de modifier si on ne veut pas qu’ils soient consultables, afin de leur donner les mêmes droits que le répertoire Documents par exemple.

Sinon la méthode bourrine :
Surtout une méthode « très con ».

Le répertoire de l’utilisateur doit rester accessible à cause du répertoire ~/Public des partages et de la boîte de dépot.
 
La pratique par l’image.

Voici un répertoire utilisateur « standard » vu depuis un compte « administrateur » :
Capture d’écran 2025-05-28 à 12.38.02.webp
Comme vous pouvez le voir, seul le répertoire « Public » est accessible. Le contenu des autres répertoires n’est pas lisible par un tiers.

Voici mon répertoire « administrateur » depuis ce compte « standard » :

Capture d’écran 2025-05-28 à 12.47.45.webp
Ici, un groupe de répertoires que j’ai créés et ajoutés disposent des mêmes autorisations que les répertoires originaux et sont donc inaccessibles depuis un autre compte.
J’aurai pu éventuellement les placer dans Documents mais j’ai préféré cette organisation.
Vous voyez également que le répertoire « Readiris PDF » est accessible en lecture car je n’en ai pas modifié les droits depuis sa création. Je pense d’ailleurs que je vais le déplacer dans Documents, ça fera plus propre.