macOS Sequoia Spotlight révèle sur une session utilisateur les données de la session administrateur

[ludmer67]

Bonjour à tous,

J'ai fait hier soir une découverte étrange sur mon Mac (avec macOS Sequoia 15.5) : quand ma compagne se connecte à sa session Utilisateur (Standard), elle peut, depuis Spotlight, ouvrir des fichiers qui appartiennent à ma session Administrateur, même quand celle-ci est verrouillée. En fouillant davantage, elle peut aussi, depuis Finder, accéder à mon dossier Utilisateurs (celui avec Documents, Bureau, Téléchargements, etc.).

Quelques précisions : le SSD n'est pas protégé par FileVault, sa session n'a pas de mot de passe. D'ailleurs, en faisant à l'instant un test avec un compte Standard avec mot de passe, le problème est le même : un utilisateur Standard peut accéder aux fichiers de l'Administrateur, qui lui, en revanche, ne peut pas consulter les fichiers des autres.

Que faire ?
Merci !

 

[sinbad21]

Bonjour, étonnant en effet, j'ai posé la question à Grok, cela est tout-à-fait normal.

https://x.com/i/grok/share/is6PKs98i7t3L4ZY4mIBKXh9N

 

[Bicus]

@ludmer67 ça n'est pas du tout normal, dans le sens où ça n'est pas censé être le cas, et certainement pas le comportement par défaut dans macOS, et c'est évidement (comme tu l'as constaté) une grosse faille de sécurité / confidentialité.
Il y a eu, à un moment, une modification des permissions d'accès à ton compte administrateur (ta petite maison et ses sous-dossiers) qui sont maintenant bien trop permissives.
Ne cherche pas le problème dans les autres sessions, elles n'ont rien : c'est la tienne qui est devenue une passoire.

j'ai posé la question à Grok, cela est tout-à-fait normal.

Si Grok le dit, alors ça ne peut qu'être vrai !
(ou pas)
Demande-lui si c'est normal que tous les habitants de ton immeuble (même les nouveaux, même ceux que tu ne connais pas) aient le clé de ton appartement ?

 

[sinbad21]

@Bicus La réponse de Grok est argumentée, il faudrait déjà la lire. Elle correspond pile poil à ma situation et à celle de @ludmer67 , et je n'ai JAMAIS modifié les permissions. Et je suis sûr du coup que lui non plus. Étrange non ?

As-tu au moins vérifié sur une autre session que tu n'as pas accès aux fichiers de ton utilisateur principal ?

 

[Moonwalker]

Qui va gagner, la sottise naturelle ou l'intelligence artificielle ?

La situation est "normale" si aucune précaution n'a été prise au moment de la création de nouveaux répertoires dans /nomabrege (aka la petite maison).

Par défaut le masque de macOS pour un nouveau répertoire est 755, c'est à dire :

propriétaire : lecture écriture
staff : lecture seulement
tout le monde : lecture seulement

Dès lors, il est normal que Spotlight puisse lire ce qui s'y trouve.

La solution est soit de ne jamais créer de fichier sur ce niveau soit de modifier les permissions du répertoire créé pour lui donner les mêmes qu'à Documents, Images, Musiques, etc. c'est-à-dire :

propriétaire : lecture et écriture
tout le monde : accès interdit

N.B.: Si on choisi d'interdire dorénavant l'accès à ces fichiers, on fera bien aussi de réinitialiser l'indexation Spotlight.

La "maison" est une bonne allégorie de la situation. C'est comme si vous aviez déposé vos documents dans le jardin. Tout le monde sur la machine peut les apercevoir, voire tout le monde sur le réseau local.

Par Moonwalker, intelligence naturelle supérieure.

 

[edenpulse]

Désolé de te contredire @Moonwalker mais c'est faut.
Le masque de macOS pour un nouveau répertoire est certes 755, mais absolument pas pour un utilisateur.

Qui est bien différent comme tu peux le voir. Et encore heureux !
Aucun droits pour les autres utilisateurs et des droits d'execution uniquement au groupe. C'est tout

Faut surtout arrêter de vouloir tripatouiller dans les droits des dossiers utilisateur.


Et @sinbad21 encore faut-il comprendre la réponse. Ca n'est pas du tout ce que Grok donne en réponse.
"Les autres utilisateurs, même administrateurs, n'ont généralement pas d'accès aux dossiers "
Tout le reste est du conditionnel et t'explique comment ça PEUT exister.

 

[Bicus]

J'ai trouvé la trace d'outils non-documentés et non-supportés par Apple, via Howard Oakley, qui permettraient de ré-initialiser les permissions du dossier utilisateur :

Repairing Home folder permissions: a mystery

Once, you could run diskutil to ‘fix’ broken permissions in your Home folder, then it was replaced by repairHomePermissions in Recovery. Apple no longer documents this, but it’s s…

eclecticlight.co

Sinon peut-être que le renommage du dossier utilisateur (fait dans les règles de l'art) ré-appliquera les bonnes permissions lors de sa ré-attribution au compte :

Modification du nom de votre compte utilisateur macOS et de votre dossier de départ - Assistance Apple (FR)

Les noms de votre compte utilisateur macOS et de votre dossier de départ sont définis lors de la création de votre compte, mais vous pouvez les renommer ultérieurement.

support.apple.com

Dans tous les cas, faire une amont une bonne sauvegarde via Time Machine sur un disque externe évitera bien des déconvenues en cas de problèmes !

 

[sinbad21]

Désolé de te contredire @Moonwalker mais c'est faut.
Le masque de macOS pour un nouveau répertoire est certes 755, mais absolument pas pour un utilisateur.
Voir la pièce jointe 305425
Qui est bien différent comme tu peux le voir. Et encore heureux !
Aucun droits pour les autres utilisateurs et des droits d'execution uniquement au groupe. C'est tout

Faut surtout arrêter de vouloir tripatouiller dans les droits des dossiers utilisateur.


Et @sinbad21 encore faut-il comprendre la réponse. Ca n'est pas du tout ce que Grok donne en réponse.
"Les autres utilisateurs, même administrateurs, n'ont généralement pas d'accès aux dossiers "
Tout le reste est du conditionnel et t'explique comment ça PEUT exister.

De quoi tu parles ? Du fichier invisible .localized qui sert à traduire les noms de dossier dans le langage de l'utilisateur ? En l'occurence ce fichier .localized permet de transformer "Users" en "Utilisateurs" dans le Finder. C'est un fichier système root, ce n'est pas un fichier utilisateur.

Quant à ton dossier utilisateur (flouté), il a bien 755 comme droits. Ce qui veut dire que TOUS les utilisateurs de ton Mac ont accès en lecture seule à TOUS les fichiers de cet utilisateur, dès lors qu'ils appartiennent au même groupe de travail (staff par défaut).

Le point soulevé par la question initiale de ce fil est intéressant. La plupart du temps on est le seul utilisateur de son Mac et on ne fait pas attention à cette histoire de droits. Mais si on est chef de famille et qu'on partage le Mac entre 3 utilisateurs, il faut savoir que l'Utilisateur créé à l'installation du système est un utilisateur destiné à administrer le Mac, pas à y stocker des données personnelles.

Dans le cas de mon chef de famille il aura donc intérêt à se créer un dossier utilisateur pour lui-même en plus de l'utilisateur admin de départ, de manière à ce que ses données ne soient pas visibles des autres membres de la famille. Il y aura donc 4 utilisateurs en tout.

Quant à la réponse de Grok, elle ne concerne que les utilisateurs 2 à n, pas l'Utilisateur 1 qui fait l'objet d'un paragraphe séparé, puisqu'il n'a pas les mêmes droits que les autres (755 vs 700).

 

[Bicus]

Sinon la méthode bourrine, en modifiant directement les permissions de sa maison :

• on supprime le groupe Staff
• on met l'accès interdit pour everyone

 

[Moonwalker]

mais c'est faut.

Je ne saurais dire mieux (ou pire).

Faut surtout arrêter de vouloir tripatouiller dans les droits des dossiers utilisateur.

J'ai trouvé la trace d'outils non-documentés et non-supportés par Apple, via Howard Oakley, qui permettraient de ré-initialiser les permissions du dossier utilisateur :

Repairing Home folder permissions: a mystery

Once, you could run diskutil to ‘fix’ broken permissions in your Home folder, then it was replaced by repairHomePermissions in Recovery. Apple no longer documents this, but it’s s…

eclecticlight.co

Sinon peut-être que le renommage du dossier utilisateur (fait dans les règles de l'art) ré-appliquera les bonnes permissions lors de sa ré-attribution au compte :

Modification du nom de votre compte utilisateur macOS et de votre dossier de départ - Assistance Apple (FR)

Les noms de votre compte utilisateur macOS et de votre dossier de départ sont définis lors de la création de votre compte, mais vous pouvez les renommer ultérieurement.

support.apple.com

Dans tous les cas, faire une amont une bonne sauvegarde via Time Machine sur un disque externe évitera bien des déconvenues en cas de problèmes !

Mais de quoi tu parles ? De quoi parlez-vous ?

Personne n’a demandé de « tripatouiller les droits des dossiers » ou de modifier les droits de /nomabrege

Ça va bien dans vos têtes ?

Ici nous parlons de NOUVEAUX dossiers, créés par l’utilisateur, donc avec le masque 755. Si ces dossiers sont placés au même niveau que les répertoires Documents, Images, Musique, etc., ils sont lisibles depuis les comptes utilisateurs du Mac et depuis le réseau local. Et c’est normal.

Ce sont les droits de ces dossiers qu’il convient de modifier si on ne veut pas qu’ils soient consultables, afin de leur donner les mêmes droits que le répertoire Documents par exemple.

Sinon la méthode bourrine :

Surtout une méthode « très con ».

Le répertoire de l’utilisateur doit rester accessible à cause du répertoire ~/Public des partages et de la boîte de dépot.

 

[Moonwalker]

La pratique par l’image.

Voici un répertoire utilisateur « standard » vu depuis un compte « administrateur » :

Comme vous pouvez le voir, seul le répertoire « Public » est accessible. Le contenu des autres répertoires n’est pas lisible par un tiers.

Voici mon répertoire « administrateur » depuis ce compte « standard » :


Ici, un groupe de répertoires que j’ai créés et ajoutés disposent des mêmes autorisations que les répertoires originaux et sont donc inaccessibles depuis un autre compte.
J’aurai pu éventuellement les placer dans Documents mais j’ai préféré cette organisation.
Vous voyez également que le répertoire « Readiris PDF » est accessible en lecture car je n’en ai pas modifié les droits depuis sa création. Je pense d’ailleurs que je vais le déplacer dans Documents, ça fera plus propre.