Extensions de noyau macOS : ce qu’elles sont et comment Apple les fait évoluer

Les extensions de noyau macOS (KEXT) permettent aux applications d’interagir avec le matériel ou des services de bas niveau. Elles offrent ainsi des fonctionnalités plus poussées, comme la surveillance ou le contrôle du comportement profond du système. En revanche, les KEXT s’exécutent à l’intérieur du noyau du système d’exploitation avec des privilèges étendus, ce qui peut introduire des risques de sécurité et de stabilité.

Apple s’orient depuis plusieurs années vers des extensions système qui fonctionnent en dehors du noyau et offrent aux utilisateurs des moyens plus sûrs d’étendre les fonctionnalités de la plateforme sans compromettre la sécurité.

Les extensions de noyau macOS en bref

Les KEXT sont des modules de code qui permettent aux applications et aux plateformes de se charger directement dans le noyau macOS, ce qui élargit d’autant leurs capacités. Elles prennent en charge les tâches nécessitant un accès direct à l’échelle du système, notamment :

• La communication avec les pilotes : le système d’exploitation sait ainsi comment utiliser les appareils connectés qu’il ne gère pas nativement, ce qui garantit leur bon fonctionnement.
• Les interactions avec le stack réseau : les KEXT inspectent, filtrent, redirigent ou modifient les données réseau, ce qui aide les dispositifs de contrôle réseau, comme les clients VPN et les pare-feu, à appliquer les politiques de sécurité.
• Les fonctions système de bas niveau : elles fournissent aux plateformes des métriques système en profondeur, comme le comportement de la mémoire et l’activité des processus en temps réel, utiles aux outils de performance, à la surveillance de la sécurité et aux utilitaires de gestion système.

En clair, les KEXT offrent une visibilité et un contrôle approfondis sur des zones de macOS inaccessibles aux applications standard. Elles permettent au système d’exploitation de communiquer efficacement avec du matériel non pris en charge, donnent aux techniciens les moyens d’observer et de contrôler les données réseau, et fournissent un aperçu de bas niveau des métriques clés des appareils.

Les risques liés à l’utilisation des KEXT sous macOS

Le noyau gère le matériel, la mémoire et les processus critiques du système d’exploitation : intervenir à ce niveau est donc risqué. Les extensions de noyau permettent à des applications, plateformes ou services de fonctionner avec le même niveau de confiance et d’autorité que le système d’exploitation lui-même.

Comme ces extensions s’exécutent au cœur du système d’exploitation, elles disposent de peu de garde-fous. Résultat : plantages inattendus, protections contournées et procédures de dépannage laborieuses.

Un impact sur l’ensemble du système

Lorsqu’une extension de noyau contient une erreur, les conséquences sont bien plus graves que pour un bug dans une application standard. Les KEXT autorisent l’exécution de code dans le noyau : une seule faille peut donc provoquer des plantages, de l’instabilité et des comportements imprévisibles des appareils.

Dans la plupart des cas, le système ne peut ni isoler une défaillance du noyau ni s’en remettre, ce qui impose un redémarrage susceptible d’entraîner une perte de données ou une corruption du système de fichiers. Autrement dit, quand une extension de noyau casse, elle ne casse pas seulement une application : elle peut mettre à mal tout le système d’exploitation.

Le contournement possible des contrôles de sécurité

Une KEXT malveillante opère sous la couche du système d’exploitation, ce qui lui permet de contourner les contrôles de sécurité intégrés, de dissimuler son activité ou d’altérer les processus système. En raison de cet accès au niveau du noyau, les KEXT au comportement anormal sont difficiles à détecter et à corriger : elles peuvent agir silencieusement derrière les protections, et ce indéfiniment.

La complexité du dépannage

Les appareils macOS gérés exécutent généralement plusieurs extensions de noyau pour prendre en charge les outils de gestion et de surveillance. Lorsque ces extensions entrent en conflit entre elles, ou avec les mises à jour de macOS, l’origine du problème est difficile à retracer. D’où des procédures de diagnostic longues et fastidieuses, qui exigent une connaissance approfondie du système pour aboutir.

Les extensions système macOS : une alternative moderne aux KEXT

Les extensions de noyau présentent des risques pour les appareils et les environnements gérés, mais leur utilité est indéniable dans une stratégie de gestion informatique proactive. Pour répondre aux risques associés aux KEXT, Apple a introduit les extensions système Mac, une alternative plus sûre pour intégrer des logiciels en profondeur au système d’exploitation.

Les extensions système sont livrées via des frameworks système dédiés qui fonctionnent dans l’espace utilisateur :

• DriverKit : prend en charge les pilotes matériels sans nécessiter d’accès au noyau.
• Extensions réseau : des composants en espace utilisateur qui permettent aux applications d’étendre leurs capacités réseau natives.
• Extensions de sécurité des terminaux : elles offrent une visibilité au niveau du système aux outils de sécurité modernes, comme les solutions EDR (détection et réponse sur les terminaux) et les outils VPN.

En déplaçant ces intégrations hors du noyau, les équipes informatiques et les MSP conservent leurs capacités de gestion et de surveillance sans les risques systémiques inhérents aux KEXT. Apple y parvient en modifiant l’endroit où les extensions s’exécutent, le niveau d’accès accordé et la manière dont les défaillances sont circonscrites.

Une exécution dans l’espace utilisateur

Contrairement aux KEXT, les extensions système fonctionnent en dehors du noyau macOS, ce qui empêche le code tiers de s’exécuter sous la couche du système d’exploitation. Si une extension système échoue ou se comporte mal, macOS peut isoler le problème sans faire planter le système, ce qui améliore la fiabilité globale.

Une étendue de privilèges restreinte

Les extensions système respectent le principe du moindre privilège en n’effectuant que des actions approuvées. Par exemple, une extension de networking peut observer ou gérer le trafic réseau sans accéder à des composants ou des métriques système sans lien avec sa fonction. Cet accès cantonné réduit la surface d’exposition aux attaques de votre environnement et limite l’ampleur des dégâts causés par un bug ou du code malveillant.

Une stabilité et une sécurité renforcées

Les extensions système s’intègrent proprement aux fonctionnalités de sécurité de macOS, notamment la protection de l’intégrité du système, la signature de code et les approbations par l’utilisateur ou via MDM. De plus, les mises à jour de macOS risquent moins de les casser, et les défaillances sont plus faciles à diagnostiquer et à corriger.

Stratégie de gestion des extensions de noyau macOS

Apple avance continuellement vers l’adoption des extensions système, mais macOS continue de prendre en charge les KEXT, en particulier dans les scénarios legacy. Cette prise en charge existe précisément pour les logiciels plus anciens et les outils spécialisés qui n’ont pas encore basculé vers les extensions système.

Les KEXT exigent un contrôle et une approbation explicites, selon les modalités suivantes :

• Approbation par l’utilisateur : macOS demande aux utilisateurs d’approuver manuellement l’utilisation d’une KEXT avant qu’elle ne s’applique, ce qui constitue un point de friction volontaire.
• Approbation pilotée par MDM : certains MDM pour macOS permettent d’approuver et de mettre en liste blanche les KEXT de façon centralisée, afin d’accélérer les temps de chargement sans action de l’utilisateur.
• Approbation basée sur la confiance : elle permet aux administrateurs d’approuver les KEXT issues d’une famille de fournisseurs connue, ce qui simplifie la gestion des extensions de noyau. En revanche, cela suppose une évaluation rigoureuse des fournisseurs.

De plus, les administrateurs peuvent s’appuyer sur un MDM pour empêcher les utilisateurs d’approuver eux-mêmes des extensions de noyau. Ce contrôle fait reposer la gouvernance des KEXT sur les épaules des administrateurs, via des politiques, et évite que les utilisateurs autorisent des extensions dangereuses sans le savoir.

L’impact d’Apple silicon et de l’architecture macOS moderne

À la WWDC 2019, Apple a officiellement annoncé l’abandon des KEXT et présenté les extensions système, intégrées à macOS 10.15.4 Catalina, comme leur remplacement. L’année suivante, Apple a également annoncé Apple silicon, qui a modifié la façon dont macOS gère la confiance, la sécurité et l’accès système de bas niveau.

Sur les appareils Apple silicon et macOS modernes, les extensions de noyau ne se chargent pas sans autorisation explicite, en contradiction directe avec la conception sécuritaire actuelle de macOS. Dans les environnements gérés, cela accroît la friction et le risque dès lors que l’on utilise des KEXT à grande échelle.

Ces restrictions strictes sont intentionnelles : les extensions au niveau du noyau peuvent nuire aux appareils en introduisant du code externe, parfois non approuvé, dans le système d’exploitation. Pour les équipes informatiques et les MSP qui gèrent des environnements legacy, la dépendance aux KEXT exigera de plus en plus d’exceptions de sécurité, d’interventions manuelles ou de compromis d’architecture.

Gérez les extensions système ou de noyau macOS avec NinjaOne

NinjaOne MDM propose plusieurs fonctionnalités qui aident les administrateurs à gérer les extensions de noyau et de sécurité de façon centralisée et à grande échelle dans les environnements macOS.

• Gestion des extensions système : ajoutez ou bloquez des extensions système précises via la politique d’agent NinjaOne, et utilisez les identifiants de bundle pour fluidifier l’approbation des extensions système provenant de fournisseurs de confiance.
• Gestion des préférences de confidentialité : préconfigurez les autorisations de confidentialité pour des applications gérées spécifiques, afin d’accorder l’accès nécessaire aux sources de données sans intervention de l’utilisateur.
• Attribution et application des politiques : configurez les paramètres MDM, y compris les extensions système, dans les politiques d’agent macOS. Consultez et gérez les sections remplacées des politiques attribuées depuis le tableau de bord de l’appareil.
• Actions sur les appareils : accélérez les flux de travail d’administration grâce aux actions sur les appareils, comme l’arrêt, l’installation de l’agent NinjaOne ou la suppression d’appareils macOS enrôlés en MDM, directement depuis la console NinjaOne.

Sécuriser l’utilisation des extensions de noyau et système macOS

Les extensions de noyau jouent un rôle clé dans l’élargissement des capacités des logiciels et des plateformes. En revanche, un accès aussi profond au noyau pose des défis de sécurité et de stabilité aux environnements. L’évolution d’Apple vers les extensions système contribue à atténuer les risques liés aux KEXT tout en améliorant la fiabilité des appareils.

Bien comprendre la transition entre extensions de noyau et extensions système vous aide à gérer vos appareils macOS de façon plus sûre. De plus, cela vous permet d’anticiper les mises à niveau à venir, de garantir la compatibilité et de fluidifier les flux de travail des environnements macOS legacy que vous gérez.

Sujets connexes :

• Des équipes informatiques plus efficaces grâce à un MDM macOS plus intelligent
• Guide pour vérifier et gérer l’état du pare-feu macOS au service de la sécurité informatique
• Bonnes pratiques de gestion des appareils macOS avec NinjaOne MDM
• MDM Mac (gestion des appareils mobiles) : le guide complet pour gérer les appareils macOS