Apple、サポートドキュメントに”/var”がシステム整合性保護SIPの対象であることを明記。

　Appleがサポートドキュメントに”/var”がSIPの対象であることを明記しています。詳細は以下から。

　Appleは2015年にリリースしたOS X 10.11 El Capitanで、「SIP : System Integrity Protection (システム整合性保護:通称Rootless)」という、例えroot権限であってもアクセスできないシステムディレクトリを指定し、セキュリティを強化しましたが、AppleはそのSIPのサポートドキュメントを09月25日付けで更新し、”/var”ディレクトリがSIPの対象であることを追記しています。

システム整合性保護が導入される前は、ルートユーザにはアクセス権限が一切課されておらず、Mac 上のすべてのシステムフォルダや App へのアクセスが可能でした。管理者の名前とパスワードを入力してインストールしたソフトウェアはその際にルートレベルのアクセス権を獲得し、システムファイルや App の変更や上書きができるようになっていました。
システム整合性保護では、システムの以下の部分が保護されます。

• /システム
• /usr
• /bin
• /sbin
• /var
• OS X にあらかじめインストールされている App

Mac のシステム整合性保護について – Apple サポート

　通常”/var”にはログなどの可変データファイル(VARiable data)が置かれ、OS X 10.11 El Capitanリリース時にはSIPの対象でなく、macOS 10.14 Mojave以降で追加されていますが、サポートドキュメントには記載がないままとなっていました。

touch: /var/hoge: Permission denied

　”/var”ディレクトリについては、今週初めSIPが無効にされているMacでGoogle ChromeのソフトウェアアップデーターKeystoneがシンボリックリンクを排除し、一部のMacが起動しない不具合が確認されているので、今回のサポートドキュメントのアップデートはユーザーやソフトウェアベンダーからの指摘か、開発者に対する周知を目的としたものだと思われます。

• Mac のシステム整合性保護について – Apple サポート