- Diferencias fundamentales entre las extensiones de sistema que operan en el espacio de usuario y las extensiones de kernel.
- Requisitos de seguridad específicos para Macs con chip de Apple y la necesidad de ajustar la política de arranque.
- Métodos de implementación y control remoto de extensiones mediante servicios de gestión de dispositivos (MDM).
Mantener un Mac bien blindado no es solo cuestión de instalar un antivirus y olvidarse del tema. El ecosistema de Apple ha evolucionado hacia una arquitectura donde el volumen del sistema firmado actúa como una muralla, evitando que cualquier software malintencionado pueda tocar los archivos críticos del núcleo. Para la mayoría de nosotros, la configuración de Seguridad total viene activada de serie, lo que garantiza que el equipo sea un hueso duro de roer para los atacantes.
Sin embargo, hay situaciones donde necesitamos que el ordenador haga cosas más específicas, y ahí es donde entran en juego las extensiones. Ya sea que estés gestionando una flota de equipos en una empresa o que simplemente quieras instalar una herramienta de red avanzada, es vital entender que no todas las extensiones son iguales y que algunas requieren que bajemos un poco la guardia en los ajustes de seguridad para poder funcionar correctamente.
Extensiones de Sistema vs. Extensiones de Kernel
Para no liarnos, lo primero es diferenciar entre los dos tipos de complementos que existen en macOS. Por un lado, tenemos las extensiones del sistema, que son la opción moderna y recomendada. Estas se ejecutan en el llamado espacio de usuario, lo que significa que están aisladas del corazón del sistema operativo. Gracias a esto, si una de estas extensiones falla, no provoca un colapso total (el famoso kernel panic) y la seguridad global no se ve comprometida, ya que solo tienen los permisos estrictamente necesarios para su tarea.
Por otro lado, están las extensiones de kernel (o kexts). Estas son piezas de software más antiguas y potentes que se meten directamente en el núcleo del sistema. Al tener un acceso total y absoluto a todo el sistema operativo, representan un riesgo mayor. Por ello, Apple ha ido empujando a los desarrolladores a usar APIs más seguras como DriverKit o NetworkExtension, que permiten crear drivers de USB, VPNs o herramientas de seguridad sin tener que tocar el kernel.
Gestión de Seguridad en Macs con Chip de Apple
Si tienes un Mac con procesador de Apple (M1, M2, M3, etc.), las reglas del juego cambian un poco. Para poder instalar una extensión de kernel antigua, no basta con darle a aceptar; tienes que entrar en el modo de recuperación y cambiar la política de seguridad a Seguridad reducida. Esto es un paso crítico porque, básicamente, estás diciendo que confías en ese software lo suficiente como para permitir que modifique el arranque seguro del equipo.
En cuanto a la protección, existe la Protección de la Integridad del Sistema (SIP). Cuando la SIP está activa, macOS revisa meticulosamente que cada extensión de kernel esté firmada digitalmente antes de dejarla entrar en la colección AuxKC. Si por alguna razón un desarrollador desactiva la SIP, el sistema deja de exigir esa firma, lo que permite probar software en modo de Seguridad permisiva, aunque obviamente esto deja la puerta más abierta a riesgos externos.
Control Empresarial y Gestión Remota (MDM
En entornos profesionales, gestionar Mac uno por uno sería una pesadilla. Por eso se utilizan servicios de gestión de dispositivos (MDM) como Microsoft Intune. A través de estos sistemas, un administrador puede desplegar perfiles de configuración que autorizan la carga de extensiones sin que el empleado tenga que hacer nada manualmente. Si el Mac está registrado en Apple Business o Apple School Manager, este proceso es automático y transparente.
Desde el panel de Intune, es posible crear directivas específicas para macOS donde se definen los identificadores de equipo y de lote de la extensión. Es fundamental que estos datos sean exactos, ya que el sistema no los valida y un error de un solo carácter hará que la extensión no cargue. Además, en versiones recientes de macOS, los administradores pueden decidir qué aplicaciones tienen permiso para eliminar sus propias extensiones sin necesidad de pedir la contraseña de administrador, lo que facilita mucho la limpieza del sistema mediante desinstaladores automáticos.
Instalación Manual y Configuración de Red
Cuando instalamos aplicaciones de terceros, como clientes VPN (por ejemplo, Proton VPN), es común que el sistema nos lance un aviso de que la extensión del sistema está bloqueada. Dependiendo de la versión de macOS que uses, el camino para desbloquearla varía. En versiones antiguas como Monterey, hay que ir a Preferencias del Sistema, entrar en Seguridad y Privacidad y hacer clic en el candado para autorizar el software.
En las versiones más modernas, como Ventura o Sonoma, el proceso se ha simplificado y se redirige directamente a la Configuración del Sistema. En cualquier caso, el objetivo es el mismo: validar que el usuario es consciente de que está instalando una extensión de red que podría filtrar contenido, gestionar proxies DNS o crear túneles de comunicación, asegurando que el proceso se haga de forma consciente y controlada.
La seguridad de macOS se basa en un equilibrio entre la restricción total del sistema y la flexibilidad necesaria para el usuario avanzado o la empresa. Mientras que las extensiones de sistema modernas ofrecen estabilidad y aislamiento, las de kernel requieren ajustes manuales de seguridad y una supervisión más estricta. Ya sea mediante la gestión centralizada de un MDM o la configuración manual de las políticas de arranque en chips de Apple, el objetivo final es garantizar que el equipo sea funcional sin exponer el núcleo del sistema a vulnerabilidades innecesarias.
