macOS Kext с действительной подписью отклонен после 2-й установки (high sierra)

у меня была та же проблема.

флаг /Library/StagedExtensions должен быть "ограничен":

ls -laO /Library/StagedExtensions/

drwxr-xr-x@ 4 корневое колесо ограничено 128 Ноя 15 2017 StagedExtensions

Если нет, попробуйте ниже cmd из режима восстановления:

chflags -R restricted /V*/*/Library/StagedExtensions

перезагрузитесь и попробуйте установить kext.

Kext rejected due to insecure location нет отказа подписи IMHO. Где говорится о подписи? Когда подпись-это проблема, это говорит литература. Для меня это сообщение говорит, что место небезопасно.

вы проверили права доступа /Library/Extensions? Если разрешения слишком открыты, система откажется загружать расширения ядра с помощью kextload или kextutil. Папка /Library/Extension должна принадлежать root:wheel и никто, кроме root надо уметь писать папка.

то же самое справедливо для разрешений доступа расширений, которые являются пакетами (.kext) и, таким образом, фактически каталогах. Они должны принадлежать root:wheel и только root может иметь разрешение на запись в них.

если вы посмотрите на исходный код macOS (да, macOS широко открыт, люди склонны забывать об этом), вы увидите, что эта ошибка возникает только в одном месте:

if (authOptions->requireSecureLocation) {
    if (!kextIsInSecureLocation(theKext)) {
        OSKextLogCFString(NULL,
                          kOSKextLogErrorLevel | kOSKextLogValidationFlag,
                          CFSTR("Kext rejected due to insecure location: %@"),
                          theKext);
        result = false;
        goto finish;
    }
}

теперь kextIsInSecureLocation() очень просто:

Boolean
kextIsInSecureLocation(OSKextRef theKext)
{
    NSURL *url = (__bridge NSURL *)OSKextGetURL(theKext);
    if (!url) {
        return false;
    }
    return pathIsSecure(url.path);
}

и так pathIsSecure():

Boolean
pathIsSecure(NSString *path) {
    Boolean is_secure = false;
    BOOL is_protected_volume = rootless_protected_volume(path.UTF8String) ? YES : NO;
    BOOL is_trusted_path = rootless_check_trusted_class(path.UTF8String, "KernelExtensionManagement") == 0 ? YES : NO;

    if (isSIPDisabled()) {
        // SIP is disabled so everything is considered secure.
        is_secure = true;
    } else if (!is_protected_volume) {
        // SIP is enabled and the volume is not protected, so it's insecure.
        is_secure = false;
    } else {
        // SIP is enabled and it is a protected volume, so it's only secure if it's trusted.
        is_secure = is_trusted_path;
    }
    return is_secure;
}

таким образом, с отключенным SIP любой путь безопасен, с включенным SIP, Тома без поддержки SIP никогда не безопасны, иначе, кажется, есть список надежных путей, и я точно знаю, что /Library/Extensions является таким надежным путем, но только если его разрешение установлено правильно.

чтобы проверить, поддерживает ли ваш том SIP, откройте Disk Utility app, выберите загрузочный том и нажмите CMD+I. Откроется окно со списком всех вид свойств и среди них должно быть одно высказывание:

System Integrity Protection supported : Yes

если он говорит "Нет", у вас определенно будет проблема, но я понятия не имею, какой из них не известен как способ en-/disable SIP для отдельных томов, я только предполагаю, что некоторые файловые системы или Тома, смонтированные по сети, могут не поддерживать SIP.

обновление (2018-07-31)

связавшись с Apple об этом, они дали мне следующий совет:

кроме того, в бывает полезно,sudo kextcache --clear-staging позволяет пользователю очистить /Library/StagedExtensions папка без загрузки в восстановление.

не уверен, что это решает проблему в подобных случаях, просто поделиться этой информацией с вами здесь.