上星期，SentinelOne公布了其v5.0代理的初期可用性，它成为了第一个本机支持Apple的新M1(别名Apple处理芯片或arm64 Macs)系统架构的终端安全代理。与别的MacsOS的EDR/XDR安全性解决方法不一样，拥有本机支持，Sentinel代理不用在Apple的翻译app层(称之为Rosetta 2)下运作。
在这篇文章中，SentinelOne的分析工作人员表述了在这个行业中全部受欢迎专业术语的含意，从“Rosetta2”和“Apple Silicon”到“arm64 architecture”和“Universal 2”二进制文件，并表述为啥Apple Silicon上本机运作电脑安全软件具备显著的使用性能和安全性优点。
上年，美国苹果公司公布将为Macs设备搭建自身的CPU，而不是借助intel做为其CPU，这一信息轰动一时。这种新机器设备于2020年末逐渐开售，并根据好几个编号与Intel Macs开展了差别。
美国苹果公司为推销产品她们的新机器设备造就的第一个专业术语是“Apple silicon”，含意就是指根据ARM公司设计的电源芯片的CPU处理芯片。苹果授权基本设计方案，并设计制作。很显著，她们不愿把自己的处理芯片树立为是ARM芯片，而更想要用一个与众不同的品牌名字“Apple silicon”来表现其品牌知名度。
自然，美国苹果公司早已在iOS系统软件中应用他们自己订制的ARM芯片好多年了，并且用“A”和数据说明符来开展序号，例如A10、A11、A12这些(现阶段版本号的iOS系统软件配备的是A14处理芯片)。大约是为了更好地维持这类序号的要求，第一个Macs ARM芯片被编号为“M1”。伴随着iPhone持续梯度下降法设计方案，大家想要见到M2和M3等商品。因而，除开被称作“Apple Silicon Macs，iPhone的第一代非intel机器设备也被称作“M1 Mac”。
这就必须是人们科学研究二进制文件——可执行程序文件格式，它是水果和第三方软件的基本，可以在这种新的M1处理芯片上运作。自然，这种务必有一个与CPU构架兼容的文件格式。在intel机器设备上，大家有x86_64 Macsh-O可执行程序;针对M1/Apple silicon Macs，本机二进制文件格式是arm64e Macsh-O。
因而，大家有一个根据ARM的M1/Apple硅处理器架构和运作在上面的arm64二进制文件。这好像非常简单，但有一个问题：以往15年或更长期里为intelMacs计算机撰写的所有的手机软件呢?不必忽略那样一个客观事实：最少在未来的2年内，iPhone仍在市场销售和生产制造含有英特尔芯片的Macs计算机。与此同时具有2个彻底兼容问题的手机软件文件目录的2个硬件配置产品线是毫无根据的。iPhone必须寻找一种方式，让在intel机器设备上搭建的系统可以在新的M1机器设备上运作。
键入Rosetta 2和通用性格式文件。
intel、ARM和对翻译app的要求
Rosetta名字的含义来源于知名的“Rosetta Stone”，恰好是这方面石像使我们得到将埃及象形文字译成当代语言表达。iPhone初始的Rosetta软件事实上协助企业在2000年代中后期将初期的构架PowerPC转换为intel。
因为 M1 处理芯片最底层构架和以往不一样，从而产生的运用绿色生态兼容问题是最先必须处理的，因此iPhone也打开了历时2年的 Mac 衔接方案。从总体上，iPhone依靠的是 macOS 11 Big Sur 系统软件及其其自带的 Universal 2、Rosetta 2 和 Virtualizaion 三种技术性来解决困难。但是话虽如此，很有可能依然会有朋友会较为迟疑，这种对策确实可以处理 M1 处理芯片 Mac 的手机软件兼容问题吗?尤其是原本在 x86 构架上的运用，开发人员都还没立即做兼容，能在 Mac 上非常好地运作吗?
针对这个问题，实际上iPhone早已列出了专业的解决方法，便是 Rosetta 2。
Rosetta 2 是内置在 macOS 11 Big Sur 系统软件里的，在背后工作中，仅有如果你第一次下载一款 x86 运用，第一次开启时，才会提醒你安裝 Rosetta 2。
也就是说，Rosetta 2 的出现彻底不容易对你以往一直以来应用 Mac 的习惯性导致危害，它几乎是没什么感觉的，悄悄的做着翻译员。
想知道你采用的 App 到底是原生态在 Mac 上运转的，或是通过 Rosetta 2“翻泽”以后的，只需在 “应用软件”文件夹名称中寻找这一使用的标志，鼠标右键开启工具栏里的 “表明介绍”，假如运用类型后边有一个 “Intel”，表明这一运用便是 x86 版本号通过 Rosetta 2 翻泽的。
根据那样的体制，Rosetta 2 可以协助 x86 构架的运用在 M1 处理芯片的 Mac 上维持顺畅迅速的回应，进而得到非常好的应用感受。
自然，Rosetta 2 做翻泽的计划方案终究仅仅一蹴而就，不容易一直存有，仅仅在开发人员们将自身的使用全方位转到 M1 处理芯片原生态情况以前饰演衔接的功效。
那时候，Rosetta的产品研发者应用了一种常用的格式文件，它是一种“FAT”二进制文件，在其中包括PowerPC和Intel二进制文件。无论CPU是PowerPC或是Intel，电脑操作系统都从FAT通用性二进制文件中获取恰当的文档，并在CPU上本机运作它。可是，假如Intel CPU碰到仅有PowerPC二进制文件的手机软件，它将实行Rosetta转化器，并将PowerPC二进制文件传送给Rosetta实行。
针对M1 Mac，iPhone采用了相似的方式：开发人员(例如SentinelOne)应用Universal 2二进制文件格式在一个版本号中公布她们手机软件的Intel和arm64版本号。应用Universal 2二进制文件格式，电脑操作系统会查验它运作在哪个系统架构上，并自行挑选合理的arm64(适用M1 Mac)或Intel(适用于x86_64)片来实行。殊不知，假如M1 Mac碰到并未开展本机变换的开发者递交的Intel二进制文件，它便会将二进制文件传送给Rosetta 2转换机制来解决。
按照美国苹果公司的观点，整个过程对客户而言应该是“全透明的”，在这儿“全透明”的意思是“不由此可见的”，而不是“显著的”。殊不知，Rosetta 2的工作方式与初始的Rosetta并不完全一致，这对特性和安全性都是有危害，客户需要留意这一点。
新的系统架构代表着终端安全性遭遇新的挑戰
初始的Rosetta和Rosetta 2的关键差别取决于开展翻译工作的時间。针对Rosetta 2，iPhone期待防止在初始Rosetta体制下危害一些比较严重耗费資源的电脑软件的功能问题，例如Adobe CS2。
最开始的Rosetta的问题取决于，每一次运作此软件时都是会翻泽此软件，进而在每一次运作时都不断给CPU导致压力。 Apple选用Rosetta 2的办法是，根据在手机软件初次运作时开展“提早”(AOT)翻泽并将该翻译储存以供未来公布，来最大限度地预防这样的事情。
尽管这也是一种改善模拟仿真软件特性的好方法，但也是有缺陷，尤其是以电脑安全软件的方面看来。
相对性于翻泽后的编码，本机arm64代码最少具备2个特性优点，而翻泽后的编码与大中型，繁杂的程序流程(例如EDR商品)尤其有关。
大家上边提及的Ahead-of-Time变换是根据名叫oahd_helper的协助程序流程开展的。该程序流程承担在初次运作x86_64二进制文件时建立变换后的AOT二进制文件。要翻譯的x86_64编码的尺寸越大，开机时间越长。当必须oahd_helper变换十分大的Intel可执行程序时，这又会致使机器设备上的存储空间和CPU占有太多。
次之，针对要在运作时分析的繁杂编程代码的一些一部分，没法开展详细的AOT变换。因为部分系统变量和标准的缘故，有时候直到运作时才可以明确必须运作哪些编码。尽管理论上开发者可以提早编译程序全部有可能的编码支系，但这既高效率不高又非常容易出差错。必需时明确运作哪些编码并及时开展编译程序(及时编译程序或JIT编译)的效果和防错性要高得多。
在其它情况一致的情形下，如果你在本机CPU上运作本机编码时，JIT编译程序是没毛病的，但当编码务必根据Rosetta开展翻泽时，这代表着虽然采用了AOT编译程序，但依然要完成一些及时编译程序。当这种现象出现时，核心将决策权迁移给一个独特的Rosetta翻译底单，由它来解决此项工作中。简单点来说，一切充足繁杂的程序流程(如EDR解决方法)都必须根据Rosetta实时翻译最少一部分Intel编码，而与运作本机arm64编码的可靠解决方法对比，这类翻泽将造成特性耗损。
iPhone也在自身的官网文档中也提及了这一客观事实：
“翻译过程必须時间，因此客户也许会觉得翻泽后的应用软件有时候会运行或运作得变慢。”
根据设计方案，本机M1手机软件更安全性
可是特性并非唯一必须担忧的事儿。更主要的是，本机M1编码比根据Rosetta翻译运作intel编码更安全性。这是由于macOS Big Sur(acOS Big Sur是美国苹果公司开发的桌面上端电脑操作系统，于中国北京时间2020年6月23日在2020iPhone全世界开发人员会议上公布，该电脑操作系统适用一部分Mac计算机。)产生的转变之一只适用Apple silicon Macs，即本机arm64编码不可以在M1 Mac上实行，除非是它有合理的代码签名。
除非是额外了高效的签字，不然Apple Silicon Mac在所有状况下都不允许实行本机arm64编码。可是，翻泽后的x86_64编码不会受到此限定：翻泽后的x86_64编码彻底可以根据Rosetta实行，而没有签字信息内容。
你能在M1 Mac上用一个简洁的“hello world”程序流程轻轻松松认证这一点。假如最先将下边的程序流程编译程序为arm64e，一定要注意电脑操作系统在试着实行时是怎样阻拦它的，可是一旦大家再次编译程序了与x86_64可执行程序同样的源代码，就可以在沒有代码签名且没有源代码的情形下运作hello.out：
这就容许了手机软件伪造的概率，即根据Rosetta(Rosetta)翻泽仅以intel二进制代码运行的手机软件，其代码签名很有可能被删掉，编码被改动，程序流程在没合理开发人员代码签名的情形下根据Rosetta(Rosetta)实行。
虽然试着开展该类伤害的网络攻击也有别的阻碍必须消除，但依然存有那样的状况：在M1 Mac上，本机arm64编码比翻泽后的Intel编码在实质上更安全性，由于后面一种不用实现一切代码签名查验就可以运行。
这当然就引出了一个问题：Rosetta本身是不是可以作为进攻媒体。虽然全部部件都经过系统软件一致性维护开展了锁住，但Rosetta是一个各个方面且复杂性的体制，由很多互锁部件构成，每一个部件都是有潜在性的攻击面。
在Rosetta的一些部件上，科学研究工作人员早已完成了一些原始的、优异的反向工程，但有关这一转换层也有许多必须认识的地区，科学研究仍在进行中。
汇总
不容置疑，苹果在Rosetta 2上比初始Rosetta拥有长足的进步，这或许可以表述为何一些手机软件开发人员并未开展衔接，或许还不掌握本机M1适用的优点。别的开发人员很有可能更乐意让这些人的解决方法在Rosetta下运行，以运用她们并未或没法变换为ARM的旧时代Intel控制模块的优点。
可是，如上所述，出自于功能和安全性领域的考虑到，在Apple处理芯片上本机运行电脑安全软件的益处不言而喻。如同在别的地区，苹果很有可能会在一些地区禁止使用Rosetta 2，而并不会造成我们的留意。最终，一样难以避免的是，正如最开始的Rosetta在苹果最后彻底从Intel的PowerPC构架衔接回来以后的两年就停工了，苹果最后将舍弃对Apple silicon服务平台上的翻译app的适用。
文中翻譯自：
https://www.sentinelone.com/blog/why-your-macos-edr-solution-shouldnt-be-running-under-rosetta-2/