Code Signing for macOS/ru: what changed

Revision 3 to 4. Removed lines have a minus sign; added lines have a plus sign.

Old	New		Line
1	1		> Note: Для требований нотариального заверения Apple для расширений ядра и приложений, начиная с Mojave 10.14.5 (для расширений ядра от 7 апреля 2019 г. и для разработчиков, чье первое использование их сертификата подписи кода произошло с 7 апреля 2019 г.) и для всего программного обеспечения, начиная с Catalina 10.15 и выше, которое не распространяется через App Store, см. [[Notarization for macOS 10.14.5+/ru\|Нотариальное заверение для macOS 10.14.5+]]
2	2
3	3		## Предисловие
4	4
5	5		[[Code signing]] (подписание кода) обеспечивает как подлинность, так и целостность исполняемых файлов, загруженных из глобальных сетей, таких как Интернет. Приведенное ниже обсуждение в равной степени относится как к распространению в App Store, так и к распространению вне App Store.
6	6
7	7		Подписание кода требуется в [[Portal:iOS\|iOS]]. В [[Portal:Mac\|macOS]] и более поздних версиях он позволяет открывать программы, загруженные из Интернета, без каких-либо предупреждений (если они подписаны сертификатом, выданным Apple), и требуется при использовании определенных функций (например, API-интерфейсы, используемые отладчиками; обратите внимание, что в этом случае достаточно самозаверяющего сертификата, помеченного как «доверенный»). Эту функцию выполняет программное обеспечение Apple Gatekeeper.
8	8
9	9		## Процесс развития Gatekeeper
10	10
11	11		Gatekeeper (Привратник), впервые представленный в Mountain Lion (10.8, 2012 г.), представляет собой функцию безопасности Mac, предназначенную для защиты компьютеров Apple от вредоносного программного обеспечения. Привратник проверяет приложения по списку приложений, которые Apple одобрила для своего App Store или код которых был подписан разработчиками, имеющими сертификаты, выпущенные Apple, если приложение не предлагается через магазин приложений. Он не выполняет никаких проверок безопасности сам по себе, за исключением того, что приложение не было изменено с момента его подписания разработчиком, и не дает никаких гарантий в отношении разработчика, кроме того, что он платит Apple 99 долларов США в год (он же "Идентифицированный разработчик").
12	12
13	13		Первоначальные параметры Gatekeeper, представленные в Mountain Lion, доступ к которым можно получить из настроек "Безопасность" "Конфиденциальность" \> "Общее", были следующими:
14	14
15	15		- App Store
16	16		- App Store и признанные разработчики
17	17		- Anywhere (кто угодно)
18	18
19	19		Выбрав опцию Anywhere, пользователь когда-то мог полностью отключить Gatekeeper. Настройка по умолчанию разрешала запуск приложений только из App Store или от разработчика, подписавшего свое приложение с помощью сертификата, выданного Apple.
20	20
21	21		Когда в 2016 году была выпущена macOS Sierra, Apple внесла несколько важных изменений в Gatekeeper и ограничила параметры Gatekeeper следующим образом:
22	22
23	23		- App Store
24	24		- App Store и признанные разработчики
25	25
26	26		Однако вы можете восстановить отсутствующую опцию Gatekeeper Anywhere в настройках, открыв терминал и выполнив команду:
27	27
28		-	~~`$ sudo spctl --master-disable`~~
	28	+	```
	29	+	$ sudo spctl --master-disable
	30	+	```
29	31
30	32		которая по-прежнему работает до macOS Catalina включительно. Лучшей, как и более безопасной, альтернативой было вместо этого обойти Gatekeeper, открыв приложение из контекстного меню по клику правой кнопки мыши, или по клику с зажатой `Ctrl`. Это по-прежнему вызывало бы диалоговое окно предупреждения, но теперь оно бы содержало кнопку Открыть для успешного запуска приложения. Этот метод обхода Gatekeeper по-прежнему работает в macOS Catalina, за исключением того, что в Catalina вам нужно запустить приложение во второй раз, удерживая `Ctrl` или щелкнув правой кнопкой мыши, чтобы успешно обойти Gatekeeper - при первом запуске приложения Gatekeeper не может быть обойден независимо от того, удерживаете ли вы `Ctrl` или щелкаете правой кнопкой мыши или нет.
31	33
32	34		### Big Sur и более новые ОС на процессорах Apple M1 ARM64
33	35
34	36		И тогда Apple изменила правила игры.
35	37
36	38		Когда Big Sur запущена на процессоре Apple M1 (ARM64), весь нативный код ARM64 должен быть подписан, иначе операционная система не позволит его выполнение; и пользователи не могут обойти это новое требование Gatekeeper. Разработчики могут обойти его, выполнив следующую команду в окне терминала Applications \> Utilities \> Terminal:
37	39
38		-	~~`spctl developer-mode enable-terminal`~~
	40	+	```
	41	+	spctl developer-mode enable-terminal
	42	+	```
39	43
40	44		и затем перейдя в System Preferences \> Security & Privacy \> Privacy, прокрутив вниз до записи "Developer Tools" (Инструменты разработчика), выполнив аутентификацию и установив флажок рядом с Terminal.
41	45
42	46		Исполняемые файлы Intel, запущенные под Big Sur на процессоре Apple M1 через Rosetta 2, по-прежнему могут быть запущены, даже если они не подписаны, кликом ЛКМ с зажатой `Ctrl` или кликом ПКМ мыши для обхода Gatekeeper.
43	47
44	48		Больше подробностей см.: [[macOS Big Sur changes for developers\|Big Sur изменения для разработчиков: Подписывание кода - Intel в сравнении с M1]].
45	49
46	50		## Диалоговые окна Gatekeeper
47	51
48	52		![](/wiki-images/2/26/Load_security_warning_dmg_leopard_en.png)
49	53
50	54		Простое предупреждение после открытия загруженного приложения в Leopard.
51	55
52	56		![](/wiki-images/3/31/Load_security_warning_dmg_mavericks_en.png)
53	57
54	58		Настройки по умолчанию более строгие в Mavericks, где они предотвращают запуск загруженных неподписанных приложений с помощью двойного щелчка мыши.
55	59
56	60		![](/wiki-images/2/20/Load_security_warning_mavericks_context_en.png)
57	61
58	62		Если приложение запускается через контекстное меню в Mavericks, отображается простое предупреждение, аналогичное тому, что было в более ранних версиях.
59	63
60	64		![](/wiki-images/c/c3/Simple_load_security_warning_mavericks_en.png)
61	65
62	66		Gatekeeper показывает упрощенное предупреждение, если приложение с подписанным кодом было загружено и запущено в первый раз. При последующих запусках программа запускается сразу.
63	67
64	68		![](/wiki-images/1/15/Codesigning.png)
65	69
66	70		Схема подписания кода программы, написанной с помощью Lazarus и Free Pascal
67	71
68	72		## Обзор
69	73
70	74		Основные шаги для подписания приложения, написанного с помощью Lazarus и/или Free Pascal:
71	75
72	76		1. Получите Developer ID (идентификатора разработчика) разработчика от Apple и установите его в цепочку ключей вашей системы.
73	77		2. Обратите внимание на буквенно-цифровой ключ вашего Developer ID (идентификатора разработчика) (он же TeamIdentifier).
74	78		3. Подпишите свое приложение командой codesign.
75	79		4. Подпишите свой установочный пакет с помощью команды productsign.
76	80
77	81		Невозможно использовать сертификаты от сторонних поставщиков, таких как Comodo, потому что они не пройдут Gatekeeper, для которого требуется сертификат, выданный разработчиком Apple. Также обратите внимание, что вы не можете подписывать приложения Windows с помощью сертификата разработчика Apple (на этот раз вам нужен сторонний сертификат Comodo и т.д.).
78	82
79	83		Приложение macOS, распространяемое за пределами Mac App Store, обычно имеет 3–4 отдельных уровня подписи:
80	84
81	85		- Само приложение будет иметь подписанный код с использованием сертификата приложения.
82	86		- Если у приложения есть установщик, файл пакета будет подписан сертификатом установщика.
83	87		- Образ диска, содержащий приложение или установщик, будет подписан сертификатом приложения.
84	88		- Образ диска будет [[Notarization for macOS 10.14.5+/ru\|нотариально заверен]], а затем удостоверение, сгенерированное нотариальной службой, будет к нему [[Notarization for macOS 10.14.5+/ru\|прикреплено]].
85	89
86	90		## Требования Gatekeeper'а
87	91
88	92		- Ваше приложение должно быть автономным, без неприемлемых внешних зависимостей. Единственными допустимыми внешними зависимостями являются системные библиотеки. Все остальные зависимости следует скопировать в папку пакета MyApp.app. Gatekeeper отклоняет любое приложение, имеющее несистемные внешние зависимости.
89	93
90	94		- Все бинарные файлы внутри MyApp.app должны быть подписаны кодом.
91	95
92	96		- Все бинарные файлы должны находиться в стандартных местах внутри папки пакета MyApp.app. См.таблицу ниже.
93	97
94	98		\| Местоположение \| Описание \|
95	99		\|----\|----\|
96	100		\| Contents \| Верхний каталог содержимого пакета \|
97	101		\| Contents/MacOS \| Основной исполняемый файл; вспомогательные приложения и инструменты \|
98	102		\| Contents/Frameworks \| Фреймворки, библиотеки *.dylibs \|
99	103		\| Contents/PlugIns \| Плагины, как загружаемые, так и расширения \|
100	104		\| Contents/XPCServices \| Сервисы XPC \|
101	105		\| Contents/Helpers \| Вспомогательные приложения и инструменты \|
102	106		\| Contents/Library/Automator \| Действия автоматора \|
103	107		\| Contents/Library/Spotlight \| Импортеры Spotlight (средство поиска) \|
104	108		\| Contents/Library/LoginItems \| Устанавливаемые элементы входа \|
105	109		\| Contents/Library/LaunchServices \| Привилегированные вспомогательные инструменты, устанавливаемые инфраструктурой ServiceManagement. \|
106	110
107	111		Стандартное местоположение для кода внутри бандла (пакета)
108	112
109	113		Примечание: Никакие недвоичные файлы никогда не должны находиться в папках, указанных в таблице выше.
110	114
111	115		## Использование механизма codesign для подписи вашего приложения
112	116
113	117		1. Подпишите свое приложение с помощью:
114	118
115	119		``` bash
116	120		codesign -f -o runtime --timestamp -s "Developer ID Application: YOUR NAME (TEAM_ID)" /path/to/bundle.app
117	121		```
118	122
119	123		2. Отображение основной информации о результате процесса подписания:
120	124
121	125		``` bash
122	126		codesign -dv -r- /path/to/bundle.app
123	127		```
124	128
125	129		Если ваше приложение было успешно подписано, эта команда вернет информацию, подобную приведенной ниже:
126	130
127	131		Executable=/Users/apple/Desktop/your.app/Contents/MacOS/yourappname
128	132		Identifier=org.yourdomain.yourappname
129	133		Format=app bundle with Mach-O thin (x86_64)
130	134		CodeDirectory v=20500 size=101470 flags=0x10000(runtime) hashes=3164+3 location=embedded
131	135		Signature size=9063
132	136		Timestamp=7 Dec 2019 at 18:36:08
133	137		Info.plist entries=16
134	138		TeamIdentifier=<10 alpha numeric digits>
135	139		Runtime Version=10.14.0
136	140		Sealed Resources version=2 rules=13 files=45
137	141		designated => identifier "org.yourdomain.yourappname" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists / and certificate leaf[field.1.2.840.113635.100.6.1.13] / exists */ and certificate leaf[subject.OU] = <10 alpha numeric digits>
138	142
139	143		3. Подтвердите свою подпись:
140	144
141	145		``` bash
142	146		codesign -vv /path/to/bundle.app
143	147		```
144	148
145	149		Если ваше приложение было успешно подписано, эта команда вернет строки "valid on disk"(действительно на диске) и "satisfies its Designated Requirement"(удовлетворяет назначенному требованию) соответственно после пути к вашему приложению.
146	150
147	151		## Использование механизма productsign для подписи установщика pkg
148	152
149	153		1. Подпишите файл pkg установщика с помощью:
150	154
151	155		``` bash
152	156		productsign --timestamp --sign "Developer ID Installer: YOUR NAME (TEAM_ID)" /path/to/unsigned.pkg /path/to/signed.pkg
153	157		```
154	158
155	159		2. Подтвердите свою подпись с помощью:
156	160
157	161		``` bash
158	162		spctl -vv --assess --type install /path/to/your.pkg
159	163		```
160	164
161	165		который должен давать информацию, подобную этой, если все закончилось успешно:
162	166
163	167		your.pkg: accepted
164	168		source=Developer ID
165	169		origin=Developer ID Installer: YOUR NAME (<10 alpha numeric digits>)
166	170
167	171		## Использование механизма codesign для подписи образа диска
168	172
169	173		Начиная с macOS 10.11.5, вы можете применять подпись кода к сжатым образам дисков только для чтения, которые вы используете для распространения содержимого. В этом случае вам не нужно отдельно подписывать ваше приложение.
170	174
171	175		1. Подпишите образ диска с помощью:
172	176
173	177		``` bash
174	178		codesign -f -o runtime --timestamp -s "Developer ID Application: YOUR NAME (TEAM_ID)" /path/to/YourImage.dmg
175	179		```
176	180
177	181		2. Подтвердите свою подпись с помощью:
178	182
179	183		``` bash
180	184		spctl -a -t open --context context:primary-signature -vv /path/to/YourImage.dmg
181	185		```
182	186
183	187		который должен выдать информацию, подобную этой, если все прошло успешно:
184	188
185	189		YourImage.dmg: accepted
186	190		source=Developer ID
187	191		origin=Developer ID Application: YOUR NAME (<10 alpha numeric digits>)
188	192
189	193		После 3 февраля 2020 года Apple полностью вводит нотариальное заверение для macOS 10.14.5+ (Mojave), в результате чего вышеуказанная проверка образа вашего диска теперь будет возвращать информацию, подобную этой:
190	194
191	195		YourImage.dmg: rejected
192	196		source=Unnotarized Developer ID
193	197		origin=Developer ID Application: YOUR NAME (<10 alpha numeric digits>)
194	198
195	199		Подробнее см. [[Notarization for macOS 10.14.5+/ru\|Нотаризация для macOS 10.14.5+]].
196	200
197	201		## Обновление подписанного файла
198	202
199	203		Всякий раз, когда вы обновляете подписанный файл, создавайте новый файл. Не копируйте новый подписанный файл поверх старого подписанного файла.
200	204
201	205		В частности, информация о подписи кода (хэш каталога кода) висит на vnode в ядре, и изменение файла за этим кешем вызовет проблемы. Вам нужен новый vnode, а значит новый файл, то есть новый inode. Задокументировано в сессии 703 WWDC 2019 «Все о нотариальном заверении» — см. [слайд 65 (PDF)](https://devstreaming-cdn.apple.com/videos/wwdc/2019/703yqvyjv9mi5ur6/703/703_all_about_notarization.pdf).
202	206
203	207		## Подписание ad hoc кода (в особых случаях)
204	208
205	209		Это особенно важно для процессоров Apple ARM64 M1, которые требуют, чтобы весь нативный код был подписан корректно (если только ad hoc), иначе операционная система не будет его выполнять, вместо этого убивая его при запуске. Чтобы подписать приложение ad hoc, выполните:
206	210
207		-	~~` codesign --force --deep -s - lazarus.app`~~
	211	+	```
	212	+	codesign --force --deep -s - lazarus.app
	213	+	```
208	214
209	215		или, чтобы подписать исполняемый файл в особых случаях, выполните:
210	216
211		-	~~` codesign --force -s - lazarus`~~
	217	+	```
	218	+	codesign --force -s - lazarus
	219	+	```
212	220
213	221		Одиночный тире/дефис сам по себе для удостоверения делает его специальной подписью без сертификата.
214	222
215	223		Вы можете проверить действительность подписанного исполняемого файла ad hoc с помощью:
216	224
217		-	~~` codesign -dv -r- lazarus`~~
	225	+	```
	226	+	codesign -dv -r- lazarus
	227	+	```
218	228
219	229		который должен вывести текст, аналогичный приведенному ниже:
220	230
221		-	~~`Executable=/Users/trev/lazarus-src/lazarus`\~~
222		-	~~`Identifier=lazarus`\~~
223		-	~~`Format=Mach-O thin (arm64)`\~~
224		-	~~`CodeDirectory v=20400 size=336137 flags=0x2(adhoc) hashes=10498+2 location=embedded`\~~
225		-	~~`Signature=adhoc`\~~
226		-	~~`Info.plist=not bound`\~~
227		-	~~`TeamIdentifier=not set`\~~
228		-	~~`Sealed Resources=none`\~~
229		-	~~`# designated => cdhash H"2e6f474452344d6fa42feee3db14a05c14d595a3"`~~
	231	+	```
	232	+	Executable=/Users/trev/lazarus-src/lazarus
	233	+	Identifier=lazarus
	234	+	Format=Mach-O thin (arm64)
	235	+	CodeDirectory v=20400 size=336137 flags=0x2(adhoc) hashes=10498+2 location=embedded
	236	+	Signature=adhoc
	237	+	Info.plist=not bound
	238	+	TeamIdentifier=not set
	239	+	Sealed Resources=none
	240	+	# designated => cdhash H"2e6f474452344d6fa42feee3db14a05c14d595a3"
	241	+	```
230	242
231	243		В тех случаях, когда вы скомпилировали исполняемый файл самостоятельно, компоновщик macOS специально подпишет исполняемый файл для вас, и в этом случае вам не нужно ничего делать. Вы можете проверить действительность с помощью приведенной выше команды, и в этом случае в строке вывода CodeDirectory будет указано, что компоновщик подписал исполняемый файл специальной подписью следующим образом:
232	244
233		-	~~` CodeDirectory v=20400 size=336032 flags=0x20002(adhoc,linker-signed) hashes=10498+0 location=embedded`~~
	245	+	```
	246	+	CodeDirectory v=20400 size=336032 flags=0x20002(adhoc,linker-signed) hashes=10498+0 location=embedded
	247	+	```
234	248
235	249		## Подписывание кода двоичного файла x86_64 на машине aarch64
236	250
237	251		Архитектура подписи кода macOS поддерживает два разных формата хэшей:
238	252
239	253		- sha1, исходный формат хэша, который сейчас считается устаревшим
240	254		- sha256, новый формат, поддержка которого была добавлена в macOS 10.11
241	255
242	256		`Codesign` должен выбрать формат подписи в зависимости от цели развертывания:
243	257
244	258		- Если целью развертывания является ОС 10.11 или более поздняя версия, вы получаете sha256.
245	259		- Если ваша цель развертывания ОС более ранняя, вы получите как sha1, так и sha256.
246	260
247	261		Проблема возникает из-за того, что при сборке для Intel и Apple Silicon цели развертывания разные. Вы можете установить цель развертывания на 10.9, но в Apple Silicon она повышена до минимальной системы Apple Silicon, 11.0. Итак, какую цель развертывания оно выбирает?
248	262
249	263		Вобщем, полный ответ на этот вопрос сложен, но краткое изложение заключается в том, что оно выбирает цель развертывания текущей архитектуры, то есть Intel, если вы собираете на Intel, и Apple Silicon, если вы собираете на Apple Silicon.
250	264
251	265		В результате у вас возникают проблемы, если ваша цель развертывания меньше 10.11 и вы подписываетесь на Apple Silicon. Когда вы запускаете, скажем, macOS 10.10, система ищет хэш sha1, не находит и жалуется.
252	266
253	267		Обходной путь заключается в предоставлении аргумента `--digest-algorithm=sha1,sha256` для `codesign`, который переопределяет логику выбора хэша в `codesign` и заставляет его включать оба хэша.
254	268
255	269		## Как установить сертификаты на второй компьютер
256	270
257	271		Есть два способа сделать это:
258	272
259	273		1. с помощью приложения Keychain Access (Связка ключей)
260	274		2. с помощью Xcode.
261	275
262	276		### Использование приложения Keychain Access (Связка ключей)
263	277
264	278		- На первом компьютере с сертификатами откройте приложение Keychain Access и создайте новую связку ключей. Теперь выберите существующую связку ключей для входа, а затем My Certificates (мои сертификаты). Ваши сертификаты должны отображаться справа. С левой стороны должна быть стрелка раскрытия, и ее выбор должен показать ваш закрытый ключ. Выберите каждый сертификат, скопируйте и вставьте (не перетаскивайте, иначе вы удалите его из цепочки для ключей входа) в новую цепочку для ключей.
265	279
266	280		- Скопируйте только что созданную цепочку для ключей с первого компьютера на второй компьютер, откройте ее с помощью приложения Keychain Access и скопируйте/вставьте/перетащите сертификат в цепочку для входа на второй компьютер.
267	281
268	282		### Использование Xcode
269	283
270	284		- На первом компьютере с сертификатами откройте Xcode и перейдите в Preferences \> Accounts (Настройки \> Учетные записи), выберите свою учетную запись, выберите значок шестеренки в левом нижнем углу, выберите Export Apple ID (Экспорт Apple ID) и Code Signing Assets (Активы для подписи кода), а затем сохраните файл.
271	285
272	286		- Скопируйте файл профиля разработчика, который вы сохранили на своем первом компьютере, на второй компьютер, откройте Xcode, перейдите в Preferences \> Accounts (Настройки \> Учетные записи), выберите свою учетную запись, выберите символ шестеренки в левом нижнем углу, а затем выберите Import Apple ID (Импортировать Apple ID) и Code Signing Assets (Активы для подписи кода).
273	287
274	288		## Как проверить, какие сертификаты установлены
275	289
276	290		После того, как вы создали или импортировали сертификаты на свой компьютер, вы можете проверить их наличие, открыв терминал Applications \> Utilities \> Terminal и выполнив следующую команду:
277	291
278		-	~~`$ security find-identity -p basic -v`~~
	292	+	```
	293	+	$ security find-identity -p basic -v
	294	+	```
279	295
280	296		Эта команда выведет список всех доступных сертификатов на этом компьютере. Убедитесь, что вы видите наличие Developer ID Application и Developer ID Installer. Если вы являетесь участником нескольких команд, вы можете увидеть несколько сертификатов для каждой команды.
281	297
282	298		Вы можете идентифицировать сертификаты по шестнадцатеричному номеру или описательному имени, например, "Developer ID Application: Your Name (AB123456DE)".
283	299
284	300		Десятизначный буквенно-цифровой код в конце вашего имени — это Developer Team ID (идентификатор вашей команды разработчиков). Если вы являетесь членом нескольких команд разработчиков, у вас будет несколько сертификатов, и идентификатор команды поможет вам отличить их.
285	301
286	302		## См.также
287	303
288	304		- [[macOS Big Sur changes for developers\|Подписание кода: Intel в сравнеии Apple Silicon]]
289	305		- [[Apple Developer Certificates]]
290	306		- [[Notarization for macOS 10.14.5+]]
291	307		- [[Hardened runtime for macOS]]
292	308		- [[Sandboxing for macOS]]
293	309		- [[Signing and Notarization FAQ]]
294	310		- [[macOS Gatekeeper Debugging Tips]]
295	311
296	312		## Внешние ссылки
297	313
298	314		- [Apple Developer portal](https://developer.apple.com/)
299	315		- [Apple: Code Signing Overview](https://developer.apple.com/support/technical/code-signing/)
300	316		- [Apple: Code Signing Guide](https://developer.apple.com/library/mac/documentation/Security/Conceptual/CodeSigningGuide/)
301	317		- [Apple: TN2206 - macOS Code Signing In Depth](https://developer.apple.com/library/archive/technotes/tn2206/_index.html)
302	318		- [Apple: Code signing x86_64 binaries on aarch64](https://developer.apple.com/forums/thread/673323).
303	319
304	320		---
305	321		From the Free Pascal wiki, page "Code Signing for macOS/ru", as it stood on 2022-02-28 after a change by Alextp, out of the wiki's dump of 2024-05-26. Copyright stays with the author who wrote it, according to the old wiki's [[Licensing]] page. If you have concerns about this material, [message the admin](/wiki-contact).

Back to history