Code Signing for macOS/ru: what changed

Revision 4 to 5. Removed lines have a minus sign; added lines have a plus sign.

Old	New		Line
1	1		> Note: Для требований нотариального заверения Apple для расширений ядра и приложений, начиная с Mojave 10.14.5 (для расширений ядра от 7 апреля 2019 г. и для разработчиков, чье первое использование их сертификата подписи кода произошло с 7 апреля 2019 г.) и для всего программного обеспечения, начиная с Catalina 10.15 и выше, которое не распространяется через App Store, см. [[Notarization for macOS 10.14.5+/ru\|Нотариальное заверение для macOS 10.14.5+]]
2	2
3	3		## Предисловие
4	4
5	5		[[Code signing]] (подписание кода) обеспечивает как подлинность, так и целостность исполняемых файлов, загруженных из глобальных сетей, таких как Интернет. Приведенное ниже обсуждение в равной степени относится как к распространению в App Store, так и к распространению вне App Store.
6	6
7	7		Подписание кода требуется в [[Portal:iOS\|iOS]]. В [[Portal:Mac\|macOS]] и более поздних версиях он позволяет открывать программы, загруженные из Интернета, без каких-либо предупреждений (если они подписаны сертификатом, выданным Apple), и требуется при использовании определенных функций (например, API-интерфейсы, используемые отладчиками; обратите внимание, что в этом случае достаточно самозаверяющего сертификата, помеченного как «доверенный»). Эту функцию выполняет программное обеспечение Apple Gatekeeper.
8	8
9	9		## Процесс развития Gatekeeper
10	10
11	11		Gatekeeper (Привратник), впервые представленный в Mountain Lion (10.8, 2012 г.), представляет собой функцию безопасности Mac, предназначенную для защиты компьютеров Apple от вредоносного программного обеспечения. Привратник проверяет приложения по списку приложений, которые Apple одобрила для своего App Store или код которых был подписан разработчиками, имеющими сертификаты, выпущенные Apple, если приложение не предлагается через магазин приложений. Он не выполняет никаких проверок безопасности сам по себе, за исключением того, что приложение не было изменено с момента его подписания разработчиком, и не дает никаких гарантий в отношении разработчика, кроме того, что он платит Apple 99 долларов США в год (он же "Идентифицированный разработчик").
12	12
13	13		Первоначальные параметры Gatekeeper, представленные в Mountain Lion, доступ к которым можно получить из настроек "Безопасность" "Конфиденциальность" \> "Общее", были следующими:
14	14
15	15		- App Store
16	16		- App Store и признанные разработчики
17	17		- Anywhere (кто угодно)
18	18
19	19		Выбрав опцию Anywhere, пользователь когда-то мог полностью отключить Gatekeeper. Настройка по умолчанию разрешала запуск приложений только из App Store или от разработчика, подписавшего свое приложение с помощью сертификата, выданного Apple.
20	20
21	21		Когда в 2016 году была выпущена macOS Sierra, Apple внесла несколько важных изменений в Gatekeeper и ограничила параметры Gatekeeper следующим образом:
22	22
23	23		- App Store
24	24		- App Store и признанные разработчики
25	25
26	26		Однако вы можете восстановить отсутствующую опцию Gatekeeper Anywhere в настройках, открыв терминал и выполнив команду:
27	27
28		-	~~```~~
	28	+	```text
29	29		$ sudo spctl --master-disable
30	30		```
31	31
32	32		которая по-прежнему работает до macOS Catalina включительно. Лучшей, как и более безопасной, альтернативой было вместо этого обойти Gatekeeper, открыв приложение из контекстного меню по клику правой кнопки мыши, или по клику с зажатой `Ctrl`. Это по-прежнему вызывало бы диалоговое окно предупреждения, но теперь оно бы содержало кнопку Открыть для успешного запуска приложения. Этот метод обхода Gatekeeper по-прежнему работает в macOS Catalina, за исключением того, что в Catalina вам нужно запустить приложение во второй раз, удерживая `Ctrl` или щелкнув правой кнопкой мыши, чтобы успешно обойти Gatekeeper - при первом запуске приложения Gatekeeper не может быть обойден независимо от того, удерживаете ли вы `Ctrl` или щелкаете правой кнопкой мыши или нет.
33	33
34	34		### Big Sur и более новые ОС на процессорах Apple M1 ARM64
35	35
36	36		И тогда Apple изменила правила игры.
37	37
38	38		Когда Big Sur запущена на процессоре Apple M1 (ARM64), весь нативный код ARM64 должен быть подписан, иначе операционная система не позволит его выполнение; и пользователи не могут обойти это новое требование Gatekeeper. Разработчики могут обойти его, выполнив следующую команду в окне терминала Applications \> Utilities \> Terminal:
39	39
40		-	~~```~~
	40	+	```text
41	41		spctl developer-mode enable-terminal
42	42		```
43	43
44	44		и затем перейдя в System Preferences \> Security & Privacy \> Privacy, прокрутив вниз до записи "Developer Tools" (Инструменты разработчика), выполнив аутентификацию и установив флажок рядом с Terminal.
45	45
46	46		Исполняемые файлы Intel, запущенные под Big Sur на процессоре Apple M1 через Rosetta 2, по-прежнему могут быть запущены, даже если они не подписаны, кликом ЛКМ с зажатой `Ctrl` или кликом ПКМ мыши для обхода Gatekeeper.
47	47
48	48		Больше подробностей см.: [[macOS Big Sur changes for developers\|Big Sur изменения для разработчиков: Подписывание кода - Intel в сравнении с M1]].
49	49
50	50		## Диалоговые окна Gatekeeper
51	51
52	52		![](/wiki-images/2/26/Load_security_warning_dmg_leopard_en.png)
53	53
54	54		Простое предупреждение после открытия загруженного приложения в Leopard.
55	55
56	56		![](/wiki-images/3/31/Load_security_warning_dmg_mavericks_en.png)
57	57
58	58		Настройки по умолчанию более строгие в Mavericks, где они предотвращают запуск загруженных неподписанных приложений с помощью двойного щелчка мыши.
59	59
60	60		![](/wiki-images/2/20/Load_security_warning_mavericks_context_en.png)
61	61
62	62		Если приложение запускается через контекстное меню в Mavericks, отображается простое предупреждение, аналогичное тому, что было в более ранних версиях.
63	63
64	64		![](/wiki-images/c/c3/Simple_load_security_warning_mavericks_en.png)
65	65
66	66		Gatekeeper показывает упрощенное предупреждение, если приложение с подписанным кодом было загружено и запущено в первый раз. При последующих запусках программа запускается сразу.
67	67
68	68		![](/wiki-images/1/15/Codesigning.png)
69	69
70	70		Схема подписания кода программы, написанной с помощью Lazarus и Free Pascal
71	71
72	72		## Обзор
73	73
74	74		Основные шаги для подписания приложения, написанного с помощью Lazarus и/или Free Pascal:
75	75
76	76		1. Получите Developer ID (идентификатора разработчика) разработчика от Apple и установите его в цепочку ключей вашей системы.
77	77		2. Обратите внимание на буквенно-цифровой ключ вашего Developer ID (идентификатора разработчика) (он же TeamIdentifier).
78	78		3. Подпишите свое приложение командой codesign.
79	79		4. Подпишите свой установочный пакет с помощью команды productsign.
80	80
81	81		Невозможно использовать сертификаты от сторонних поставщиков, таких как Comodo, потому что они не пройдут Gatekeeper, для которого требуется сертификат, выданный разработчиком Apple. Также обратите внимание, что вы не можете подписывать приложения Windows с помощью сертификата разработчика Apple (на этот раз вам нужен сторонний сертификат Comodo и т.д.).
82	82
83	83		Приложение macOS, распространяемое за пределами Mac App Store, обычно имеет 3–4 отдельных уровня подписи:
84	84
85	85		- Само приложение будет иметь подписанный код с использованием сертификата приложения.
86	86		- Если у приложения есть установщик, файл пакета будет подписан сертификатом установщика.
87	87		- Образ диска, содержащий приложение или установщик, будет подписан сертификатом приложения.
88	88		- Образ диска будет [[Notarization for macOS 10.14.5+/ru\|нотариально заверен]], а затем удостоверение, сгенерированное нотариальной службой, будет к нему [[Notarization for macOS 10.14.5+/ru\|прикреплено]].
89	89
90	90		## Требования Gatekeeper'а
91	91
92	92		- Ваше приложение должно быть автономным, без неприемлемых внешних зависимостей. Единственными допустимыми внешними зависимостями являются системные библиотеки. Все остальные зависимости следует скопировать в папку пакета MyApp.app. Gatekeeper отклоняет любое приложение, имеющее несистемные внешние зависимости.
93	93
94	94		- Все бинарные файлы внутри MyApp.app должны быть подписаны кодом.
95	95
96	96		- Все бинарные файлы должны находиться в стандартных местах внутри папки пакета MyApp.app. См.таблицу ниже.
97	97
98	98		\| Местоположение \| Описание \|
99	99		\|----\|----\|
100	100		\| Contents \| Верхний каталог содержимого пакета \|
101	101		\| Contents/MacOS \| Основной исполняемый файл; вспомогательные приложения и инструменты \|
102	102		\| Contents/Frameworks \| Фреймворки, библиотеки *.dylibs \|
103	103		\| Contents/PlugIns \| Плагины, как загружаемые, так и расширения \|
104	104		\| Contents/XPCServices \| Сервисы XPC \|
105	105		\| Contents/Helpers \| Вспомогательные приложения и инструменты \|
106	106		\| Contents/Library/Automator \| Действия автоматора \|
107	107		\| Contents/Library/Spotlight \| Импортеры Spotlight (средство поиска) \|
108	108		\| Contents/Library/LoginItems \| Устанавливаемые элементы входа \|
109	109		\| Contents/Library/LaunchServices \| Привилегированные вспомогательные инструменты, устанавливаемые инфраструктурой ServiceManagement. \|
110	110
111	111		Стандартное местоположение для кода внутри бандла (пакета)
112	112
113	113		Примечание: Никакие недвоичные файлы никогда не должны находиться в папках, указанных в таблице выше.
114	114
115	115		## Использование механизма codesign для подписи вашего приложения
116	116
117	117		1. Подпишите свое приложение с помощью:
118	118
119	119		``` bash
120	120		codesign -f -o runtime --timestamp -s "Developer ID Application: YOUR NAME (TEAM_ID)" /path/to/bundle.app
121	121		```
122	122
123	123		2. Отображение основной информации о результате процесса подписания:
124	124
125	125		``` bash
126	126		codesign -dv -r- /path/to/bundle.app
127	127		```
128	128
129	129		Если ваше приложение было успешно подписано, эта команда вернет информацию, подобную приведенной ниже:
130	130
131	131		Executable=/Users/apple/Desktop/your.app/Contents/MacOS/yourappname
132	132		Identifier=org.yourdomain.yourappname
133	133		Format=app bundle with Mach-O thin (x86_64)
134	134		CodeDirectory v=20500 size=101470 flags=0x10000(runtime) hashes=3164+3 location=embedded
135	135		Signature size=9063
136	136		Timestamp=7 Dec 2019 at 18:36:08
137	137		Info.plist entries=16
138	138		TeamIdentifier=<10 alpha numeric digits>
139	139		Runtime Version=10.14.0
140	140		Sealed Resources version=2 rules=13 files=45
141	141		designated => identifier "org.yourdomain.yourappname" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists / and certificate leaf[field.1.2.840.113635.100.6.1.13] / exists */ and certificate leaf[subject.OU] = <10 alpha numeric digits>
142	142
143	143		3. Подтвердите свою подпись:
144	144
145	145		``` bash
146	146		codesign -vv /path/to/bundle.app
147	147		```
148	148
149	149		Если ваше приложение было успешно подписано, эта команда вернет строки "valid on disk"(действительно на диске) и "satisfies its Designated Requirement"(удовлетворяет назначенному требованию) соответственно после пути к вашему приложению.
150	150
151	151		## Использование механизма productsign для подписи установщика pkg
152	152
153	153		1. Подпишите файл pkg установщика с помощью:
154	154
155	155		``` bash
156	156		productsign --timestamp --sign "Developer ID Installer: YOUR NAME (TEAM_ID)" /path/to/unsigned.pkg /path/to/signed.pkg
157	157		```
158	158
159	159		2. Подтвердите свою подпись с помощью:
160	160
161	161		``` bash
162	162		spctl -vv --assess --type install /path/to/your.pkg
163	163		```
164	164
165	165		который должен давать информацию, подобную этой, если все закончилось успешно:
166	166
167	167		your.pkg: accepted
168	168		source=Developer ID
169	169		origin=Developer ID Installer: YOUR NAME (<10 alpha numeric digits>)
170	170
171	171		## Использование механизма codesign для подписи образа диска
172	172
173	173		Начиная с macOS 10.11.5, вы можете применять подпись кода к сжатым образам дисков только для чтения, которые вы используете для распространения содержимого. В этом случае вам не нужно отдельно подписывать ваше приложение.
174	174
175	175		1. Подпишите образ диска с помощью:
176	176
177	177		``` bash
178	178		codesign -f -o runtime --timestamp -s "Developer ID Application: YOUR NAME (TEAM_ID)" /path/to/YourImage.dmg
179	179		```
180	180
181	181		2. Подтвердите свою подпись с помощью:
182	182
183	183		``` bash
184	184		spctl -a -t open --context context:primary-signature -vv /path/to/YourImage.dmg
185	185		```
186	186
187	187		который должен выдать информацию, подобную этой, если все прошло успешно:
188	188
189	189		YourImage.dmg: accepted
190	190		source=Developer ID
191	191		origin=Developer ID Application: YOUR NAME (<10 alpha numeric digits>)
192	192
193	193		После 3 февраля 2020 года Apple полностью вводит нотариальное заверение для macOS 10.14.5+ (Mojave), в результате чего вышеуказанная проверка образа вашего диска теперь будет возвращать информацию, подобную этой:
194	194
195	195		YourImage.dmg: rejected
196	196		source=Unnotarized Developer ID
197	197		origin=Developer ID Application: YOUR NAME (<10 alpha numeric digits>)
198	198
199	199		Подробнее см. [[Notarization for macOS 10.14.5+/ru\|Нотаризация для macOS 10.14.5+]].
200	200
201	201		## Обновление подписанного файла
202	202
203	203		Всякий раз, когда вы обновляете подписанный файл, создавайте новый файл. Не копируйте новый подписанный файл поверх старого подписанного файла.
204	204
205	205		В частности, информация о подписи кода (хэш каталога кода) висит на vnode в ядре, и изменение файла за этим кешем вызовет проблемы. Вам нужен новый vnode, а значит новый файл, то есть новый inode. Задокументировано в сессии 703 WWDC 2019 «Все о нотариальном заверении» — см. [слайд 65 (PDF)](https://devstreaming-cdn.apple.com/videos/wwdc/2019/703yqvyjv9mi5ur6/703/703_all_about_notarization.pdf).
206	206
207	207		## Подписание ad hoc кода (в особых случаях)
208	208
209	209		Это особенно важно для процессоров Apple ARM64 M1, которые требуют, чтобы весь нативный код был подписан корректно (если только ad hoc), иначе операционная система не будет его выполнять, вместо этого убивая его при запуске. Чтобы подписать приложение ad hoc, выполните:
210	210
211		-	~~```~~
	211	+	```text
212	212		codesign --force --deep -s - lazarus.app
213	213		```
214	214
215	215		или, чтобы подписать исполняемый файл в особых случаях, выполните:
216	216
217		-	~~```~~
	217	+	```text
218	218		codesign --force -s - lazarus
219	219		```
220	220
221	221		Одиночный тире/дефис сам по себе для удостоверения делает его специальной подписью без сертификата.
222	222
223	223		Вы можете проверить действительность подписанного исполняемого файла ad hoc с помощью:
224	224
225		-	~~```~~
	225	+	```text
226	226		codesign -dv -r- lazarus
227	227		```
228	228
229	229		который должен вывести текст, аналогичный приведенному ниже:
230	230
231		-	~~```~~
	231	+	```text
232	232		Executable=/Users/trev/lazarus-src/lazarus
233	233		Identifier=lazarus
234	234		Format=Mach-O thin (arm64)
235	235		CodeDirectory v=20400 size=336137 flags=0x2(adhoc) hashes=10498+2 location=embedded
236	236		Signature=adhoc
237	237		Info.plist=not bound
238	238		TeamIdentifier=not set
239	239		Sealed Resources=none
240	240		# designated => cdhash H"2e6f474452344d6fa42feee3db14a05c14d595a3"
241	241		```
242	242
243	243		В тех случаях, когда вы скомпилировали исполняемый файл самостоятельно, компоновщик macOS специально подпишет исполняемый файл для вас, и в этом случае вам не нужно ничего делать. Вы можете проверить действительность с помощью приведенной выше команды, и в этом случае в строке вывода CodeDirectory будет указано, что компоновщик подписал исполняемый файл специальной подписью следующим образом:
244	244
245		-	~~```~~
	245	+	```text
246	246		CodeDirectory v=20400 size=336032 flags=0x20002(adhoc,linker-signed) hashes=10498+0 location=embedded
247	247		```
248	248
249	249		## Подписывание кода двоичного файла x86_64 на машине aarch64
250	250
251	251		Архитектура подписи кода macOS поддерживает два разных формата хэшей:
252	252
253	253		- sha1, исходный формат хэша, который сейчас считается устаревшим
254	254		- sha256, новый формат, поддержка которого была добавлена в macOS 10.11
255	255
256	256		`Codesign` должен выбрать формат подписи в зависимости от цели развертывания:
257	257
258	258		- Если целью развертывания является ОС 10.11 или более поздняя версия, вы получаете sha256.
259	259		- Если ваша цель развертывания ОС более ранняя, вы получите как sha1, так и sha256.
260	260
261	261		Проблема возникает из-за того, что при сборке для Intel и Apple Silicon цели развертывания разные. Вы можете установить цель развертывания на 10.9, но в Apple Silicon она повышена до минимальной системы Apple Silicon, 11.0. Итак, какую цель развертывания оно выбирает?
262	262
263	263		Вобщем, полный ответ на этот вопрос сложен, но краткое изложение заключается в том, что оно выбирает цель развертывания текущей архитектуры, то есть Intel, если вы собираете на Intel, и Apple Silicon, если вы собираете на Apple Silicon.
264	264
265	265		В результате у вас возникают проблемы, если ваша цель развертывания меньше 10.11 и вы подписываетесь на Apple Silicon. Когда вы запускаете, скажем, macOS 10.10, система ищет хэш sha1, не находит и жалуется.
266	266
267	267		Обходной путь заключается в предоставлении аргумента `--digest-algorithm=sha1,sha256` для `codesign`, который переопределяет логику выбора хэша в `codesign` и заставляет его включать оба хэша.
268	268
269	269		## Как установить сертификаты на второй компьютер
270	270
271	271		Есть два способа сделать это:
272	272
273	273		1. с помощью приложения Keychain Access (Связка ключей)
274	274		2. с помощью Xcode.
275	275
276	276		### Использование приложения Keychain Access (Связка ключей)
277	277
278	278		- На первом компьютере с сертификатами откройте приложение Keychain Access и создайте новую связку ключей. Теперь выберите существующую связку ключей для входа, а затем My Certificates (мои сертификаты). Ваши сертификаты должны отображаться справа. С левой стороны должна быть стрелка раскрытия, и ее выбор должен показать ваш закрытый ключ. Выберите каждый сертификат, скопируйте и вставьте (не перетаскивайте, иначе вы удалите его из цепочки для ключей входа) в новую цепочку для ключей.
279	279
280	280		- Скопируйте только что созданную цепочку для ключей с первого компьютера на второй компьютер, откройте ее с помощью приложения Keychain Access и скопируйте/вставьте/перетащите сертификат в цепочку для входа на второй компьютер.
281	281
282	282		### Использование Xcode
283	283
284	284		- На первом компьютере с сертификатами откройте Xcode и перейдите в Preferences \> Accounts (Настройки \> Учетные записи), выберите свою учетную запись, выберите значок шестеренки в левом нижнем углу, выберите Export Apple ID (Экспорт Apple ID) и Code Signing Assets (Активы для подписи кода), а затем сохраните файл.
285	285
286	286		- Скопируйте файл профиля разработчика, который вы сохранили на своем первом компьютере, на второй компьютер, откройте Xcode, перейдите в Preferences \> Accounts (Настройки \> Учетные записи), выберите свою учетную запись, выберите символ шестеренки в левом нижнем углу, а затем выберите Import Apple ID (Импортировать Apple ID) и Code Signing Assets (Активы для подписи кода).
287	287
288	288		## Как проверить, какие сертификаты установлены
289	289
290	290		После того, как вы создали или импортировали сертификаты на свой компьютер, вы можете проверить их наличие, открыв терминал Applications \> Utilities \> Terminal и выполнив следующую команду:
291	291
292		-	~~```~~
	292	+	```text
293	293		$ security find-identity -p basic -v
294	294		```
295	295
296	296		Эта команда выведет список всех доступных сертификатов на этом компьютере. Убедитесь, что вы видите наличие Developer ID Application и Developer ID Installer. Если вы являетесь участником нескольких команд, вы можете увидеть несколько сертификатов для каждой команды.
297	297
298	298		Вы можете идентифицировать сертификаты по шестнадцатеричному номеру или описательному имени, например, "Developer ID Application: Your Name (AB123456DE)".
299	299
300	300		Десятизначный буквенно-цифровой код в конце вашего имени — это Developer Team ID (идентификатор вашей команды разработчиков). Если вы являетесь членом нескольких команд разработчиков, у вас будет несколько сертификатов, и идентификатор команды поможет вам отличить их.
301	301
302	302		## См.также
303	303
304	304		- [[macOS Big Sur changes for developers\|Подписание кода: Intel в сравнеии Apple Silicon]]
305	305		- [[Apple Developer Certificates]]
306	306		- [[Notarization for macOS 10.14.5+]]
307	307		- [[Hardened runtime for macOS]]
308	308		- [[Sandboxing for macOS]]
309	309		- [[Signing and Notarization FAQ]]
310	310		- [[macOS Gatekeeper Debugging Tips]]
311	311
312	312		## Внешние ссылки
313	313
314	314		- [Apple Developer portal](https://developer.apple.com/)
315	315		- [Apple: Code Signing Overview](https://developer.apple.com/support/technical/code-signing/)
316	316		- [Apple: Code Signing Guide](https://developer.apple.com/library/mac/documentation/Security/Conceptual/CodeSigningGuide/)
317	317		- [Apple: TN2206 - macOS Code Signing In Depth](https://developer.apple.com/library/archive/technotes/tn2206/_index.html)
318	318		- [Apple: Code signing x86_64 binaries on aarch64](https://developer.apple.com/forums/thread/673323).
319	319
320	320		---
321	321		From the Free Pascal wiki, page "Code Signing for macOS/ru", as it stood on 2022-02-28 after a change by Alextp, out of the wiki's dump of 2024-05-26. Copyright stays with the author who wrote it, according to the old wiki's [[Licensing]] page. If you have concerns about this material, [message the admin](/wiki-contact).

Back to history