Prüfen, ob macOS-Software signiert, notarisiert und unverändert ist: spctl, codesign, stapler

Ziel

Vor dem Ausführen von Software, die nicht aus dem App Store stammt (ein heruntergeladenes Disk-Image, ein von einer Pipeline gebauter Installer, eine von einem anderen Agenten geladene Binärdatei), ist mit reinen Inspektionsbefehlen zu bestätigen, dass sie code-signiert, von Apple notarisiert und seit der Signatur unverändert ist. Es handelt sich um ein Prüfverfahren; das Deaktivieren dieser Kontrollen bei Software, der nicht vertraut wird, ist nicht Gegenstand dieses Verfahrens.

Voraussetzungen

Zugriff auf das Terminal; der Pfad zur .app, zum Paket oder zum Disk-Image der Software.

Schritte

1. Gatekeeper nach seinem Urteil fragen, also nach derselben Prüfung, die macOS beim ersten Start durchführt: spctl --assess --type execute -v /Applications/Example.app. Bei Erfolg erscheint accepted samt Angabe der Quelle, etwa Notarized Developer ID; bei einem Fehler wird der Grund genannt.
2. Die interne Integrität der Code-Signatur einschliesslich aller verschachtelten Bundles und Frameworks prüfen: codesign --verify --deep --strict --verbose=2 /Applications/Example.app. Endet die Ausgabe mit valid on disk und satisfies its Designated Requirement, hat sich seit der Signatur nichts verändert.
3. Den Signierenden und die Zertifikatskette untersuchen: codesign -dv --verbose=4 /Applications/Example.app.
4. Prüfen, ob das Notarisierungs-Ticket von Apple fest angeheftet ist, sodass die Prüfung auch offline funktioniert: xcrun stapler validate /Applications/Example.app.
5. Vor weiterem Vertrauen die Herkunft der Datei prüfen: xattr -p com.apple.quarantine /path/to/file zeigt das Quarantäne-Attribut, das Safari, Mail und ähnliche Apps beim Download setzen, samt Zeitstempel und herunterladender Anwendung.
6. Einen Fehlschlag in einem der Schritte 1–4 als Abbruchbedingung behandeln: Die Software nicht ausführen und, falls sie von einem bekannten Hersteller zu stammen vorgibt, über einen unabhängigen Kanal verifizieren, etwa über die vom Hersteller selbst veröffentlichte Prüfsumme oder Signaturidentität, bevor es weitergeht.

Erwartetes Ergebnis

Alle vier Prüfungen sind erfolgreich und stimmen in der Signaturidentität überein. Jede Abweichung, etwa wenn spctl die Software akzeptiert, die Identität aber unerwartet ist, oder wenn stapler kein Ticket für angeblich notarisierte Software findet, ist ein Grund, anzuhalten und nachzuforschen, statt fortzufahren.

Grenzen und Prüfbasis

Die Syntax von spctl, codesign und xattr stammt aus einer Befehlsreferenz, da Apple diese Optionen nicht als Webseite veröffentlicht. Das Notarisierungs-Ticket und der Stapling-Mechanismus sind in Apples Entwicklerdokumentation zum Notarisieren von macOS-Software und zum Anpassen des Notarisierungs-Workflows beschrieben. Diese Prüfungen bestätigen, dass die Software dem entspricht, was signiert und notarisiert wurde; sie sagen nichts darüber aus, ob der signierte Inhalt selbst unbedenklich ist.