Verificar que el software de macOS está firmado, notariado y sin modificar: spctl, codesign, stapler

Objetivo

Antes de ejecutar software obtenido fuera de la App Store — una imagen de disco descargada, un instalador construido por un pipeline, un binario obtenido por otro agente — confirmar que está firmado, notariado por Apple y sin alterar desde la firma, usando únicamente comandos de inspección. Este es un procedimiento de verificación; desactivar estas comprobaciones en software que no es de confianza queda fuera de alcance.

Requisitos previos

Acceso a Terminal; la ruta al .app, paquete o imagen de disco del software.

Pasos

1. Pedir a Gatekeeper su veredicto, la misma comprobación que macOS realiza en el primer inicio: spctl --assess --type execute -v /Applications/Example.app. Un resultado correcto imprime accepted e indica el origen, como Notarized Developer ID; un fallo indica el motivo.
2. Comprobar la integridad interna de la firma de código, incluidos todos los bundles y frameworks anidados: codesign --verify --deep --strict --verbose=2 /Applications/Example.app. Una salida que termina en valid on disk y satisfies its Designated Requirement significa que nada cambió desde la firma.
3. Inspeccionar quién lo firmó y la cadena de certificados: codesign -dv --verbose=4 /Applications/Example.app.
4. Confirmar que el ticket de notarización de Apple está adjunto físicamente, para que la comprobación también funcione sin conexión: xcrun stapler validate /Applications/Example.app.
5. Comprobar de dónde vino el archivo antes de confiar más en él: xattr -p com.apple.quarantine /path/to/file muestra el atributo de cuarentena que Safari, Mail y aplicaciones similares adjuntan al descargar, incluida una marca de tiempo y el agente de origen.
6. Tratar un fallo en cualquiera de los pasos 1 a 4 como condición de parada: no ejecutar el software, y si afirma proceder de un proveedor conocido, verificarlo mediante un canal independiente — la suma de comprobación o la identidad de firma publicada por el propio proveedor — antes de continuar.

Resultado esperado

Las cuatro comprobaciones se superan y coinciden en la misma identidad de firma; cualquier discrepancia — spctl acepta pero la identidad es inesperada, o stapler no encuentra ticket para un software que afirma estar notariado — es motivo para detenerse e investigar en lugar de continuar.

Límites y base de verificación

La sintaxis de spctl, codesign y xattr procede de una referencia de comandos, ya que Apple no publica las opciones de estas herramientas como página web; el mecanismo de ticket de notarización y de stapling está documentado en la documentación para desarrolladores de Apple sobre notariar software de macOS y personalizar el flujo de notarización. Estas comprobaciones confirman que el software coincide con lo firmado y notariado; no dicen nada sobre si el contenido firmado es en sí mismo inofensivo.