كيف يفحص macOS التطبيقات التي تفتحها

في كل مرة تفتح فيها تطبيقًا لأول مرة، يجري macOS سلسلة قصيرة من الفحوصات قبل السماح له بالبدء. في معظم الأحيان لا تراها أبدًا؛ ولا تلاحظها إلا عندما توقف إحداها شيئًا ما. يتتبع هذا الدرس ما يحدث فعليًا، مستخدمًا وصف Apple نفسها لكل خطوة.

توقيع الشيفرة: إثبات من صنعها

توضح وثائق أمان Apple أنه في macOS، «يقوم المطوّر بتوقيع الشيفرة باستخدام شهادة Developer ID الخاصة به (الصادرة عن Apple). والتحقق من هذا التوقيع يثبت للمستخدم أن برنامج المطوّر لم يُعبَث به منذ أن بناه المطوّر ووقّعه.» التوقيع لا يقول إن التطبيق آمن؛ بل يقول إن التطبيق هو الملف بعينه الذي أنتجه ذلك المطوّر، دون تعديل منذ ذلك الحين.

التوثيق (notarization): فحص Apple الخاص

التوثيق خطوة منفصلة وإضافية. توضح Apple أنه «يمكن أن يقوم به أي شخص في سلسلة توزيع البرامج، ويثبت أن Apple زُوِّدت بنسخة من الشيفرة لفحصها [بحثًا عن محتوى ضار]، ولم يُعثر على [برمجيات ضارة معروفة]. ناتج التوثيق هو تذكرة تُخزَّن على خوادم Apple ويمكن اختياريًا إرفاقها بالتطبيق.» ومنذ إصدار macOS Catalina، ينطبق هذا الفحص افتراضيًا على كل ما تفتحه تقريبًا، أيًا كانت الطريقة التي وصل بها إلى جهاز Mac الخاص بك.

Gatekeeper: الفحص الذي يجري عند فتح تطبيق

Gatekeeper هو من يطبّق فعليًا هذه النتائج لحظة نقرك المزدوج على شيء ما. تصفه Apple بأنه مصمَّم «للمساعدة على ضمان ألا يعمل على جهاز Mac الخاص بالمستخدم سوى برامج موثوقة. عندما يقوم المستخدم بتنزيل تطبيق أو ملحق أو حزمة تثبيت من خارج App Store وفتحه، يتحقق Gatekeeper من أن البرنامج قادم من مطوّر معروف الهوية، وأنه موثَّق من Apple وخالٍ من [محتوى ضار معروف]، ولم يُعدَّل. كما يطلب Gatekeeper موافقة المستخدم قبل فتح برنامج تم تنزيله لأول مرة، للتأكد من أن المستخدم لم يُخدَع لتشغيل شيفرة قابلة للتنفيذ ظن أنها مجرد ملف بيانات.» هذا هو التنبيه الذي تراه أول مرة تفتح فيها شيئًا تم تنزيله من الإنترنت.

1. تنزّل تطبيقًا من خارج App Store وتنقر عليه نقرًا مزدوجًا.
2. يتحقق Gatekeeper من توقيع المطوّر ويبحث عن تذكرة توثيق Apple الخاصة به.
3. إذا اجتاز الفحوصات، لا يزال macOS يطلب منك تأكيد رغبتك في فتحه أول مرة.
4. إذا كانت Apple قد ألغت التطبيق، أو لم يجتز أي فحص، يرفض macOS فتحه ويخبرك بالسبب.

XProtect: المراقبة بعد تشغيل التطبيق

الطبقة الأخيرة تعمل بعد وقوع الحدث. يصف دليل Apple تقنية XProtect بأنها تقنية macOS «المدمجة لمكافحة الفيروسات، للكشف عن [البرمجيات الضارة المعروفة] وإزالتها استنادًا إلى التوقيعات (signatures)»، والتي «تتحقق من وجود محتوى ضار معروف كلما: تم تشغيل تطبيق لأول مرة، أو تغيّر تطبيق، أو [تم] تحديث توقيعات XProtect»، إذ تحدّث Apple تلك التوقيعات تلقائيًا، بشكل مستقل عن تحديثات النظام الكاملة. وإذا عثرت على تهديد معروف، توضح Apple أنها «تحجبه وتنقله إلى سلة المهملات. ثم تنبّه المستخدم في Finder.»