Cómo macOS comprueba las aplicaciones que abres

Cada vez que abres una aplicación por primera vez, macOS ejecuta una breve serie de comprobaciones antes de permitir que se inicie. La mayoría de las veces nunca los ves; Sólo te das cuenta cuando uno de ellos detiene algo. Esta lección sigue lo que realmente sucede, utilizando la propia descripción de Apple de cada paso.

Firma de código: demostrar quién lo construyó

La documentación de seguridad de Apple explica que en macOS, “la firma del código la realiza el desarrollador utilizando su certificado de ID de desarrollador (emitido por Apple). La verificación de esta firma demuestra al usuario que el software de un desarrollador no ha sido manipulado desde que el desarrollador lo creó y firmó”. Una firma no dice que la aplicación sea segura; dice que la aplicación es el archivo exacto que produjo el desarrollador, sin modificar desde entonces.

Notarización: el cheque propio de Apple

La notarización es un paso adicional e independiente. Apple explica que “puede ser realizado por cualquier persona en la cadena de distribución de software y demuestra que a Apple se le ha proporcionado una copia del código para verificar [si hay contenido dañino], y no se encontró [software dañino conocido]. El resultado de la notarización es un ticket, que se almacena en los servidores de Apple y, opcionalmente, se puede grapar a la aplicación”. Desde macOS Catalina, esta verificación se aplica de forma predeterminada a casi todo lo que abre, independientemente de la forma en que llegó a su Mac.

Gatekeeper: el control que se ejecuta al abrir una aplicación

Gatekeeper es lo que realmente aplica estos resultados en el momento en que haces doble clic en algo. Apple lo describe como diseñado "para ayudar a garantizar que solo se ejecute software confiable en la Mac de un usuario". Cuando un usuario descarga y abre una aplicación, un complemento o un paquete de instalación desde fuera de la App Store, Gatekeeper verifica que el software sea de un desarrollador identificado, que esté certificado ante notario de Apple como libre de [contenido dañino conocido] y que no haya sido modificado. Gatekeeper también solicita la aprobación del usuario antes de abrir el software descargado por primera vez para asegurarse de que no se haya engañado al usuario para que ejecute un código ejecutable que creía que era simplemente un archivo de datos”. Esa es la alerta que aparece la primera vez que abre algo descargado de Internet.

1. Descargas una aplicación desde fuera de la App Store y haces doble clic en ella.
2. Gatekeeper comprueba la firma del desarrollador y busca el ticket de certificación notarial de Apple.
3. Si las comprobaciones pasan, macOS aún le pedirá que confirme que desea abrirlo la primera vez.
4. Si Apple revocó la aplicación o no funciona nada, macOS se niega a abrirla y le dice por qué.

XProtect: observar después de que se haya ejecutado la aplicación

La última capa funciona después del hecho. La guía de Apple describe XProtect como la “tecnología antivirus incorporada de macOS para la detección y eliminación basada en firmas de [software dañino conocido]”, que “comprueba el contenido [dañino] conocido cada vez que: se inicia una aplicación por primera vez, se cambia una aplicación, [o] se actualizan las firmas de XProtect”, y Apple actualiza esas firmas automáticamente, independientemente de las actualizaciones completas del sistema. Si encuentra una amenaza conocida, Apple explica que "la bloquea y la mueve a la Papelera". Luego alerta al usuario en el Finder.