Comment macOS vérifie les applis que vous ouvrez

Chaque fois que vous ouvrez une appli pour la première fois, macOS effectue une courte série de vérifications avant de la laisser démarrer. La plupart du temps, vous ne les voyez jamais ; vous ne les remarquez que lorsque l’une d’elles arrête quelque chose. Cette leçon suit ce qui se passe réellement, en utilisant la propre description d’Apple pour chaque étape.

La signature de code : prouver qui l’a créée

La documentation de sécurité d’Apple explique que sur macOS, « la signature de code est effectuée par le développeur à l’aide de son certificat Developer ID (délivré par Apple). La vérification de cette signature prouve à l’utilisateur que le logiciel d’un développeur n’a pas été altéré depuis que ce développeur l’a compilé et signé. » Une signature ne dit pas que l’appli est sûre ; elle dit que l’appli est exactement le fichier que ce développeur a produit, non modifié depuis.

La notarisation : la propre vérification d’Apple

La notarisation est une étape séparée et supplémentaire. Apple explique qu’elle « peut être effectuée par n’importe qui dans la chaîne de distribution du logiciel et prouve qu’une copie du code a été fournie à Apple pour vérification [de contenu nuisible], et qu’aucun [logiciel nuisible connu] n’a été trouvé. Le résultat de la notarisation est un ticket, stocké sur les serveurs d’Apple et pouvant être éventuellement agrafé à l’appli. » Depuis macOS Catalina, cette vérification s’applique par défaut à presque tout ce que vous ouvrez, quelle que soit la façon dont c’est arrivé sur votre Mac.

Gatekeeper : la vérification qui s’exécute quand vous ouvrez une appli

Gatekeeper est ce qui applique réellement ces résultats au moment où vous double-cliquez sur quelque chose. Apple le décrit comme conçu « pour aider à garantir que seul un logiciel de confiance s’exécute sur le Mac d’un utilisateur. Quand un utilisateur télécharge et ouvre une appli, un plug-in, ou un paquet d’installation depuis l’extérieur de l’App Store, Gatekeeper vérifie que le logiciel provient d’un développeur identifié, qu’il a été notarisé par Apple comme étant exempt de [contenu nuisible connu], et qu’il n’a pas été altéré. Gatekeeper demande aussi l’approbation de l’utilisateur avant d’ouvrir un logiciel téléchargé pour la première fois, afin de s’assurer que l’utilisateur n’a pas été trompé pour exécuter du code exécutable qu’il croyait être un simple fichier de données. » C’est l’alerte que vous voyez la première fois que vous ouvrez quelque chose téléchargé depuis Internet.

1. Vous téléchargez une appli depuis l’extérieur de l’App Store et double-cliquez dessus.
2. Gatekeeper vérifie la signature du développeur et recherche le ticket de notarisation d’Apple correspondant.
3. Si les vérifications réussissent, macOS vous demande quand même de confirmer que vous voulez l’ouvrir la première fois.
4. Si Apple a révoqué l’appli, ou si quelque chose ne concorde pas, macOS refuse de l’ouvrir et vous dit pourquoi.

XProtect : surveiller après que l’appli a tourné

La dernière couche agit après coup. Le guide d’Apple décrit XProtect comme la technologie antivirus intégrée de macOS « pour la détection et la suppression basées sur signatures de [logiciels nuisibles connus] », qui « vérifie la présence de contenu [nuisible] connu chaque fois : qu’une appli est lancée pour la première fois, qu’une appli a été modifiée, [ou] que les signatures XProtect sont mises à jour », Apple mettant à jour ces signatures automatiquement, indépendamment des mises à jour complètes du système. S’il trouve une menace connue, Apple explique qu’il « la bloque et la déplace vers la Corbeille. Puis il alerte l’utilisateur dans le Finder. »