Як macOS перевіряє програми, які ви відкриваєте

Щоразу, коли ви відкриваєте програму вперше, macOS виконує коротку серію перевірок, перш ніж дозволити їй запуститися. Здебільшого ви ніколи їх не бачите; ви помічаєте лише коли хтось із них щось зупиняє. Цей урок розповідає про те, що насправді відбувається, використовуючи власний опис кожного кроку від Apple.

Підписання коду: доказ того, хто його створив

У документації безпеки Apple пояснюється, що в macOS «підписання коду виконується розробником за допомогою сертифіката ідентифікатора розробника (виданого Apple). Перевірка цього підпису доводить користувачеві, що програмне забезпечення розробника не було змінено з того часу, як розробник створив і підписав його». Підпис не означає, що програма безпечна; у ньому сказано, що програма – це саме той файл, який створив розробник, незмінений з тих пір.

Нотаріальне засвідчення: власний чек Apple

Нотаріальне посвідчення є окремим, додатковим кроком. Apple пояснює, що це «може виконати будь-хто в ланцюжку розповсюдження програмного забезпечення та доводить, що Apple надала копію коду для перевірки [на наявність шкідливого вмісту], і жодного [відомого шкідливого програмного забезпечення] не виявлено. Результатом нотаріального засвідчення є квиток, який зберігається на серверах Apple і може бути за бажанням прикріплений до програми». Починаючи з macOS Catalina, ця перевірка за замовчуванням застосовується майже до всього, що ви відкриваєте, незалежно від того, яким способом воно надходило на ваш Mac.

Gatekeeper: перевірка, яка запускається, коли ви відкриваєте програму

Gatekeeper — це те, що фактично застосовує ці результати в момент, коли ви двічі клацаєте щось. Apple описує його як розроблений, щоб «допомогти гарантувати, що лише надійне програмне забезпечення працює на Mac користувача». Коли користувач завантажує та відкриває програму, плагін або пакет інсталятора за межами App Store, Gatekeeper перевіряє, що програмне забезпечення походить від ідентифікованого розробника, нотаріально засвідчене компанією Apple як вільне від [відомого шкідливого вмісту] та не було змінено. Gatekeeper також запитує схвалення користувача перед першим відкриттям завантаженого програмного забезпечення, щоб переконатися, що користувач не був обманом запущений виконуваний код, який, на його думку, є просто файлом даних». Це сповіщення, яке ви бачите, коли вперше відкриваєте щось, завантажене з Інтернету.

1. Ви завантажуєте програму не з App Store і двічі клацаєте її.
2. Gatekeeper перевіряє підпис розробника та шукає для нього нотаріальний квиток Apple.
3. Якщо перевірку пройдено, macOS все одно попросить вас підтвердити, що ви хочете відкрити її вперше.
4. Якщо Apple відкликала програму або нічого не перевіряється, macOS відмовляється відкривати її та повідомляє вам, чому.

XProtect: спостереження після запуску програми

Останній шар працює постфактум. Посібник Apple описує XProtect як «вбудовану антивірусну технологію macOS для виявлення на основі сигнатур і видалення [відомого шкідливого програмного забезпечення]», яка «перевіряє відомий [шкідливий] вміст кожного разу, коли: програма запускається вперше, програма змінюється [або] сигнатури XProtect оновлюються», при цьому Apple автоматично оновлює ці сигнатури, незалежно від повних оновлень системи. Якщо Apple виявляє відому загрозу, Apple пояснює, що «блокує її та переміщує в кошик». Потім він попереджає користувача у Finder.