Как подписывать приложения для macOS Catalina 10.15 / Хабр

Что нужно для работы с кэп на macos

Работать с электронной подписью не получится без программы КриптоПро CSP определенной версии. Как установить ее на компьютер, мы расскажем ниже. 

Если вы планируете работать с подписью на носителе — безопаснее использовать токены, например, Рутокен лайт, Рутокен ЭЦП 2.0 или Джакарты LT и SE. Если в макбуке нет порта для USB, то нужен будет переходник для type c или токен с таким разъемом.

Введение

В новой версии macOS Apple сделала обязательными некоторые требования к приложениям, которые раньше были рекомендациями: 64-битные исполняемые файлы, подписывание и нотаризация. Не удовлетворяющие этим требованиям приложения больше запускаться не будут.

Это сделано для того, чтобы обезопасить работу пользователей и предотвратить распространение зловредных программ, но в то же время это сильно усложняет жизнь, особенно тем людям, для которых Mac не является основной платформой разработки, но которые тем не менее хотели бы начать или продолжить поддержку Mac.

Особенно актуально это для разработчиков игр, публикующих игры для Mac в Steam. До недавних изменений игры, запущенные из Steam, не нужно было подписывать и подвергать нотаризации, но теперь они должны подчиняться тем же правилам, что и все остальные.

Я только что закончил разбираться с тем, как реализовать соответствие этим требованиям для моей игры Airships: Conquer the Skies. Airships работают на Java, а потому требуют ещё и JVM, но в целом всё остальное будет применимо для большинства разработчиков.

Вот что я узнал о подписывании и нотаризации приложения для Mac, которое не было скомпилировано непосредственно Xcode. Учтите, что информация получена из моих собственных исследований и может быть точной не на 100%. Вопросы и поправки приветствуются.

Xcode и инструменты

Установите Xcode через App Store компьютера Mac. Затем установите также инструменты командной строки Xcode с

Где купить электронную подпись на mac

Электронную подпись можно приобрести в удостоверяющем центре, аккредитованном Минцифры РФ. Уточните у сотрудников центра, подходит ли их подпись для работы на MacOS.

Вы можете проверить это и самостоятельно. На сайте УЦ обычно можно найти требования к рабочему месту пользователя. Обратите внимание не только на саму операционную систему, но и ее версию. Если ЭП работает только на Windows, или ваша версия MacOS устарела, возникнут проблемы. В этом случае лучше обновить систему.

Получите электронную подпись для MacOS в Удостоверяющем центре Контура. Оформите заявку, наш менеджер свяжется с вами, чтобы обсудить детали.

Получить ЭП для MacOS

Двухфакторная аутентификация

Если у вас её ещё нет, включите двухфакторную аутентификацию для Apple ID. Это можно сделать с любого i-устройства или с Mac. На Mac перейдите в iCloud control panel настроек System Preferences. В верхней части должна быть панель, предлагающая включить 2FA.

Дополнение

• Пользователь Reddit AMemoryOfEternity задав вопрос на форумах разработчиков Steam и выяснилось, что пока для приложений Steam нотаризация вообще не требуется. Они должны быть 64-битными, но непонятно, обязательно ли их подписывать. Ссылка, требуется доступ к Steamworks
• Apple временно смягчила правила нотаризации, поэтому пока она позволяет нотаризировать приложения, не имеющие hardened runtime, имеющие подкомпоненты, не подписанные ID разработчика, не имеющие защитных меток времени, и т.д. Такие вещи всё равно будут отображаться в отчёте о нотаризации как предупреждения, поэтому чтобы позаботиться о будущем, лучше постараться от них избавиться.
• По информации Valve, для работы Steam API необходимо дать разрешение (entitlement) com.apple.security.cs.allow-dyld-environment-variables: «Steam инъектирует API dylib через DYLD_INSERT_LIBRARIES, которые по умолчанию блокируются hardened runtime, но сама API dylib подписана и должна проходить проверку, поэтому достаточно добавить разрешение „com.apple.security.cs.allow-dyld-environment-variables“, чтобы иметь возможность присвоения переменных окружения DYLD».

Идентификатор приложения

Возможно, вам понадобится зарегистрировать ID бандла приложения в бэкенде разработчика. ID бандла можно найти в YourApp.app/Contents/Info.plist. (Открывать бандлы приложений можно, нажав на них правой клавишей мыши и выбрав «Show Package Contents».) Идентификатор должен иметь вид com.yourcompanyname.applicationname, например, у моей игры Airships это com.zarkonnen.airships.

История вопроса

В этой статье рассматривается подписывание и нотаризация. Получение 64-битного исполняемого файла программы — это уже задача вашего компилятора или среды разработки.

В macOS приложения обычно упаковываются в bundle — папки, содержащие исполняемый файл, а также дополнительные ресурсы и метаданные. Подписывание бандла означает создание криптографичекой контрольной суммы содержимого бандла с последующим созданием криптографической подписи с сертификатом, которые Apple выпускает для разработчика.

Подпись — это заявление о том, что вы лично гарантируете правильное поведение приложения. Если содержимое бандла меняется, то меняется контрольная сумма, и подпись перестаёт им соответствовать, предупреждая операционную систему, что в бандл внесены несанкционированные изменения.

Подписывание приложений существовало много лет. Чуть позже приложения также стало необходимо нотаризировать. Нотаризация (notarization) означает, что вы отправляете подписанное приложение Apple, а компания выполняет дополнительные проверки и регистрирует приложение.

Это своего рода метафора работы с бумажными документами. Разработчик собирает в бандл все части, из которых состоит приложение. Затем он создаёт список всех элементов бандла (контрольную сумму) и подписывает этот список (цифровой подписью), которую приклеивает к бандлу.

Затем он передаёт подписанный бандл нотариусу господину Яблокову, который проверяет, всё ли в порядке с бандлом, а затем регистрирует его. Он даёт разработчику квитанцию, которую тот степлером прикрепляет к бандлу. То есть если разработчик сказал, что приложение безопасно, и господин Яблоков тоже говорит, что оно безопасно, то так скорее всего и есть.

Как подписать документ прямо на iphone или ipad

Как установить сертификат электронной подписи на mac os

Установить контейнер с сертификатом ЭП на компьютер можно с помощью программы cptools. Чтобы начать копирование:

1. Откройте Finder, в папке «Программы» найдите cptools и запустите ее.
2. В новом окне нажмите на кнопку «Показать расширенные».
3. Во вкладке «Контейнеры» выберите нужный контейнер из списка.
4. Нажмите кнопку «Скопировать контейнер как».
5. Придумайте название контейнера, а затем нажмите кнопку «Ок».
6. Программа спросит, куда вы хотите скопировать контейнер. В списке выберите пункт «Жесткий диск».
7. Чтобы защитить ЭП, вы можете установить на контейнер пароль. После этого нажмите кнопку «Ок», чтобы завершить копирование. 

Еще один способ установки сертификата ЭП на компьютер — с помощью сервиса Установочный диск:

Нотаризация

Подписав приложение, нужно предоставить его системам Apple для нотаризации, чтобы сказать: «смотрите, я подписал вот эту штуку».

Для этого надо сначала сжать приложение в специальный файл zip с помощью команды ditto:

/usr/bin/ditto -c -k –keepParent YourApp.app YourApp.zip

Простая упаковка приложения в zip при помощи Finder или командной строки не подойдёт.

Затем отправить zip для нотаризации:

xcrun altool –notarize-app –primary-bundle-id “<id>” -u “<appleid>” -p “<app-specific password>” –file YourApp.zip

Пример:

Пароль приложения

Для подписывания из командной строки вам понадобится пароль приложения, поэтому перейдите в

Подготовка приложения

Чтобы приложение правильно работало в новой системе, исполняемый файл и библиотеки должны быть 64-битными.

Кроме того, Mac OS выполняет операцию под названием «translocation»: из соображений безопасности перемещает запущенный бандл приложения в случайное место. В случае моего приложения это проявилось тем, что оно не смогло найти файлы данных, расположенные рядом с бандлом приложения. Можно получать исходное расположение бандла приложения, но я решил проблему, просто поместив всё в бандл.

Подписывание

Это процесс создания цифровой подписи, сообщающей: тот, кто имеет доступ к сертификату подписи, обещает, что данный конкретный бандл приложения надёжен и не зловреден. Любые изменения в бандле приложения (кроме прикрепления подтверждения нотаризации, см. выше) после его подписывания делают подпись недействительной и требуют повторного подписания бандла.

Также это означает, что ваше приложение при работе не должно менять ничего в содержимом бандла приложения, например, не помещать туда кэш.

Каждый исполняемый файл и динамическая библиотека в бандле приложения подписываются отдельно. В некоторых случаях библиотеки уже могут быть подписанными. То есть вежливее и спокойнее всего подписывать бандл, подписав каждый элемент по очереди, а затем подписать весь бандл. Если у какого-то элемента уже есть подпись, то она останется на своём месте.

Грубым, но эффективным способом будет принудительное глубокое подписание, то есть ваша подпись будет применена ко всем элементам бандла приложения, заменив все предыдущие подписи. Именно так мы и поступим, потому что это проще и потому, что предыдущие подписи могут быть недействительными или недостаточно сильными.

Вам понадобится следующая пугающая команда:

codesign -s “Developer ID Application: <YourName>” –timestamp –options runtime -f –entitlements entitlements.plist –deep YourApp.app

Опция –timestamp означает, что вместе с подписью встраивается действительная метка времени, которая необходима для успешной нотаризации.

Опция –options runtime означает, что подпись включает «hardened runtime», что также необходимо для успешной нотаризации.

Изучить подпись можно командой

codesign -d -vvvv YourApp.app

Также следует запустить приложение, чтобы убедиться, что оно продолжает работать после подписывания.

Если вы хотите подписывать элементы более вежливым образом, то уберите из команды -f и –deep, сначала подпишите все исполняемые файлы и библиотеки внутри приложения, а потом всё приложение.

Покупка членства

Выполните вход в

Прикрепление

Наконец, «пристеплерим» подтверждение нотаризации к бандлу приложения, чтобы её мог проверять даже Mac без подключения к Интернету. Для этого необходимо выполнить на удивление короткую команду:

xcrun stapler staple “YourApp.app”

Поздравляю, вы подписали и нотаризировали приложение для Mac. Теперь вы можете распространять бандл приложения любым удобным вам способом, если он не будет изменяться в процессе.

Работа с криптопро csp в mac os

Если вы устанавливали электронную подпись на компьютер с помощью Установочного диска Контура, программа автоматически установила и необходимую версию КриптоПро. В этом случае вы можете сразу приступать к работе с подписью.

Если вы устанавливали сертификат ЭП самостоятельно, чтобы установить программу КриптоПро:

Разрешения (entitlements)

Это особые разрешения, добавляемые разработчиком вместе с подписью кода, позволяющие подписанным приложениям выполнять определённые действия. Если вы компилируете приложение при помощи Xcode, то он сделает всё самостоятельно; в противном случае вам потребуется создать файл plist, содержащий все нужные вам entitlements. Файлы plist можно создавать при помощи Xcode, а по адресу

Требования

Что необходимо для подписывания и нотаризации приложения:

Электронная подпись для apple ios (ipad, iphone)