Signierte Mac-Software muss bald von Apple beglaubigt werden

[FritzS]

https://www.heise.de/mac-and-i/meld...bald-von-Apple-beglaubigt-werden-4198267.html

Um macOS-Software abzusichern, die außerhalb des Mac App Store vertrieben wird, soll der Notar-Dienst des Herstellers alle signierten Apps vorab analysieren.

Wie werden MacPorts, Homebrew, Fink damit umgehen können?
Was ist mit selbst kompilierter Software aus den OpenSourceQuellen?
Was ist mit unsignierter Software, die man bisher auch freischalten konnte?

 

[dg2rbf]

Hi,
oh Man(n), es wird immer schlimmer, bzw Verschlimbessert bei Apple.

Franz

 

[Martin Wendel]

Was ist mit unsignierter Software, die man bisher auch freischalten konnte?

Nichts, und damit beantworten sich wohl auch deine übrigen Fragen. Es geht nur um signierte Programme.

 

[FritzS]

Ist eine Installation unsignierter Software weiterhin möglich - trotz restriktiver Gatekeeper Einstellungen?
Reicht da weiterhin ein mit Rechter-Maustaste öffnen und im Dialog + PW freischalten?

Oder diese zwei Zeilen im Terminal

sudo xattr -d com.apple.quarantine /Applications/......
sudo spctl --add --label "My Stuff" /Applications/.......

.
Z.B. soll XLD weiterhin laufen können.

 

[Macbeatnik]

Es dreht sich nur um Software, deren Entwickler ein Zertifikat zur Signierung gekauft haben und von den der unbedarfte Nutzer dann eben ausgehen kann, das diese Software ok ist. Da es in der Vergangenheit dabei einige schwarze Schafe gab, wird jetzt neben der Signierung eben auch noch eine zusätzliche Kontrolle eingebaut.
Unsignierte Software steht gar nicht zur debatte( noch nicht).

 

[FritzS]

Unsignierte Software steht gar nicht zur debatte( noch nicht).

Und wird es hoffentlich auch bleiben!

PS: Bin schon gespannt, was da an neuen Macs kommen wird. Meines Wissens am 30. könnte es soweit sein!

 

[Scotch]

Ist eine Installation unsignierter Software weiterhin möglich - trotz restriktiver Gatekeeper Einstellungen?

Ist es doch auch heute schon - oder wie installierst du bottles, casks, Java-/Python-/... packages? Brew, Anaconda, pip, npm... die laufen alle am Gatekeeper vorbei. Im Prinzip alles, was nicht den Apple-Installer benutzt.

Es dreht sich nur um Software, deren Entwickler ein Zertifikat zur Signierung gekauft haben und von den der unbedarfte Nutzer dann eben ausgehen kann, das diese Software ok ist.

Nicht mit einem vom Königreich-Apple gegen Geld signiert != nicht signiert. Oder was glaubst du, wofür die seriösen Package-Manager bei ihrer Installation bzw. dem Einbinden neuer Queller aufwändig Zertifikate generieren, herunterladen und installieren? Wäre ja sträflicher Leichtsinn, z.B. mit brew unsignierte Pakete zu installieren.

Apple versucht hier schlicht und einfach Entwickler mit Selbstverständlichkeiten abzuzocken und die alleinige Kontrolle über den Vertriebskanal zu bekommen - mit iOS von Anfang an und jenseits von Jailbreaks mit 100% Erfolg. Bei macOS, welches sich mal ganz normal wie jedes andere Betriebssystem entwickelt hat nicht - und dass es da seriöse Hersteller mit nicht zu vernachlässigenden Umsätzen gibt, die keine 30% an Apple für die SW-Verteilung abdrücken ist Apple natürlich ein Dorn im Auge. Das Argument "unsichere Software" zieht da nicht, schließlich reden wir da auch von Herstellern wie Adobe, Microsoft usw. Man kann keinem Benutzer verkaufen, dass Photoshop plötzlich eine gefährliche SW ist, weil es nicht aus dem MAS kommt, aber die letzten 20 Jahre war es OK...

Der ganze Rest der Betriebssystemwelt zeigt zeigt, dass man vertrauenswürdige Software problemlos ohne dass der OS-Hersteller, der die Hand aufhält verteilen kann. Signierte und authentifizierte Software ist ja nun nicht gerade eine neue Erfindung. Machen wir seit jemand binary groups im UUNET erfunden hat (falls sich mal jemand wundert, was es mit den ganzen MD5 Zeichenkolonnen auf sich hat, die man auf jeder seriösen SW-Verteilungsplattform findet).

 

[Macbeatnik]

Ymmd

 

[FritzS]

Dass die einzelnen Pakete die z.B. über MacPorts angeboten werden, signiert sind bzw. deren Checksum abgefragt wird, sieht man schon in deren Port File

Beispiel gnupg2, BIND (ISC)
https://github.com/macports/macports-ports/blob/master/mail/gnupg2/Portfile
https://github.com/macports/macports-ports/blob/master/net/bind9/Portfile

ISC nutzt z.B. OpenPGP public key
https://www.isc.org/downloads/
https://ftp.isc.org/isc/bind9/keys/9.11/

Im Terminal lässt es sich jedenfalls beobachten, dass die heruntergeladenen Sourcen, Dateien vor dem Kompilieren, Installieren überprüft werden.

Aber das hat mit Apples System nichts zu tun, das kommt aus der OpenSource Linux/UNIX Umwelt.