DMG Canvas 3 fait passer les apps devant le notaire de macOS
DMG Canvas est un outil spécialisé qui intéressera surtout les développeurs d’apps macOS. Il permet de créer un DMG, un format d’image disque souvent utilisé au téléchargement d’une app. Le système d’Apple contient tout ce qu’il faut pour le faire, mais cet outil permet d’en créer de plus utiles, avec des graphismes et surtout des explications sur la marche à suivre pour l’installation.
Cet utilitaire est ancien, mais la dernière version sortie en septembre dernier ajoute une fonction bien utile : DMG Canvas peut désormais « notariser » l’image disque et les applications qu’elle contient. Pour rappel, Apple a ajouté une sécurité supplémentaire à macOS Mojave : un notaire qui certifie les apps soumises par les développeurs et vérifie, via les serveurs de l’entreprise, qu’elles n’ont pas été modifiées à l’insu du développeur. Cette étape va devenir obligatoire au début de l’année prochaine et DMG Canvas pourra aider les développeurs à s’en sortir.
Pour que la validation sur les serveurs d’Apple fonctionne, un compte développeur payant est nécessaire. Il faudra aussi créer un mot de passe de ce compte spécifique à DMG Canvas, comme c’est expliqué à cette adresse. Ensuite, si tout va bien, l’utilitaire doit se charger d’envoyer les fichiers sur les serveurs, les faire signer et récupérer les nouvelles versions, notarisées et prêtes à être distribuées. Notons que les apps créées à partir de script en AppleScript sont aussi gérées, ce qui n’est en général pas le cas.
Toutes ces étapes peuvent se faire depuis l’interface graphique de DMG Canvas, qui a d’ailleurs été mise à jour pour macOS Catalina et qui gère le mode sombre. Vous pouvez également privilégier l’outil en ligne de commande fourni en même temps et qui est particulièrement utile pour les processus de compilation ou déploiement automatisés.
DMG Canvas 3 est une mise à jour payante, sauf si vous aviez acheté une licence à partir du mois de mars 2019. Comptez sinon 10 $ à partir de la version 2, ou bien 20 $ pour une nouvelle licence. Une version de démonstration est proposée sur le site officiel, elle permet de tester l’app avec une partie des fonctions seulement. Tout le volet signature de code et notarisation est payant.
L’interface de DMG Canvas n’est pas traduite en français et l’app nécessite macOS 10.12 au minimum.
Je confirme que DMG Canvas 3 réalise bien le job de "notarization".
Si le processus se passe bien, Apple envoie un mail "Your Mac software has been notarized".
Ensuite, le DMG notarié s'ouvre normalement sous Catalina même si seule l'option "App Store" est cochée dans les préférences système > Sécurité et confidentialité, ce qui est tout de même une preuve d'ouverture de la part d'Apple vis à vis des applications distribuées hors de l'AppStore.
@switch
Distribué hors des store officiel, mais passant quand-même sous le contrôle d'Apple... Ce qui peut être vu comme quelque chose de négatif, Apple contrôle toujours le feu vert, ou comme quelque-chose de positif, Apple peu révoquer une app corrompu tout en laissant la possibilité au développeur de la distribuer lui même sans commission... (Reste plus qu'à espérer que les app ne se fassent pas révoquer pour un oui ou pour un non 😛)
Oui c'est à double tranchant.
Il faudrait savoir si il y à des humains derrière le processus de "notarization" qui installent les applications pour savoir si du code malveillant s'exécute. Vu le nombre de requêtes quotidiennes, c'est très improbable.
Comme il n'est pas possible de connaître et faire tourner tout le code source d'une application (sauf à le décompiler, chose peut-être possible à Cupertino ?), je suppose que le processus actuel est entièrement automatisé et teste si les fichiers s'installent dans les emplacements "autorisés" puis utilise ensuite le moteur d'analyse de XProtect (analyse heuristique des menaces déjà connues, sans alerte sur les nouvelles menaces), avec une "alerte" qui sera analysée manuellement si quelque chose d'anormal est détecté.
@switch
Je pense globalement comme vous, à mon avis l’intérêt supplémentaire et qu’en révoquant le certificat, l’exécution de l’application révoquée sera bloquée rapidement sur tout le parc Apple, permettant une réponse rires rapide pour bloquer une menace.
Merci beaucoup pour l’article, je cherchais ce genre d’application !
Vu que la validation de l’app se fait en environ une à deux minutes, je doute qu’elle soit manuelle ;-)
« un notaire qui certifie les apps soumises par les développeurs et vérifie, via les serveurs de l’entreprise, qu’elles n’ont pas été modifiées à l’insu du développeur »
Wow , cela veut dire que pour ouvrir un .dmg il faut une connexion internet pour qu’osx check le fichier pour le comparer à la version officielle ? Ou j’ai mal compris le truc ?
@calotype
Non, une connexion internet n'est normalement pas nécessaire pour ouvrir un .dmg ou lancer une application, il suffit de vérifier la signature du notaire qui est incluse avec. Mais dans certains cas (anciennes applications passées chez le notaire à postériori, sans que le .dmg ne soit modifié car déjà distribué aux clients), le .dmg peut ne pas comporter cette signature, et dans ce cas-là oui, il faut une connexion internet pour interroger le notaire directement.