macOS Catalina : coup de mou pour la notarisation des applications
Le notaire d'Apple est un peu fatigué de tamponner toutes les nouvelles applications pour macOS. Plusieurs développeurs se plaignent sur Twitter que l'opération de certification de leurs apps (un processus à réaliser depuis Xcode) soit très long : cela peut demander plusieurs heures alors qu'habituellement, le processus est accompli en une heure tout au plus.
Il va falloir que le constructeur muscle sérieusement ses serveurs, car depuis macOS Catalina, toutes les apps distribuées en dehors du Mac App Store doivent avoir reçu leur estampille pour s'installer par défaut. Le processus permet de s'assurer que le logiciel ne contient pas de composants malveillants. Les apps disponibles dans la boutique d'Apple sont bien sûr certifiées.
La page de statut des services pour les développeurs confirme qu'il y a bien un problème avec la notarisation, le tuyau devrait donc être débouché sous peu. Les utilisateurs sûrs et certains de l'innocuité d'un logiciel non notarié peuvent toujours contourner cette protection (control-clic ou clic droit sur l'icône de l'app, puis sélectionnez Ouvrir).
iOS 13 et Catalina sont dans un bateau. Le bateau coule.
C’est tout y’a pas de chute à cette blague.
@Soner
😄🤔😭
@John McClane
J'ai envie de report le post... Il n'y a pas la loutre
@Soner
🤣
@Soner
J’ai d’abord pensé que la blague manquait de profondeur, mais non en fait.
Je préfère que ça dure quelques heures en plus et avoir des applications vérifiées plutôt que du n’importe quoi
cela reste une sévère restriction à la distribution d'applications pour des développeurs.
@oomu
et l'utilisation, puisque que l'autorisation de s'exécuter peut être révoquée à postériori, à n'importe quel moment. Ou parce que le développeur n'a pas renouvelé sa dime annuelle, à l'occasion...
Et p'tet bien qu'un jour, toujours sous couvert de sécurité, l'option d'accepter de démarrer quand même l'application malgré l'avertissement qui fait peur (alors qu'en pratique rien ne permet de prouver que le risque est réel ou pas puisque, comme souligné, "on ne sait pas", mais dans le doute on va dire que comme on sait pas, c'est forcément une ménace) ne sera plus accessible, du moins pas sans devoir désactiver toute la sécurité, ce qui fera encore plus peur (et cela sera bien le but).
Parce que sur le MAS, c'est clair, y'a aucune app avec des intentions cachées, c'est bien connu.
@broketschnok
Les applications ne sont pas "vérifiées". Elles sont adossées à un certificat permettant, à postériori, d'invalider une application. En théorie, uniquement si un risque pour la sécurité des données de l'utilisateur ou de son matériel est identifiée, mais entre la théorie et ce que la pratique permettra, on verra.
La notarisation permet de vérifier qu'aucun malware connu n'est présent au moment de sa soumission, puis que l'application téléchargée hors de l'AppStore n'a pas subi de modification par rapport à la version que le développeur a soumis à Apple (pour éviter qu'un malware y ait été introduit à posteriori).
@SyMich
Oui.
Ce qui ne garanti en rien que la version notarisée par le développeur ne comportait pas un risque cachée volontairement ou involontairement. Du coup, elle aura largement le temps de faire des dégâts, là encore, volontairement ou involontairement, puisque la validation, enfin, la révocation devrait-on plutôt dire, se ferra à postériori. Et encore si et quand Apple le voudra (et vu sa lenteur à réagir face aux malwares flagrants dispo sur son propre MAS, j'ai un doute...)
Et rien ne garantie que chaque invalidation sera justifié, non seulement au développeur mais aux utilisateurs de l'application également (qui l'auront peut être acheté, hein).
Apple, telle une autorité auto-proclamée reposant sur aucune juridiction, se permettra de détruire unilatéralement, sans accord préalable, un bien acheté par autrui à un tiers, que l'achat ait eu lieu via son propre réseau de distribution ou via un distributeur tiers (ou sans intermédiaire).
Cela pose sérieusement question, non ?
Tout à fait d'accord...
L'idée n'est pas stupide d'autant qu'Apple assure qu'il ne font aucun contrôle de contenu de l'application (ils sont donc censé laisser passer des applications qui seraient refusées sur l'AppStore) et qu'ils ne récusent le certificat d'une aplication que s'il y a écart (du checksum?) entre la version qu ils ont notarisee et celle qui tente de s'installer ou à la demande express du développeur.
Mais s'en tiendront-ils toujours à cela? Ou à la demande des autorités de tel ou tel Pays s'autoriseront-ils à bloquer à distance une application ne plaisant pas aux autorités?
Et enfin, ça risque d'être vite lourd car non seulement il faut notariser l'application mais ensuite chaque mise à jour doit être notarisee pour pouvoir être diffusée. Et il faut notariser à la fois l'updater mais aussi l'application dans sa nouvelle version.
C’est fou mais la sécurité c’est contraignant. Doivent pas avoir l’habitude chez crosoft 😂
@broketschnok
Quand tu vas chez un commerçants tu vérifies son CV ?
Avec les applications c’est ce que tu fais
Quand je bosse avec un consultant je regarde ses antécédents. Quand j’achète une marque je regarde son historique, son actionnariat éventuellement et le pays d’où ça vient.
Y’en a qui le font, oui.
@bonnepoire
Vous avez conscience que la notarisation ne vérifie pas *avant* la diffusion ce que contient l'app, elle permet seulement la révocation du certificat à postériori, c.a.d. *après* la diffusion ?
@byte_order
Oui et c'est quoi le soucis?
@bonnepoire
Ben le soucis, c'est donc qu'une application notarisée contenant des cochonneries sera bien diffusée, installée et exécutée avant qu'éventuellement son certificat soit révoqué.
C'est donc de la sécurité à postériori, ce qu'un mécanisme classique d'antivirus gérerait tout pareil, sans besoin de certificat préalable.
Mais libre à vous de penser que cela apporte *plus* de sécurité de mettre en laisse les développeurs.
@byte_order
Ben non puisque t'as toujours une validation des apps. Ce n'est pas moins de sécurité comme tu le laisses entendre.
Il n'y a pas de validation des applications qui sont soumise pour notarisation.
Apple s'assurent qu'elles ne contiennent pas de malware connu mais s'interdit de valider les fonctionnalités de l'application. Même des applications qui ne pourraient pas être validées pour l'AppStore (car ne respectant pas les guidelines d'Apple) peuvent être notarisees.
Donc on peut effectivement tout à fait imaginer qu'un nouveau malware, exploitant une faille non encore identifiée par Apple (ou qu'on leur a signalé mais qu'ils n'ont pas jugé utile de combler) passera la notarisation sans encombre.
@bonnepoire
Pour quelqu'un qui aime bien parler de "fait" des déclarations officielles d'Apple, vous êtes mal informé.
@bonnepoire
"Ben non puisque t'as toujours une validation des apps. Ce n'est pas moins de sécurité comme tu le laisses entendre."
Ah. Comme cette application I am rich qui ponctionnait le naïf de 1000 boules sur pression d’un bouton ? Très sûre en effet, merci la validation.
Aucun système de validation n’est parfait. Ça a le mérite d’exister. En attendant on a moins d’emmerdes chez Apple que chez les concurrents!
@bonnepoire
"En attendant on a moins d’emmerdes chez Apple que chez les concurrents!"
En quoi est-ce lié à la notarisation, assez nouvelle ?
En fait, si je comprends bien ce que tu me dis, c’est que la notarisation n’est pas utile puisqu’on a moins d’emmerdes de base.
J’ai bien compris ?
Je me demande si les parts de marché n’ont pas un petit quelque chose à voir avec la quantité d’emmerdes externes. Simple hypothèse.
Non tu n’as pas compris. Pas grave.
Pages