& を表示する方法 Mac OS X でアプリのコード署名を検証する

コード署名付きアプリケーションにより、セキュリティ意識の高いユーザーは、特定のアプリの作成者とハッシュを検証して、アプリが破損または改ざんされていないことを確認できます。平均的な Mac ユーザー、特に Mac App Store やその他の信頼できるソースからソフトウェアを取得する場合は、アプリが認定されているため、これが必要になることはほとんどありませんが、アプリのデジタル署名を検証することは、サードパーティからアプリを取得するユーザーにとって非常に役立ちます。ソース。

.実際の例として、ユーザーが何らかの理由で Mac App Store にアクセスできず、Mac OS X インストーラーアプリケーションをダウンロードする必要があり、サードパーティのソースに依存しているとします。このような状況では、インストーラーが改ざんされておらず、合法的に Apple から提供されたものであることを知り、検証することが重要です。sha1 ハッシュを直接確認する以外に、最も簡単な方法は、コード署名と暗号化を確認することです。問題のアプリのハッシュ。

Mac でアプリのコード署名を確認する方法

開始するには、/アプリケーション/ユーティリティ/にあるターミナルを起動します。適切な名前の「codesign」コマンドを使用し、-dv フラグと –verbose=4 フラグを使用して、ハッシュタイプ、ハッシュチェックサム、署名機関など、アプリケーションに関する識別情報を表示します。

基本的な構文は次のとおりです。

codesign -dv --verbose=4 /Path/To/Application.app

たとえば、/Applications/Utilities/にあるTerminal.appの署名を確認してみましょう

codesign -dv --verbose=4 /Applications/Utilities/Terminal.app Executable=/Applications/Utilities/Terminal.app/Contents/MacOS/Terminal Identifier=com.apple.Terminal Format=bundle with Mach-O thin (x86_64) CodeDirectory v=20100 size=5227 flags=0x0(none) hashes=255+3 location=embedded Platform identifier=1 Hash type=sha1 size=20 CDHash=0941049019f9fa3499333fb5b52b53735b498aed6cde6a23 署名サイズ=4105 機関=ソフトウェア署名機関=Apple コード署名認証機関機関=Apple ルート CA Info.plist エントリ=34 TeamIdentifier=未設定封印されたリソースバージョン=2 ルール=13 ファイル=996 内部要件数=1 サイズ=68

探しているのは、ハッシュタイプ、ハッシュ、および権限エントリです。この場合、ハッシュタイプは sha1 で、署名された機関は Apple です。これは予想どおりです。

はい。コマンドラインを使用して、アプリケーションインストーラーとダウンロードの sha1 または md5 ハッシュをチェックし、正当なソースと比較することもできますが、コード署名と証明書の詳細は明らかになりません。

無許可の当事者によって変更されたほとんどのコード署名ソフトウェアは、Mac OS X の Gatekeeper によって拒否されることに注意してください。進取の気性に富んだ悪党がそれを回避する方法を見つけることは理論的には可能であり、もちろん、特定の開発者によって認定されていないソフトウェアは、いずれにせよ Gatekeeper の周りでいつでも起動できます.

コード署名については、ウィキペディアと Apple 開発者ガイドのコード署名についてこちらで確認できます。