Az Apple tényleg követ minden Mac alkalmazást? AZ OCSP-ről bővebben (1. rész)

Él a legenda manapság, hogy a Mac-ed mindig becsekkol a nagyfőnök felé, amikor elindítasz egy alkalmazást. A pletyka 2020 októberében indult el, amikor egy napon az Apple szerverek igencsak belassultak és a modern Mac-eknek igen sokáig tartott elindulni. Nézzük mi rejlik a háttérben!

Fejlesztői tanúsítványok

Minden Mac-re készült alkalmazás el van látva egy fejlesztői tanúsítvánnyal (developer certificate). Mindegy, hogy az App Store-ból vagy az internet egyéb helyéről töltjük le az alkalmazást. Ha kifejezetten Mac-re lett készítve, akkor lesz benne ilyen. A tanúsítvány lényege, hogy biztonságot adjon a Mac felhasználóknak. Amikor elindítjuk az alkalmazást, a rendszer ellenőrzi, hogy az alkalmazást egy hiteles fejlesztő látta el tanúsítvánnyal és nem piszkáltak-e bele. Értelemszerűen, a cél a vírusok és egyéb káros programok kiszűrése.

Amikor például a Mozilla elkészíti a Firefox legújabb verzióját, akkor létrehoz egy Firefox applikáció fájlt, melyet aztán „aláír” a saját fejlesztői tanúsítványával. A Mozilla így bizonyítja, hogy a fájlt ő hozta létre és nem valami idegentől származik. Ha egy piszkált program kerül a Mac-re, akkor a rendszer azonnal észreveszi, ugyanis jó eséllyel nem fog hivatalos tanúsítvánnyal rendelkezni.

Az ilyen fejlesztői tanúsítványok nem örök életűek, hanem elévülnek. Általában pár évre szólnak csak, de igény esetén a cég bármikor megszűntetheti. A visszavont tanúsítványú programokat a MacOS nem fogja elindítani, mert feltehetően nem biztonságosak.

Az OCSP lényege

A tanúsítványok megvonását maga az Apple végzi. De hogyan tudja a gép, hogy idő közben az Apple lenullázott egy programot? A Mac erre használja az Online Certificate Status Protocol-t, avagy az OCSP-t. Ezt a technológiát a böngészők is használják, amikor webes felületen kell programok tanúsítványát ellenőrizni.

Amikor elindítunk egy alkalmazást, a Mac elküldi a benne található tanúsítvány információit egy Apple szervernek az ocsp.apple.com domain-en. A gép megkérdezi a szervert, hogy a tanúsítvány stimmel-e. Ha nem, akkor a programot a gép nem indítja el. Ha igen, akkor semmi probléma, mehet tovább a buli.

Az OCSP lényege, hogy a felhasználó effektíve valós időben legyen védve a kémprogramoktól, piszkált alkalmazásoktól és vírusoktól. Felmerül azonban a bökkenő, hogy mi a helyzet, ha offline vagyunk internetkapcsolat nélkül? A következő részben kiderül a megoldás!