macOS, firma, notarización y agentes de lanzamiento

Una aplicación de macOS se firma con un certificado ligado a un desarrollador, identificado por un identificador de equipo. La firma garantiza dos cosas: quién la firmó y que el contenido no cambió desde entonces. La notarización es un paso aparte: el desarrollador envía la aplicación a Apple, que la revisa de forma automática en busca de contenido malicioso conocido y emite un comprobante. El control de ejecución del sistema, al abrirla, comprueba las dos cosas.

Ninguna de las dos garantiza que el programa sea inocuo para siempre. Una firma válida puede ser de un desarrollador comprometido, y un certificado puede usarse para firmar algo que luego se descubre dañino. Lo que sí hace un analista es leerlas como pistas de procedencia.

Una firma ad hoc, la que se crea sin certificado de desarrollador, solo prueba que el contenido no cambió. No hay un nombre ni un identificador de equipo detrás: no se sabe quién la hizo. Dentro de un equipo corporativo, software de procedencia desconocida con firma ad hoc es una pista de procedencia, no una prueba de maldad.

Abre la consola y consulta qué aplicaciones del Mac de diseño traen ese tipo de firma.

Un agente de lanzamiento es un archivo de configuración (plist) que le dice al sistema qué programa arrancar al iniciar sesión. Los que traen las aplicaciones y los de Apple tienen sitios previsibles: los del sistema operativo viven en la carpeta del sistema; los de aplicaciones, en la biblioteca general o en la del usuario, con la etiqueta del fabricante. La etiqueta del plist es solo un texto que escribe quien crea el archivo, así que un nombre que parezca de Apple en una carpeta de usuario no prueba nada a su favor, y sí pide una explicación.

Cuando el navegador descarga un archivo, macOS le pone una marca de cuarentena con el sitio de origen. Esa marca es una de las mejores pistas de procedencia: dice de dónde vino el instalador y, junto con la firma, ayuda a reconstruir cómo llegó al equipo. Se cruza con la tabla de firmas: el instalador de la aplicación de firma ad hoc viene de un sitio concreto.

El control de ejecución puede rechazar una aplicación por razones distintas. Una firmada por un desarrollador pero no notarizada se rechaza por falta de revisión, y no es por sí misma malware: puede ser software legítimo de una empresa que no completó el paso. Una sin desarrollador se rechaza por falta de identidad. En un informe se separan las dos causas, porque no se tratan igual.

Cuenta cuántas aplicaciones del equipo rechaza hoy el control de ejecución.