Entitlements y capacidades: lo que Apple le deja hacer a la app

Hay dos documentos y se confunden con facilidad. El perfil de aprovisionamiento es una lista blanca: enumera los entitlements que el equipo de desarrollo tiene permitido usar con esa app. Los entitlements de la firma son los que la app realmente lleva sellados. Un entitlement solo es efectivo si está en la firma, y la firma solo puede llevar los que el perfil permite.

Por eso la revisión mira la firma, no el perfil. Que el perfil permita compartir llavero no significa que la app lo haga; que la firma lleve una clave sí significa que la app la tiene. Y la diferencia entre ambos puede ser un hallazgo en sí misma, porque una capacidad habilitada que nadie usa es superficie que sobra.

Existe un entitlement booleano que autoriza a un depurador a adjuntarse al proceso de la app. Las compilaciones de desarrollo lo llevan en verdadero, porque el equipo necesita depurar. Una compilación que sale a manos de otras personas debe llevarlo en falso o no llevarlo, porque en verdadero deja que el proceso se inspeccione desde fuera.

La ficha de la compilación 3.8.1 dice que es una configuración de publicación enviada por canal ad hoc a clientes piloto. Con eso en mente, revisa los entitlements de la firma de la app y de la extensión, y localiza el valor que no corresponde a ese canal.

Para recibir notificaciones push, la app lleva un entitlement que indica con qué entorno del servicio de notificaciones de Apple trabaja. Tiene dos valores posibles, uno para el entorno de pruebas y otro para el de producción. Una compilación que sale a clientes de verdad con el valor de pruebas recibe avisos por un canal distinto del que usa el servidor de producción, y el equipo suele notarlo porque los avisos no llegan.

En términos de seguridad es un descuido de configuración más que una brecha, pero delata un proceso de compilación que no distingue entornos, como el archivo de pruebas de la sala anterior. Lee la firma de la app y anota con qué valor salió esta compilación.

El entitlement de grupos de acceso al llavero define qué elementos del llavero puede leer una app. Por defecto una app solo ve los suyos; si dos apps o una app y su extensión del mismo equipo llevan el mismo grupo, comparten esos elementos. Cada grupo empieza por el identificador del equipo, así que dos apps de equipos distintos no pueden compartirlo.

Compartir tiene un precio: cualquier pieza que lleve ese grupo puede leer lo que contenga, de modo que el componente más débil determina la protección de todo el grupo. Por eso se revisa quién lo comparte y para qué. Compara los grupos de la app y los de su extensión de notificaciones.