【macOS】非 App Store アプリの「公証」を確認する方法

Apple 公式の App Store でないサイトで公開してるアプリがありますよね。

少し怖いですよね。

Apple のサービスとして「公証」というしくみがあります。

公証
公証とは、Appleが提供するマルウェアスキャンサービスです。App Store外でmacOS用のアプリを配付したいデベロッパは、配付プロセスの一環として、アプリを提出してスキャンを受けます。Appleはそのアプリをスキャンし、既知のマルウェアが見つからなければ公証チケットを発行します。

👉 macOSでのマルウェアからの保護 - Apple サポート (日本)

こんなアプリがあります。

👉 Apparency | User Guide

インストールしているアプリの署名や公証を確認するアプリです。

アプリをインストールするのがなんかいやなので

これをコマンドラインでやる方法を調べてみました。


❯ spctl -a -t exec -vvv OneMenu.app

OneMenu.app: accepted
source=Notarized Developer ID
origin=Developer ID Application: Marko Pavlovic (7R2UKFFRJJ)

👉 Signing/notarizing command line tools not build using Xcode| Apple Developer Forums


❯ pkgutil --check-signature OneMenu.app

Package "OneMenu.app":
   Status: signed by a certificate trusted by macOS
   Certificate Chain:
    1. Developer ID Application: Marko Pavlovic (7R2UKFFRJJ)
       Expires: 2027-02-01 22:12:15 +0000
       SHA256 Fingerprint:
           59 25 F2 A4 68 42 FE 1C A8 8C 7F 71 D6 86 84 D3 8C 09 20 73 52 D1
           06 CA 12 84 9C 8E 40 FC 02 32
       ------------------------------------------------------------------------
    2. Developer ID Certification Authority
       Expires: 2027-02-01 22:12:15 +0000
       SHA256 Fingerprint:
           7A FC 9D 01 A6 2F 03 A2 DE 96 37 93 6D 4A FE 68 09 0D 2D E1 8D 03
           F2 9C 88 CF B0 B1 BA 63 58 7F
       ------------------------------------------------------------------------
    3. Apple Root CA
       Expires: 2035-02-09 21:40:36 +0000
       SHA256 Fingerprint:
           B0 B1 73 0E CB C7 FF 45 05 14 2C 49 F1 29 5E 6E DA 6B CA ED 7E 2C
           68 C5 BE 91 B5 A1 10 01 F0 24


❯ pkgutil --check-signature YOUR.pkg

Package "Silverlight.pkg":
   Status: signed by a certificate trusted by Mac OS X
   Certificate Chain:
    1. Developer ID Installer: Microsoft Corporation
   SHA1 fingerprint: AE D0 A7 C5 31 01 2B 70 D7 FB 49 5A 23 30 3A 67 05 36 5A 11
   -----------------------------------------------------------------------------
    2. Developer ID Certification Authority
   SHA1 fingerprint: 3B 16 6C 3B 7D C4 B7 51 C9 FE 2A FA B9 13 56 41 E3 88 E1 86
   -----------------------------------------------------------------------------
    3. Apple Root CA
   SHA1 fingerprint: 61 1E 5B 66 2C 59 3A 08 FF 58 D1 4A E2 24 52 D1 98 DF 6C 60

👉 MacOS App Notarized but cannot be opened · Issue #6025 · electron-userland/electron-builder
👉 pkgutilの便利なコマンドをまとめてみた #macOS - Qiita


❯ codesign --display -vvv OneMenu.app

Executable=/Users/nishi/Desktop/OneMenu.app/Contents/MacOS/OneMenu
Identifier=com.withmarko.OneMenu
Format=app bundle with Mach-O universal (x86_64 arm64)
CodeDirectory v=20500 size=7489 flags=0x10000(runtime) hashes=223+7 location=embedded
Hash type=sha256 size=32
CandidateCDHash sha256=d0c0ca9247b1ed0bb12237d8c7164d71157cded3
CandidateCDHashFull sha256=d0c0ca9247b1ed0bb12237d8c7164d71157cded3b738a4880f86219f60bd2e06
Hash choices=sha256
CMSDigest=d0c0ca9247b1ed0bb12237d8c7164d71157cded3b738a4880f86219f60bd2e06
CMSDigestType=2
CDHash=d0c0ca9247b1ed0bb12237d8c7164d71157cded3
Signature size=8932
Authority=Developer ID Application: Marko Pavlovic (7R2UKFFRJJ)
Authority=Developer ID Certification Authority
Authority=Apple Root CA
Timestamp=Jul 22, 2024 at 4:54:21
Notarization Ticket=stapled
Info.plist entries=24
TeamIdentifier=7R2UKFFRJJ
Runtime Version=14.5.0
Sealed Resources version=2 rules=13 files=8
Internal requirements count=1 size=216

👉 macOS Catalinaにおけるアプリの「公証(Notarization)」への対応方法 | OPTPiX Labs Blog