Molti utenti Mac scaricano file di pacchetto per aggiornamenti combo o altri software da installare su più computer, evitando così l’aggiornamento tramite il Mac App Store. Questo approccio è particolarmente comune tra gli amministratori di sistema Mac, dove è più efficiente scaricare un singolo aggiornamento o programma di installazione e distribuirlo su una rete o installarlo manualmente tramite un’unità USB. Non c’è nulla di sbagliato in questo metodo; è in effetti molto più pratico per la gestione di più Mac. Tuttavia, si può incorrere in problemi quando un programma di installazione o di aggiornamento di un pacchetto presenta un certificato scaduto, impedendo l’installazione completa del pacchetto. Questo problema è evidente quando compare il messaggio di errore: ‘(programma di installazione dell’applicazione) è stato firmato con un certificato che è scaduto’.
Per evitare situazioni di questo tipo, puoi controllare personalmente le firme dei pacchetti per assicurarti che siano valide, scadute, o addirittura assenti.
Come verificare lo stato della firma del pacchetto in Mac OS X con pkgutil
La potente utility da riga di comando pkgutil è un ottimo strumento per determinare lo stato di qualsiasi firma e certificato del pacchetto. È semplice da usare; basta avviare l’applicazione Terminale da / Applicazioni / Utility / e metterti subito al lavoro.
La sintassi di base per controllare lo stato di una firma di pacchetto è la seguente:
pkgutil –check-signature /Path/to/Example.pkg
Premi invio e scoprirai se la firma è valida, scaduta o se non c’è alcuna firma.
Ad esempio, supponiamo di avere un pacchetto di installazione del software di aggiornamento Combo per Mac OS X, un’operazione comune per gli amministratori di sistema che gestiscono più Mac. Puoi controllare lo stato della firma di tali pacchetti in questo modo:
pkgutil –check-signature ~ / Downloads / OSXUpdateCombo10.10.2.pkg
Pacchetto «OSXUpdateCombo10.10.2.pkg»:
Stato: firmato da un certificato che è scaduto
In questo caso, la firma per il pacchetto di aggiornamento è scaduta, il che significa che genererà un errore se tenti di utilizzarlo.
Tuttavia, non tutti i programmi di installazione dei pacchetti possiedono firme; mentre qualsiasi file di aggiornamento software di Apple avrà una firma, spesso i pacchetti di terze parti non ce l’hanno. Ad esempio, questo file di installazione del pacchetto di esempio non ha firma e deve essere trattato con attenzione (se non ti fidi della fonte, potresti voler riconsiderare il suo utilizzo).
pkgutil –check-signature ~ / Downloads / MysterySketchyInstaller-21.pkg
Pacchetto «MysterySketchyInstaller-21.pkg»:
Stato: nessuna firma
Se un file del pacchetto ti sembra sospetto, puoi verificare la firma del codice ed estrarre il pacchetto senza installarlo con pkgutil per un’ispezione più approfondita. Se preferisci un’interfaccia grafica, un’app come Pacifist offre strumenti di gestione dei pacchetti simili, anche se tende a essere più avanzata.
Come tutti i buoni strumenti da riga di comando, puoi anche utilizzare caratteri jolly con pkgutil per controllare facilmente più pacchetti contemporaneamente. In questo esempio, controlleremo la firma di ogni file * .pkg contenuto in ~ / Downloads:
pkgutil –check-signature ~ / Downloads / *. pkg
Pacchetto «irssi-0.8.17-0.pkg»:
Stato: nessuna firma
Pacchetto «wget-4.8.22-0.pkg»:
Stato: nessuna firma
Pacchetto «ComboUpdateOSXElCapitan.pkg»:
Stato: firmato da un certificato che è scaduto
Pacchetto «InstallOSXSequoiaBeta.pkg»:
Stato: valido
Pacchetto «HRFDeveloperTools.pkg»:
Stato: valido
I caratteri jolly ti permetteranno di controllare rapidamente lo stato dei certificati di molti file di pacchetti diversi, ma assicurati di specificare * .pkg per completare il processo senza fermarti su un file che non è un pacchetto riconosciuto.
Novità nel 2024: suggerimenti e aggiornamenti
Nel 2024, il panorama della sicurezza su macOS continua a evolversi. Apple ha introdotto nuove misure di sicurezza per proteggere gli utenti da installazioni dannose. È fondamentale tenere d’occhio le ultime versioni degli aggiornamenti di sistema e dei software di terze parti, poiché molti di questi ora richiedono firme digitali valide per l’installazione.
Inoltre, gli amministratori di sistema dovrebbero considerare l’utilizzo di strumenti di gestione centralizzata per monitorare e aggiornare i pacchetti su più dispositivi. Soluzioni come Jamf Pro e Munki possono semplificare notevolmente questo processo, riducendo il rischio di installazioni problematiche dovute a certificati scaduti.
Infine, non dimenticare di educare gli utenti sui rischi associati all’installazione di software da fonti sconosciute. La consapevolezza è la prima linea di difesa contro software dannoso, e la verifica delle firme dei pacchetti è un passo importante per garantire un ambiente macOS sicuro e affidabile.
