Fra 1. februar 2027 kan visse Mac-installationspakker ikke længere installeres. Apple advarer om, at den gamle Developer ID-certifikatudsteder udløber, og at .pkg-filer signeret med berørte certifikater derfor skal udskiftes. Det er en reel deadline for udviklere og IT-afdelinger, men det betyder ikke, at alle gamle Mac-apps pludselig stopper. Apple skelner nemlig mellem installationspakker og allerede installerede programmer.
Varslet blev offentliggjort på Apple Developer den 1. oktober. Det er særlig relevant i Danmark for virksomheder og Mac-brugere med specialsoftware, udstyrsværktøjer eller installationspakker hentet direkte fra en producent i stedet for fra Mac App Store.
.pkg-filer og Mac-apps rammes forskelligt
Første og vigtigste skel er filtypen. Installationspakker med endelsen .pkg, der stadig er signeret med et certifikat fra den gamle Developer ID Installer-kæde, vil ifølge Apple ikke længere kunne installeres fra 1. februar 2027. Udvikleren skal signere pakkerne igen med et nyt certifikat og erstatte de gamle downloads, hvis de fortsat skal kunne installeres.
En Mac-app, som allerede er signeret og notariseret korrekt med et sikkert tidsstempel, vil fortsat fungere, siger Apple. Det er dermed forkert at beskrive ændringen som et generelt stop for ældre Mac-programmer. Fremtidige opdateringer skal derimod signeres med nye certifikater og have et sikkert tidsstempel, så udviklere ikke kan fortsætte med den gamle signeringsopsætning.
Hvad er det egentlig, Apple udskifter?
Developer ID bruges til at signere Mac-software, der distribueres uden for Mac App Store. Signaturen indgår i det system, hvor macOS kan identificere softwareproducenten og kontrollere software. Den eksisterende underliggende certifikatudsteder, en såkaldt Sub-CA, udløber den 1. februar 2027. Apple er allerede gået over til en nyere udsteder kaldet Developer ID Certification Authority (G2).
G2-udstederen er gyldig til 2031, men det betyder ikke, at et nyt certifikat gælder i fem år. Apple understreger, at de enkelte certifikater fra G2 kun har ét års gyldighed og skal fornyes løbende. Producenter skal altså både skifte nu og have en fremtidig rutine for fornyelse.
Sådan finder udviklere de berørte certifikater
Apple beder udviklere gennemgå Developer ID Application og Developer ID Installer under Certificates, Identifiers & Profiles. Hvis certifikatet udløber senest 1. februar 2027, kan det være berørt. Men udløbsdatoen er kun et fingerpeg: To certifikater kan have samme navn og komme fra forskellige udstedere.
Den sikre metode er at åbne sit Developer ID-certifikat i Hovednøglering (Keychain Access), folde oplysningerne om udstederen ud og kontrollere feltet Organizational Unit. Står der »Apple Certification Authority«, er certifikatet udstedt fra den gamle kæde og skal erstattes. Står der »G2«, er det allerede fra den nye. Apple gør specifikt opmærksom på, at kontrollen skal udføres på ens eget certifikat – ikke på selve certifikatudstederens post i nøgleringen.
Udskiftningen kræver mere end ét klik
Har en udvikler både apps og installationspakker, skal der oprettes et nyt certifikat til hver type. Developer ID Application og Developer ID Installer kan ikke bruges i stedet for hinanden. Ved oprettelsen skal G2 Sub-CA vælges, hvis man bliver spurgt om certifikatudsteder. Apple anbefaler også at opdatere Xcode, hvis man stadig bruger version 11.4 eller ældre; den detaljerede vejledning nævner Xcode 11.4.1 eller nyere til G2-valget.
Man behøver ikke vente til januar. Ifølge Apple kan en udvikler have op til fem certifikater af hver Developer ID-type på én gang. Det giver mulighed for at oprette en ny signeringskæde, teste de installerbare filer og først derefter udskifte de gamle pakker på hjemmesider, i downloadportaler og i virksomhedens softwarearkiv.
Hvad skal almindelige danske Mac-brugere gøre?
For de fleste: ikke noget lige nu. Installerede, korrekt notariserede programmer skal ikke slettes. Men ligger der et gammelt .pkg-installationsprogram på et USB-drev eller i en IT-afdelings arkiv, er der en risiko for, at netop den fil ikke kan bruges efter fristen. Den praktiske løsning er at hente eller få udleveret en opdateret installationspakke fra producenten. Det er især værd at planlægge for virksomheder med Mac-software, som sjældent geninstalleres.
Apples officielle trin-for-trin-vejledning gennemgår både kontrollen af udsteder, oprettelsen af G2-certifikater og gen-signering. Fristen er bekræftet af Apple; det er ikke et rygte om en kommende macOS-funktion.
Billedkilde: Apple. Officielt Mac mini-produktfoto, som illustrerer Mac-platformen – ikke selve certifikatændringen.
