Подпись и нотаризация: проверка, которую делает система

Подпись — единственный признак, который проверяется не вами, а операционной системой, и потому самый сильный. Есть он только у сборки для Mac.

Что такое подпись и что она доказывает

Подпись — это метка, которую разработчик оставляет на готовом файле своим сертификатом. Проверить её может любой, изменить содержимое файла, сохранив подпись, — нельзя. Поэтому подпись отвечает сразу на два вопроса: кто собрал программу и не менял ли её кто-то после.

Нотаризация — второй слой: разработчик отправляет готовую сборку на проверку площадке, та её сканирует и выдаёт разрешение. Система при первом запуске спрашивает об этом разрешении и, если оно есть, пропускает приложение молча.

Что стоит в подписи сборки для Mac

Практический смысл: если приложение открылось с первого раза без предупреждений, подпись и нотаризация на месте, и файл дошёл до вас неизменённым. Отдельно ничего делать не нужно — проверка уже произошла.

Как спросить систему напрямую

На Mac есть две встроенные проверки, которые запускаются из терминала одной строкой каждая. Первая показывает подпись, вторая — вердикт системы о запуске.

Оба ответа относятся к приложению, а не к образу: сначала образ монтируется, затем проверяется программа внутри него. Это нормальный порядок, а не обходной путь.

Что означает предупреждение при запуске

В последних двух случаях лечение одно: удалить файл и скачать по постоянному адресу (как он устроен). Обходить предупреждение системы вручную здесь ровно то, чего делать не нужно.

Почему на Windows иначе

У установщика для Windows наглядной проверки такого же уровня нет. Система может показать предупреждение о неизвестном издателе — и оно не означает подмены, а означает буквально то, что написано. Поэтому на Windows вся проверка сводится к источнику: правильный владелец в адресе и точное имя файла (разбор сборки).

На Андроиде своя логика: там роль подписи играет идентификатор пакета, занятый в магазине навсегда — что это такое.

Почему подпись сильнее адреса

Адрес отвечает на вопрос «откуда файл пришёл». Подпись отвечает на другой, более сильный: «не менялся ли файл после того, как его собрали». Это разные вещи, и вторая важнее.

Представьте, что файл скачан из правильного места, но по дороге подменён — на стороне сети, на промежуточном хранилище, при пересылке. Адрес об этом ничего не скажет: он остался прежним. Подпись скажет сразу: она перестанет сходиться, и система откажется запускать программу.

Чего у остальных систем нет

Отсюда практическое правило: на Mac можно ничего не проверять руками, на остальных системах — стоит потратить полминуты на источник.

Что происходит при первом запуске на Mac

Полезно понимать последовательность, потому что она объясняет, почему «ничего не произошло» — это хороший результат.

1. Система проверяет подпись

   Смотрит, кто подписал программу и не менялась ли она после подписания.

2. Система спрашивает разрешение на запуск у службы проверки

   Именно на этом шаге проверяется нотаризация. Ответ приходит за секунды.

3. При успехе приложение просто открывается

   Никаких сообщений — и это норма. Вопрос подлинности на этом закрыт.

4. При неудаче показывается предупреждение

   Формулировки разные, смысл один: файл получен не из выпуска или изменён. Правильная реакция — удалить и скачать заново (откуда).

Почему проверка не переносится на другие системы

Вопрос закономерный: если механизм работает так хорошо, почему его нет везде. Ответ в том, что это решение платформы, а не разработчика. На Mac проверка встроена в систему и обязательна для программ вне магазина; на Windows подобная проверка мягче и во многом опирается на репутацию файла, а на Андроиде роль подписи играет идентификатор пакета (разбор).

Отсюда практическое распределение усилий: на Mac можно не проверять ничего, на остальных системах стоит потратить пять секунд на адрес (как читать).

Почему это не паранойя

Разговор о подписях кажется избыточным для бытовой установки программы. Он оправдан ровно одним обстоятельством: приложение поднимает сетевое подключение и пропускает через себя весь трафик устройства.

Это не особенность Happ, а суть задачи — иначе оно ничего бы не делало. Но из этого следует, что подменённая сборка получает доступ, которого не получит подменённый калькулятор. Поэтому проверка, которую система делает бесплатно, здесь стоит того, чтобы на неё обратить внимание.