Apple gaat probleem met Mac-apps oplossen en belooft OS X-update

Vorige week hadden veel mensen ineens last dat Mac-apps niet meer te openen waren. De apps moesten vaak opnieuw geïnstalleerd worden omdat ze ‘beschadigd’ waren door een authenticatiefout. Apple heeft nu excuses aangeboden en belooft in een e-mail aan ontwikkelaars dat de fout in een toekomstige update van OS X opgelost zal worden.

Dit was er aan de hand
Bij het openen van apps kon je een melding krijgen dat de app was ‘beschadigd’. Dit had niets te maken met het feit dat beveiligingscertificaten waren verlopen, maar er liggen twee andere technische problemen aan ten grondslag.

Oorzaak 1: Beveiligingsalgoritme SHA-2

Apple gebruikte voorheen een certificaat met het SHA-1 beveiligingsalgoritme in de Mac App Store. Apple wist dat dit certificaat in november zou aflopen en zorgde daarom al in september voor een nieuw certificaat. Dat nieuwe certificaat maakte echter gebruik van het nieuwere algoritme SHA-2. Dit was bedoeld om de cryptografie te verbeteren. In 2010 is ontdekt dat er cryptografische zwakheden zitten in SHA-1, waardoor deze standaard niet langer wordt aanbevolen.

Op het moment dat het oude certificaat afliep, traden de eerste problemen op. Door caching kregen gebruikers te maken met verouderde certificaat-informatie, waardoor bepaalde apps niet meer te openen waren. Herstarten van de computer, opnieuw installeren of authenticeren loste het probleem op.

Oorzaak 2: Apps met verouderde OpenSSL

Een ander probleem dat zich voordeed, was dat sommige apps een oudere versie van OpenSSL gebruikten voor het controleren van zogenaamde receipts. Dit zijn ‘digitale kassabonnetjes’ die als bewijs dienen dat jij een bepaalde app hebt aangeschaft en op jouw apparaat mag gebruiken. Oudere versies van OpenSSL ondersteunen geen SHA-2, waardoor er compatibiliteitsproblemen optraden met de certificaten.

Bekijk ook

Problemen met Mac App Store: sommige apps moeten opnieuw worden geïnstalleerd

Er is een probleem met de Mac App Store, waardoor apps zoals Reeder, 1Password en Reeder opnieuw moesten worden geïnstalleerd.

Meerdere oplossingen
Het probleem is op twee manieren op te lossen:

• Terugschakelen naar SHA-1 (dit hebben ze inmiddels gedaan). Het zorgt ervoor dat apps die oudere OpenSSL-versies gebruiken weer op te starten zijn, maar het is geen definitieve oplossing.
• Zorgen dat ontwikkelaars hun apps aanpassen en een nieuwere versie van OpenSSL gebruiken. Ontwikkelaars kunnen de Receipt Validation Guide gebruiken, om te controleren of het valideren van ‘receipts’ correct verloopt. Dit zou op termijn een afdoende oplossing kunnen zijn, maar het kost veel tijd en ligt grotendeels buiten de invloedssfeer van Apple.

OS X update lost alleen cachingprobleem op
De update van OS X die Apple nu belooft, zal het caching-probleem oplossen, zegt Apple. In feite kiezen ze dus voor een combinatie van oplossing 1 en 2: voorlopig wordt er een SHA-1 certificaat gebruikt en ligt de bal bij de ontwikkelaars om hun apps aan te passen zodat niet langer verouderde OpenSSL-versies worden gebruikt. Het betekent overigens wel dat Apple nu niet meer de aanbevolen SHA-2 algoritme gebruikt, die naar eigen zeggen ‘in accordance with current recommended industry practice’ is.

Hieronder lees je de e-mail die Apple aan ontwikkelaars heeft gestuurd: