Mac 为公证加固后，App Bundle 无法访问 USB 设备

Question

我们编写了一个本机应用程序，它通过一些闭源库访问 USB 卡终端。该应用程序使用 C/C++ 和跨平台兼容（已经在 Linux 和 Windows 上工作）并使用 Gtk3 作为 UI 编写。因此我们根本没有使用 XCode。此外，我们使用 LIBMICROHTTPD、GNUTLS、JSONCPP 和其他一些东西，我们还链接了 LIBASAN¹。该应用程序作为应用程序包运行良好，当可执行文件未使用加固 --options=runtime 签名时也可以正常运行。但是为了获得成功的公证，我们必须使用 --options=runtime 对可执行文件进行签名，这会破坏应用程序。它启动正常，但 hangs/loops 在实际 USB 访问期间。

我们和 USB 卡终端之间的闭源库很难为您提供一个最小的可行示例。但我试图向您展示我们在做什么：

    codesign -f -s "macosnewbie" carrier.app/Contents/MacOS/* --timestamp --options=runtime
    codesign -f -s "macosnewbie" carrier.app/Contents/libs/lib* --timestamp
    codesign -f -s "macosnewbie" carrier.app/Contents/libs/gdk-pixbuf-2.0/2.10.0/loaders/libpixbufloader-* --timestamp
    codesign -f -s "macosnewbie" carrier.app/Contents/Resources/* --timestamp
    codesign -f -s "macosnewbie" --options=runtime --entitlements entitlements.plist carrier.app --deep

第一个 codesign 对公证至关重要，但会破坏应用程序。在没有 --options=runtime 的情况下签名时，它工作正常。我们还压缩了应用程序包，对其进行了公证和装订。

    xcrun altool --notarize-app --primary-bundle-id "19" -f carrier.zip -u "me@ourcompancy.de"
    xcrun stapler staple carrier.app

Info.plist

    <?xml version="1.0" encoding="UTF-8"?>
    <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
    <plist version="1.0">
    <dict>
    <key>CFBundleGetInfoString</key>
    <string>Carrier Card Terminal</string>
    <key>CFBundleExecutable</key>
    <string>carrier</string>
    <key>CFBundleIdentifier</key>
    <string>de.ourcompany.www</string>
    <key>CFBundleName</key>
    <string>Carrier</string>
    <key>CFBundleIconFile</key>
    <string>carrier.icns</string>
    <key>CFBundleShortVersionString</key>
    <string>0.01</string>
    <key>CFBundleInfoDictionaryVersion</key>
    <string>6.0</string>
    <key>CFBundlePackageType</key>
    <string>APPL</string>
    <key>IFMajorVersion</key>
    <integer>0</integer>
    <key>IFMinorVersion</key>
    <integer>1</integer>
    </dict>
    </plist>

entitlements.plist

     <?xml version="1.0" encoding="UTF-8"?>
        <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
        <plist version="1.0">
        <dict>
        <key>com.apple.security.device.usb</key> <!-- usb access -->
        <true/>
        <key>com.apple.security.network.server</key> <!-- internal webserver --> 
        <true/>
        <key>com.apple.security.network.client</key> <!-- internal webserver -->
        <true/>
         </dict>
    </plist>

我遗漏了什么和做错了什么？

下面我添加了应用程序包的完整目录结构，以供您概览。如有必要，我还可以为您提供实际的可执行应用程序包，但如果没有附加的兼容硬件终端，它是无用的。
谢谢

¹ 我们在 MacOS（或 CLANG？）上有某种未定义的行为，与 LIBASAN 链接已被证明是一种解决方法。

carrier.app
└── Contents
├── Info.plist
├── MacOS
│   └── carrier
├── Resources
│   ├── carrier.icns
│   ├── server.key
│   └── server.pem
├── _CodeSignature
│   └── CodeResources
└── libs
├── gdk-pixbuf-2.0
│   └── 2.10.0
│   └── loaders # loaders.cache is missing here...
│   ├── libpixbufloader-ani.so
│   ├── libpixbufloader-bmp.so
│   ├── libpixbufloader-gif.so
│   ├── libpixbufloader-icns.so
│   ├── libpixbufloader-ico.so
│   ├── libpixbufloader-jpeg.so
│   ├── libpixbufloader-png.so
│   ├── libpixbufloader-pnm.so
│   ├── libpixbufloader-qtif.so
│   ├── libpixbufloader-tga.so
│   ├── libpixbufloader-tiff.so
│   ├── libpixbufloader-xbm.so
│   └── libpixbufloader-xpm.so
├── libBrpDriver.dylib
├── libalwa_driver.dylib
├── libatk-1.0.0.dylib
├── libatkmm-1.6.1.dylib
├── libbrp_lib.dylib
├── libcairo-gobject.2.dylib
├── libcairo.2.dylib
├── libcairomm-1.0.1.dylib
├── libclang_rt.asan_osx_dynamic.dylib
├── libepoxy.0.dylib
├── libffi.6.dylib
├── libfontconfig.1.dylib
├── libfreetype.6.dylib
├── libfribidi.0.dylib
├── libgdk-3.0.dylib
├── libgdk_pixbuf-2.0.0.dylib
├── libgdkmm-3.0.1.dylib
├── libgio-2.0.0.dylib
├── libgiomm-2.4.1.dylib
├── libglib-2.0.0.dylib
├── libglibmm-2.4.1.dylib
├── libgmodule-2.0.0.dylib
├── libgmp.10.dylib
├── libgnutls.30.dylib
├── libgobject-2.0.0.dylib
├── libgraphite2.3.2.1.dylib
├── libgtk-3.0.dylib
├── libgtkmm-3.0.1.dylib
├── libharfbuzz.0.dylib
├── libhogweed.4.5.dylib
├── libidn2.0.dylib
├── libintl.8.dylib
├── libjsoncpp.21.dylib
├── libmicrohttpd.12.dylib
├── libnettle.6.5.dylib
├── libp11-kit.0.dylib
├── libpango-1.0.0.dylib
├── libpangocairo-1.0.0.dylib
├── libpangoft2-1.0.0.dylib
├── libpangomm-1.4.1.dylib
├── libpcre.1.dylib
├── libpixman-1.0.dylib
├── libpng16.16.dylib
├── libpsl.5.dylib
├── libsigc-2.0.0.dylib
├── libsoup-2.4.1.dylib
├── libsqlite3.0.dylib
├── libtasn1.6.dylib
└── libunistring.2.dylib

8 directories, 68 files

Answer 1

我们能够通过添加以下权利来让我们的工作。

<dict>
  <key>com.apple.security.cs.allow-dyld-environment-variables</key>
  <true/>
</dict>

Mac 为公证加固后，App Bundle 无法访问 USB 设备

Mac App Bundle cannot access USB devices when hardened for notarization

macos

usb

notarize