<div dir="ltr">Hi William,<br><div class="gmail_extra"><div><div class="gmail_signature"><br></div></div><div class="gmail_quote">On Tue, Sep 29, 2015 at 6:13 PM, William Kyngesburye <span dir="ltr"><<a href="mailto:woklist@kyngchaos.com" target="_blank">woklist@kyngchaos.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">I've been thinking about it also lately.  I was thinking about doing it myself, but a QGIS certificate would be nice.  Though I understand that it probably doesn't sit well with the hardcore GPL folks (no, there's no way to add external trust for code signing, but it's not tied to Apple distribution).<br>
<br>
Though the default is not really a big problem - the default is Apple and identified devs, but it's actually easy to override *individually*, you don't have to disable the whole thing and allow anything.  One of those little help items I haven't gotten around to documenting...</blockquote><div><br></div><div><div class="gmail_extra">It is a big problem if you expect any regular user to open Terminal and run</div><div class="gmail_extra"><p class="">xattr -d com.apple.quarantine </path/to/download/that/developer/didnt/bother/signing></p>prior to installing the software.<br clear="all"><div><div class="gmail_signature"><br></div><div class="gmail_signature">Regards,</div><div class="gmail_signature"><br>Larry Shaffer<br>Dakota Cartography<br>Black Hills, South Dakota</div></div></div></div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><div><div class="h5">
On Sep 29, 2015, at 11:45 AM, Larry Shaffer <<a href="mailto:larrys@dakotacarto.com">larrys@dakotacarto.com</a>> wrote:<br>
<br>
> Hi,<br>
><br>
> As part of my work at Boundless, I manage the code signing of the Mac QGIS.app bundle and package installers. I would like to see this done for the community version as well.<br>
><br>
> Currently there is no code signing of drag-drop applications or package installers for QGIS, so users have to switch away from the recommended default setting to allow any installation (see attachment).<br>
><br>
> Code signing setup requires:<br>
><br>
> * Mac developer account with Apple (~$99 USD/year)<br>
> * Issued certificates for Applications and Installers<br>
> * Signing drag/drop .app bundles and .pkg installers on both 10.7 and 10.9.5+ [0]<br>
><br>
> Packages are signed with the 'productsign' tool and application bundles with the 'codesign' tool after certificates are imported into user's Keychain. No use of Xcode.app is required, unless you want to use it to initially request the certificates, though that can all be done online.<br>
><br>
> Installers are much easier to code sign than drag/drop .app bundles, since the signing is of an archived payload, whereas everything in the .app bundle needs signed, which make signing bundled utilities like GRASS difficult as they don't follow bundle layout recommendations. I have successfully signed a QGIS.app with GRASS 6 embedded on Mac OSX 10.10, and the methodology used should work for OTB/GRASS7/SAGA/etc.<br>
><br>
> For the nightly, I would like to offer a code signed drag/drop QGIS.app with GRASS7 bundled, since it's linked to for the internal plugin.<br>
><br>
> Application bundles do not need signed if installed via a .pkg installer, only the installer needs signed. The signing is used by Mac's Gatekeeper sentry software when a user installs something, and is not in play after software is installed.<br>
><br>
> The questions are:<br>
><br>
> * Should code singing be done? (obviously +1 from me)<br>
> * Whose account should manage the certs? (I have one, though the PSC should probably set one up to be autonomous to packagers)<br>
> * Should it be incorporated in 2.12 packaging? (I think there is plenty of time to do so)<br>
><br>
> [0] <a href="https://developer.apple.com/library/mac/technotes/tn2206/_index.html#//apple_ref/doc/uid/DTS40007919-CH1-TNTAG205" rel="noreferrer" target="_blank">https://developer.apple.com/library/mac/technotes/tn2206/_index.html#//apple_ref/doc/uid/DTS40007919-CH1-TNTAG205</a><br>
><br>
> Reference:<br>
> [1] <a href="https://developer.apple.com/library/mac/documentation/Security/Conceptual/CodeSigningGuide/Introduction/Introduction.html" rel="noreferrer" target="_blank">https://developer.apple.com/library/mac/documentation/Security/Conceptual/CodeSigningGuide/Introduction/Introduction.html</a><br>
> [2] <a href="http://successfulsoftware.net/2012/08/30/how-to-sign-your-mac-os-x-app-for-gatekeeper/" rel="noreferrer" target="_blank">http://successfulsoftware.net/2012/08/30/how-to-sign-your-mac-os-x-app-for-gatekeeper/</a><br>
><br>
><br>
> Regards,<br>
><br>
> Larry Shaffer<br>
> Dakota Cartography<br>
> Black Hills, South Dakota<br>
</div></div>> <gatekeeper-notice_qgis-283-pkg.png><br>
<br>
-----<br>
William Kyngesburye <kyngchaos*at*kyngchaos*dot*com><br>
<a href="http://www.kyngchaos.com/" rel="noreferrer" target="_blank">http://www.kyngchaos.com/</a><br>
<br>
"History is an illusion caused by the passage of time, and time is an illusion caused by the passage of history."<br>
<br>
- Hitchhiker's Guide to the Galaxy<br>
<br>
<br>
</blockquote></div><br></div></div>