Je downloadt een programma voor je Mac, probeert het te openen en krijgt ineens een melding dat de app niet kan worden geopend omdat Apple de ontwikkelaar niet kan controleren. Of macOS waarschuwt dat de software mogelijk schadelijk is.
Voor veel gebruikers voelt zo’n melding vooral als een irritante blokkade. Toch zit er een belangrijke beveiligingsfunctie achter: Gatekeeper.
Gatekeeper helpt voorkomen dat onbetrouwbare of gemanipuleerde software zomaar op een Mac wordt uitgevoerd. Zeker binnen een zakelijke Apple-omgeving is dat belangrijk. Eén verkeerd geïnstalleerd programma kan immers toegang krijgen tot bedrijfsdata, accounts of andere gevoelige informatie.
Maar hoe werkt Gatekeeper eigenlijk? En wat moet je doen wanneer macOS een zakelijke applicatie blokkeert?
Wat is Gatekeeper op de Mac?
Gatekeeper is een beveiligingstechnologie die standaard onderdeel is van macOS.
Wanneer je software buiten de App Store downloadt, controleert macOS onder andere of de software afkomstig is van een bekende ontwikkelaar en of er sinds het ondertekenen niet met de software is geknoeid.
Apple controleert bij veel software bovendien of deze is genotariseerd. Dat betekent dat de ontwikkelaar de software bij Apple heeft aangeboden voor een controle op bekende malware.
Gatekeeper vormt daarmee een van de eerste verdedigingslinies voordat een gedownloade applicatie daadwerkelijk op je Mac wordt uitgevoerd. Apple combineert Gatekeeper met andere beveiligingslagen binnen macOS, waaronder notarization en XProtect.
Wat betekent notarization?
De term notarization klinkt ingewikkelder dan hij is.
Ontwikkelaars die hun Mac-software buiten de App Store verspreiden, kunnen deze door Apple laten controleren. Apple scant de software daarbij op bekende schadelijke inhoud. Wanneer de controle succesvol wordt afgerond, krijgt de software een zogenoemd notarization-ticket.
Gatekeeper kan vervolgens controleren of zo’n ticket aanwezig is.
Sinds macOS Catalina vereist Apple onder de standaard Gatekeeper-instellingen dat software die buiten de App Store wordt verspreid in principe zowel door een geregistreerde ontwikkelaar is ondertekend als door Apple is genotariseerd.
Belangrijk is wel dat notarization geen garantie betekent dat een programma onder alle omstandigheden veilig is. Apple controleert op bekende malware. Je blijft dus zelf verantwoordelijk voor de keuze welke software je binnen je organisatie gebruikt.
Waarom blokkeert je Mac soms een applicatie?
Een Gatekeeper-melding kan verschillende oorzaken hebben.
De applicatie kan bijvoorbeeld afkomstig zijn van een ontwikkelaar die niet door Apple is geïdentificeerd. Ook kan de digitale handtekening ontbreken of niet meer geldig zijn.
Een andere mogelijkheid is dat er na het ondertekenen veranderingen aan de software zijn aangebracht. Gatekeeper controleert juist of een applicatie nog overeenkomt met de versie die oorspronkelijk door de ontwikkelaar is ondertekend.
In sommige gevallen heeft Apple bovendien nieuwe informatie ontvangen waaruit blijkt dat eerder goedgekeurde software toch schadelijk is. Apple kan dan de autorisatie van die software intrekken, waarna macOS de uitvoering kan blokkeren.
Een melding betekent daarom niet automatisch dat je Mac lastig doet. Er kan een goede beveiligingsreden achter zitten.
Klik niet automatisch door
Wanneer software wordt geblokkeerd, bestaat al snel de neiging om naar een manier te zoeken om de waarschuwing te omzeilen.
Dat kan soms technisch mogelijk zijn, maar binnen een zakelijke omgeving is dat niet altijd verstandig.
Voordat je een geblokkeerde app alsnog probeert te openen, kun je jezelf beter een paar vragen stellen:
- Waar komt deze software vandaan?
- Heb je de applicatie rechtstreeks bij de ontwikkelaar gedownload?
- Is de leverancier bekend en betrouwbaar?
- Had je deze software daadwerkelijk nodig?
- Kan je IT-partner controleren waarom Gatekeeper de app blokkeert?
Vooral wanneer iemand je via e-mail, chat of een onbekende website vraagt om software te installeren, is extra voorzichtigheid belangrijk.
De App Store is niet de enige veilige bron
Soms ontstaat de indruk dat alleen software uit de Mac App Store veilig gebruikt kan worden.
Dat klopt niet.
Veel bekende zakelijke programma’s worden rechtstreeks via de website van de leverancier verspreid. Denk aan professionele software, beveiligingsprogramma’s of gespecialiseerde applicaties die helemaal niet in de App Store staan.
macOS kan deze software gewoon toestaan wanneer de app correct is ondertekend door een geïdentificeerde ontwikkelaar en voldoet aan Apple’s beveiligingseisen.
Apple biedt standaard dan ook de mogelijkheid om apps toe te staan uit de App Store en van geïdentificeerde ontwikkelaars.
Het gaat dus vooral om de betrouwbaarheid en herkomst van de software, niet uitsluitend om de plek waar je hem hebt gedownload.
Digitale ondertekening beschermt tegen wijzigingen
Een ander belangrijk onderdeel van Gatekeeper is code signing.
Een ontwikkelaar kan software digitaal ondertekenen met een door Apple uitgegeven Developer ID-certificaat. Je Mac kan daardoor controleren of de software na het ondertekenen is aangepast.
Dat is belangrijker dan het misschien klinkt.
Stel dat een betrouwbare applicatie ergens online wordt aangeboden, maar een aanvaller heeft er eerst schadelijke code aan toegevoegd. De digitale handtekening klopt dan niet meer met het oorspronkelijke programma.
Gatekeeper kan zo’n afwijking detecteren en voorkomen dat de software zonder waarschuwing wordt uitgevoerd.
Waarom dit voor bedrijven extra belangrijk is
Medewerkers installeren soms zelf programma’s omdat ze snel iets nodig hebben.
Een tool om bestanden te converteren, een programma om een pdf te bewerken of een klein hulpprogramma om een specifieke taak uit te voeren lijkt misschien onschuldig.
Maar iedere applicatie die je installeert, is software die op een apparaat met bedrijfsgegevens wordt uitgevoerd.
Een kwaadaardig programma kan bijvoorbeeld proberen gegevens te verzamelen, andere software te installeren of toegang te krijgen tot accounts.
Gatekeeper zorgt ervoor dat macOS een extra controle uitvoert voordat bepaalde gedownloade software voor het eerst wordt gestart. Apple controleert daarbij onder andere de ontwikkelaar, notarization en of het programma sinds het ondertekenen is aangepast.
Daarom is het onverstandig om beveiligingswaarschuwingen standaard weg te klikken.
Gatekeeper is niet hetzelfde als antivirus
Gatekeeper wordt soms gezien als een ingebouwde antivirusoplossing, maar dat is te simpel gesteld.
Apple gebruikt binnen macOS meerdere beveiligingslagen.
Gatekeeper en notarization zijn vooral bedoeld om te voorkomen dat bekende schadelijke of niet-vertrouwde software überhaupt wordt gestart.
Daarnaast beschikt macOS over XProtect, waarmee Apple bekende malware kan detecteren en blokkeren. XProtect kan ook worden ingezet wanneer schadelijke software al op een systeem is terechtgekomen.
Deze functies werken dus samen, maar hebben ieder hun eigen rol.
Wat moet je doen als zakelijke software wordt geblokkeerd?
Een Gatekeeper-waarschuwing hoeft niet meteen te betekenen dat je de applicatie moet verwijderen.
Misschien gebruik je gespecialiseerde software van een betrouwbare leverancier die niet goed is ondertekend of waarvan een oude versie niet aan de huidige eisen van macOS voldoet.
Controleer in zo’n geval eerst of er een nieuwere versie beschikbaar is.
Download software bij voorkeur opnieuw vanaf de officiële website van de leverancier en controleer of deze versie geschikt is voor jouw huidige macOS-versie.
Blijft de melding verschijnen? Dan is het verstandiger om eerst contact op te nemen met de leverancier of je IT-partner dan de beveiliging van macOS uit te schakelen.
Een betrouwbare zakelijke softwareleverancier moet kunnen uitleggen waarom de applicatie wordt geblokkeerd en hoe je deze veilig kunt gebruiken.
Maak duidelijke afspraken over software
Gatekeeper werkt het beste wanneer medewerkers weten waarom de beveiliging bestaat.
Je hoeft niet iedere gebruiker technisch uit te leggen hoe code signing en notarization werken. Het is wel verstandig om duidelijke afspraken te maken over het installeren van programma’s.
Bijvoorbeeld dat medewerkers software alleen downloaden vanaf officiële websites en een Gatekeeper-waarschuwing niet zelfstandig proberen te omzeilen.
Dat voorkomt dat iemand onder tijdsdruk een onbekende applicatie toestemming geeft omdat een website zegt dat dit nodig is.
Een waarschuwing is er niet voor niets
Gatekeeper is een goed voorbeeld van een beveiligingsfunctie die je meestal pas opmerkt wanneer er iets wordt tegengehouden.
Juist dan is het belangrijk om niet automatisch op zoek te gaan naar een manier om de blokkade te verwijderen.
Controleer eerst waar de applicatie vandaan komt, wie de ontwikkelaar is en waarom macOS de software niet vertrouwt.
Binnen een zakelijke omgeving kan één extra controle het verschil maken tussen een normaal programma installeren en onbedoeld schadelijke software binnenhalen.
Wil je weten of de Macs binnen jouw organisatie veilig zijn ingericht en welke software zonder onnodige risico’s kan worden gebruikt? PIT Pro helpt je graag bij het beveiligen en optimaliseren van je zakelijke Apple-omgeving.
Neem contact op met ons door te mailen naar info@pitpro.nl of te bellen op 020-2611450.