Xcode IDE 악성앱 이슈 관련 Xcode 버전 인증방법

Xcode IDE 악성앱 이슈 관련 Xcode 버전 인증방법

Validating Your Version of Xcode

애플사는 최근 위조된 버전의 Xcode를 사용하여 빌드 된 앱들을 앱스토어에서 제거하였습니다. (▶ 자세히보기) 이 앱들은 잠재적으로 고객에게 위험을 초래할 수 있었습니다. Xcode는 반드시 맥 앱스토어 또는 애플 디벨로퍼 웹사이트에서 직접 다운로드 해야 하고, 시스템에 Gatekeeper를 항상 활성화 시켜 변조 된 소프트웨어로부터 시스템을 보호해야 한다고 애플은 밝혔습니다.

맥 앱스토어에서 Xcode를 다운로드 할 때는, OS X는 자동으로 코드의 서명을 확인하고, 애플이 서명한 코드가 맞는지 확인해야 합니다. 애플 디벨로퍼 웹사이트에서 Xcode를 다운로드 할 경우에도 자동으로 코드의 서명이 확인 및 승인됩니다. 단 Gatekeeper를 비활성화 하지 않은 상태여야만 합니다.

Xcode를 애플 사이트에서 다운 받던, USB나 Thunderbolt 디스크, 로컬 네트워크 등의 다른 소스를 통해 다운로드 받더라도 Xcode가 정상적인 버전인지 쉽게 확인할 수 있는 방법이 있습니다.

지금 가지고 있는 Xcode가 정상인지 확인하려면, Gatekeeper가 활성화 된 상태에서 터미널에서 아래의 명령어를 실행하면 됩니다.

spctl --assess --verbose /Applications/Xcode.app

/Applications/의 위치가 Xcode가 설치 된 디렉토리입니다. 이 툴은 Gatekeeper가 어플리케이션의 코드 서명을 확인하는 것과 동일한 방식으로 확인을 진행하게 됩니다. Xcode의 확인을 완료하기까지 몇 분이 걸릴 수 있습니다.

맥 앱 스토어에서 다운로드한 Xcode일 경우, 툴은 아래의 결과를 출력할 것입니다:

/Applications/Xcode.app: accepted

source=Mac App Store

애플 디벨로퍼 웹사이트에서 다운로드한 Xcode일 경우, 툴은 아래의 결과를 출력할 것입니다:

/Applications/Xcode.app: accepted

source=Apple

또는

/Applications/Xcode.app: accepted

source=Apple System

만약 ‘accepted’ 이외의 결과나 ‘Mac App store’, ‘Apple System’, ‘Apple’ 이외의 source가 나온다면, 이 어플리케이션 서명은 Xcode에 유효하지 않다는 것을 의미합니다. 

결론적으로 심사를 위해서는 앱을 등록하기 전 반드시 깨끗한 Xcode를 다운로드하여 앱을 리컴파일해야 합니다.

앱스토어에 등록된 악성앱들은 현재 앱스토에서 삭제되었으며, 등록되었었던 악성앱 리스트는 여기에서 확인하실 수 있습니다. 만약 사용자가 이미 악성앱을 다운로드 받은 상황이라면, 앱스토어에서 악성앱이 삭제되어도 여전히 사용자 폰에서 동작하고 있기 때문에 반드시 수동으로 삭제해 주셔야 합니다.

출처 : 

https://developer.apple.com/news/?id=09222015a