Apple blinda Xcode 8 beta, distribuito in archivi con firma digitale

Apple distribuisce Xcode 8 beta in pacchetti .XIP, un formato di compressione con firma digitale, sfruttato al posto dello storico .ZIP. Il nuovo formato offre maggiori garanzie impedendo la modifica dei contenuti dopo la creazione dell’archivio.

In realtà il formato .xip è una variante del formato RAR con l’aggiunta di funzionalità che consentono di firmare digitalmente gli archivi, sulla falsariga di quanto avviene con le app scaricate dall’App Store o dal Mac App Store.

Dalla pagina man con i dettagli sul comando (richiamabile dal Terminale di OS X) si apprende, come anticipato, che si tratta di un formato simile al .ZIP ma che consente l’applicazione di una firma digitale, con funzioni di verifica prima dell’estrazione degli archivi.

L’Utility Compressione di serie in OS X supporta di serie il formato XIP, in questo modo verifica e scompattamento avvengono in modo trasparente per l’utente che non deve cercare e installare utility supplementari. Il formato è supportato sui Mac da OS X 10.6 in poi.

In virtù delle verifiche applicate, lo scompattamento degli archivi richiede più tempo rispetto al formato precedente. Come segnala AppleInsider, alcuni utenti hanno indicato fino a 30 minuti i tempi necessari per installare Xcode 8 beta dopo il download, contro gli 8 minuti di media necessari in passato.

In precedenza il tool di sviluppo di Apple era distribuito in formato .DMG o .ZIP, entrambi con rudimentali meccanismi di checksum per la verifica dell’integrità degli archivi. La scelta di sfruttare il formato .xip è probabilmente la risposta di Apple a XcodeGhost. Questo malware era stato individuato sull’App Store cinese: la sua propagazione è stata possibile per le pessime abitudini di alcuni sviluppatori che avevano usato una versione “alternativa” (non scaricata da Apple) di Xcode, infettata con un Trojan.