Audite seus servidores MDM no macOS 26.4, não no 27

A orientação da Apple para auditar as mudanças de TLS do OS 27 traz uma frase que a maioria dos administradores vai ler por cima: se os seus dispositivos de teste rodam a versão 27 ou posterior e você encontra erros de conexão, teste de novo em um dispositivo com 26.4 ou posterior, mas anterior ao 27, porque “conexões não conformes são bloqueadas e essas conexões com falha podem impedir o teste de conexões subsequentes no fluxo de trabalho”.²

Testar no sistema novo encontra um servidor quebrado e esconde todos os outros. No 27, uma conexão não conforme falha, e o fluxo de trabalho que dependia dela é interrompido. Tudo o que vinha depois nunca chega a rodar e, portanto, nunca é testado. Do 26.4 ao 26.x os mesmos problemas aparecem como avisos, o que significa que uma única passada revela todos os servidores não conformes que você tem.

Duas coisas que a Apple afirma diretamente: na versão 27 ou posterior, “conexões não conformes são bloqueadas e as mensagens de log aparecem como erros em vez de avisos”, e você deve testar no 26.4 ou posterior, mas anterior ao 27, “para identificar todos os servidores afetados”.² Que as conexões de fato se completem nessas versões anteriores é uma interpretação, não uma afirmação literal, mas a recomendação só faz sentido se for assim. Uma conexão bloqueada no 26.4 truncaria o fluxo de trabalho exatamente como acontece no 27.

O instinto é testar na versão que introduz a mudança. Aqui esse instinto produz uma lista incompleta, e você descobre o resto um por um, em produção.

Resumo

A partir da versão 27.0 do iOS, iPadOS, macOS, watchOS, tvOS e visionOS, determinados processos do sistema passam a impor requisitos de TLS mais rígidos em conexões envolvidas em MDM, Declarative Device Management, Automated Device Enrollment, instalação de perfis de configuração, instalação de apps (incluindo distribuição corporativa) e atualizações de software.¹ Os servidores precisam oferecer suporte a TLS 1.2 ou posterior, com ciphersuites e certificados compatíveis com ATS.¹ Servidores SCEP e de cache de conteúdo estão isentos.² O tráfego de rede do seu próprio app não é afetado. Faça a auditoria do 26.4 ao 26.x, onde as violações são registradas como avisos em vez de bloquearem a conexão, usando o Network Diagnostics Logging Profile e um sysdiagnose.²

O que está realmente no escopo

A mudança se aplica a uma lista específica de atividades do sistema, não ao tráfego de rede em geral.¹

• Gerenciamento de dispositivos móveis (MDM)
• Declarative Device Management (DDM)
• Automated Device Enrollment
• Instalação de perfis de configuração
• Instalação de apps, incluindo distribuição corporativa
• Atualizações de software

Duas isenções importam, porque as duas envolvem o tipo de servidor que, de outro modo, faria um administrador perder um dia investigando: conexões com um servidor SCEP durante a instalação de um perfil de configuração ou a resolução de um recurso DDM, e conexões com servidores de cache de conteúdo, mesmo ao solicitar recursos para instalação de apps ou atualizações de software.²

Vale dizer sem rodeios, para quem chega aqui vindo de uma manchete: o tráfego URLSession do seu app não é o assunto. Aqui se trata de infraestrutura de gerenciamento de dispositivos. O App Transport Security governa a rede dos apps desde que eles passaram a ser compilados com os SDKs do iOS 9.0 e do macOS 10.11.³ O que mudou no 27 é que um conjunto de processos do sistema começou a aplicar requisitos equivalentes ao tráfego de gerenciamento.

A lista de plataformas é mais ampla do que “frota Mac corporativa” sugere. A Apple cita iOS, iPadOS, macOS, watchOS, tvOS e visionOS.² A Apple TV de uma sala de reunião e o Vision Pro de um estúdio de design se inscrevem pela mesma infraestrutura.

Os requisitos, direto da fonte canônica

O artigo de suporte da Apple afirma que os servidores precisam oferecer suporte a TLS 1.2 ou posterior, usar ciphersuites compatíveis com ATS e apresentar certificados válidos que atendam aos padrões do ATS.² Os detalhes estão na documentação do ATS, que é a página em que você deve se basear.³

A avaliação padrão de confiança do servidor precisa passar: assinatura íntegra, certificado não expirado, nome correspondente ao nome DNS do servidor e uma cadeia que chegue a um certificado âncora emitido por uma CA que faça parte do sistema cliente ou tenha sido instalada por um usuário ou administrador.³

Além disso, o ATS acrescenta:³

• Certificado assinado com uma chave RSA de no mínimo 2048 bits ou uma chave ECC de no mínimo 256 bits
• Certificado usando SHA-2 com digest de no mínimo 256 bits
• TLS 1.2 ou posterior
• Dados trocados usando AES-128 ou AES-256
• Perfect forward secrecy via troca de chaves ECDHE

Os dois últimos raramente aparecem nos resumos dessa mudança, inclusive na tabela de violações que a Apple publica para a auditoria. Um administrador que corrigir apenas o que os logs apontam ainda pode estar não conforme na escolha de cifras.

Auditar antes que doa

O procedimento documentado pela Apple é específico, e cada etapa existe por um motivo.²

Use dispositivos de teste no 26.4 ou posterior, anterior ao 27. É aqui que está todo o truque. As violações são registradas como avisos, as conexões funcionam e o fluxo de trabalho segue para o próximo servidor.

Instale o Network Diagnostics Logging Profile e reinicie. Ele precisa ser instalado antes de qualquer teste, ou os eventos de log não vão trazer os detalhes necessários para identificar conexões não conformes.

Para Automated Device Enrollment em iPhone ou iPad, use o Apple Configurator para Mac para instalar o perfil antes de o dispositivo chegar ao painel Gerenciamento de Dispositivos no Assistente de Configuração. O tráfego de inscrição acontece cedo, e um perfil instalado depois disso não captura esse trecho.

Rode seus fluxos de trabalho normais. Inscreva o dispositivo, instale apps e perfis e exercite tudo que conversa com os seus servidores. O objetivo é gerar tráfego para todo servidor que possa estar afetado.

Colete um sysdiagnose, mova-o para um Mac, descompacte o arquivo e, a partir do diretório de nível superior, filtre o log:

log show --archive system_logs.logarchive --info \
  -P "p=appstoreagent|appstored|managedappdistributionagent|managedappdistributiond|ManagedClient|ManagedClientAgent|mdmclient|mdmd|mdmuserd|MuseBuddyApp|NanoSettings|Preferences|profiled|profiles|RemoteManagementAgent|remotemanagementd|Setup|'Setup Assistant'|'System Settings'|teslad|TVSettings|TVSetup|XPCAcmeService AND s=com.apple.network AND m:'ATS Violation'|'ATS FCPv2.1 violation'"

Cada evento traz um Domain, o Process que abriu a conexão e um Warning nomeando a restrição violada. Uma mesma conexão pode emitir vários avisos se o servidor falhar em vários requisitos.²

Cubra suas configurações, não apenas seus dispositivos. Vale copiar as dimensões da Apple diretamente: ambiente (produção, staging, teste), tipo de dispositivo, papel (grupo de usuários, quiosque, dispositivo compartilhado) e tipo de inscrição (Automated Device Enrollment, orientada por conta, orientada por perfil, iPad compartilhado).² Configurações diferentes alcançam servidores diferentes, e uma auditoria limpa de uma não diz nada sobre a outra.

O watchOS não pode ser auditado dessa forma. A maior parte da comunicação de rede dele acontece fora do processo e o comando log não funciona. A orientação da Apple é que testar no iOS provavelmente oferece cobertura suficiente para as conexões do Apple Watch.²

Lendo as violações

A Apple separa as falhas em duas classes, e é na segunda que servidores aparentemente conformes falham.

Violações gerais da política de ATS, registradas como Warning [ATS violation]:²

Há uma isenção útil nessa tabela: se o certificado que falha na avaliação de confiança estiver entre os certificados âncora do perfil de inscrição automática, nenhuma correção é necessária.²

Violações de FCP v2.1, registradas como Warning [ATS FCPv2.1 violation]:²

É essa última linha que vai surpreender as pessoas. Um servidor pode cumprir o requisito da manchete — negociar TLS 1.2 com uma ciphersuite moderna e um certificado válido — e ainda assim falhar, porque o Functional Package for TLS exige adicionalmente a extensão extended master secret. A correção indicada pela Apple é migrar para TLS 1.3 ou, no mínimo, configurar o TLS 1.2 para negociar EMS.²

Há uma sutileza aqui que vale manter clara. O modo de conformidade FCP v2.1 do ATS é opcional para apps, via NSRequiresNIAPTLSPackageVersion, e existe para ambientes regulados.³ Essa adesão governa o comportamento do seu próprio app como cliente. Ela não tem relação alguma com os processos de sistema do OS 27, que aplicam as verificações de FCP v2.1 aos seus servidores independentemente de algum app seu ter aderido a qualquer coisa.

O que muda no 27

Na versão 27 e posteriores, conexões não conformes são bloqueadas e as mensagens de log aparecem como erros em vez de avisos.²

A Apple observa que vários avisos não têm um erro equivalente direto e que, para problemas de ciphersuite, versão de TLS e algoritmo de assinatura, o erro exato do lado do cliente “pode depender de como o servidor lida com esse estado”.² Não espere um mapeamento limpo de aviso para erro.

O único erro concreto documentado pela Apple cobre HTTP em texto puro bloqueado, incluindo um redirecionamento que cai em uma URL http://:²

Task . finished with error [-1022] Error Domain=NSURLErrorDomain Code=-1022
"The resource could not be loaded because the App Transport Security policy
requires the use of a secure connection."

Para validar um único servidor depois da correção, o nscurl conecta usando diferentes combinações de exceções do ATS e vai estreitando as possibilidades até identificar qual requisito está falhando, sem um ciclo completo de sysdiagnose.³

Como é a correção na prática

A auditoria produz uma lista de domínios e violações. Transformar isso em mudanças de servidor se divide em três casos.

Migre para TLS 1.3 onde for possível. Isso resolve várias classes de violação de uma vez, em vez de uma por uma. Toda ciphersuite de TLS 1.3 oferece perfect forward secrecy, então o aviso de ciphersuite sem PFS não pode ocorrer. O requisito de extended master secret é específico do TLS 1.2, então deixa de se aplicar. A negociação de algoritmo de assinatura é mais rígida por design. A própria coluna de correção da Apple diz para atualizar os servidores para negociar TLS 1.3 sempre que possível, com TLS 1.2 como mínimo.²

Se você estiver preso ao TLS 1.2, três ajustes resolvem a maior parte. Habilite a extensão extended master secret, que é a violação com maior chance de surpreender uma configuração que, no resto, é moderna. Restrinja a lista de ciphersuites a troca de chaves ECDHE com AES-128 ou AES-256, o que atende ao requisito de PFS e ao de cifra simétrica de uma vez só.³ Remova qualquer algoritmo de assinatura rsa_pkcs15_sha1 da ordem de preferência do servidor.

Estar preso é mais comum do que parece. Um load balancer terminando TLS, um appliance de hardware sob contrato de suporte ou uma controladora de gerenciamento embarcada — qualquer um deles pode ser a razão pela qual um ambiente de aparência moderna negocia algo antigo.

Problemas de certificado exigem antecedência própria. RSA abaixo de 2048 bits, ECDSA abaixo de 256 e certificados folha com hash mais fraco que SHA-256 exigem reemissão, não reconfiguração. Isso significa uma solicitação à CA, uma janela de mudança e coordenação com quem for dono da cadeia. Verifique também os certificados intermediários, já que a avaliação padrão de confiança percorre a cadeia inteira até a âncora.³

Uma isenção poupa trabalho: se o certificado que falha na avaliação de confiança estiver entre os certificados âncora do perfil de inscrição automática, a Apple afirma que nenhuma correção é necessária.² Confira isso antes de abrir um chamado.

Verifique cada correção individualmente, em vez de rodar a auditoria inteira de novo. O nscurl conecta a um único servidor usando diferentes combinações de exceções do ATS, o que identifica com precisão qual requisito ainda falha.³ Um ciclo completo de sysdiagnose por iteração é um loop lento quando você está esperando um fornecedor refazer o deploy.

Por que a antecedência importa

A Apple diz diretamente que atualizar configurações de servidor “pode exigir um tempo significativo, especialmente para servidores mantidos por fornecedores externos”.²

Essa frase é a razão para fazer a auditoria agora, e não quando o 27 chegar em larga escala. Os servidores no escopo frequentemente não são seus. Os endpoints de um fornecedor de MDM, um parceiro de distribuição de software, um provedor de identidade que fica na frente da inscrição. Descobrir em outubro que um fornecedor precisa de um trimestre para habilitar EMS nos endpoints TLS 1.2 dele é um problema diferente de descobrir isso em agosto.

A auditoria produz uma lista de domínios e dos processos que os alcançaram. Essa lista é o que você manda para os fornecedores, e é a especificidade dela que faz o assunto ser priorizado. “Seu servidor não atende aos novos requisitos da Apple” é fácil de despriorizar. “Seu endpoint neste domínio negociou TLS 1.2 sem extended master secret, o que o OS 27 bloqueia para tráfego de inscrição” não é.

Isso tem o mesmo formato de outras mudanças desta versão. O macOS 27 deixou de perguntar antes de negar acesso a contêineres de outro time, e as imagens de itens de menu agora dependem de qual SDK você usou para compilar. Em cada caso a plataforma removeu um sinal ou apertou um padrão, e a falha chega com cara de outra coisa. Aqui a outra coisa é uma inscrição que trava.

Pontos principais

Para administradores de TI: - Faça a auditoria do 26.4 ao 26.x. Testar no 27 bloqueia a primeira falha e esconde tudo o que vem depois no mesmo fluxo de trabalho. - Instale o Network Diagnostics Logging Profile antes de testar e reinicie o dispositivo, ou os logs não vão identificar os servidores. - Cubra configurações, não dispositivos: ambiente, tipo de dispositivo, papel e tipo de inscrição alcançam servidores diferentes. - Envie aos fornecedores o domínio, o processo e a violação específica. A antecedência necessária nos servidores externos é a restrição determinante.

Para desenvolvedores de MDM e gerenciamento de dispositivos: - Servidores SCEP e de cache de conteúdo estão isentos. Não gaste a auditoria com eles. - As violações ATS FCPv2.1 são separadas das violações gerais da política de ATS, e TLS 1.2 sem EMS é a que tem mais chance de passar despercebida. - No watchOS o comando log não funciona. Cubra as conexões do Watch pelos testes no iOS.

Para quem chegou aqui por uma manchete: - O tráfego URLSession do seu próprio app não é o que mudou. Isso vale para processos do sistema que lidam com tráfego de gerenciamento, inscrição, instalação e atualização.

Perguntas frequentes

Isso afeta as requisições de rede do meu app?

Não. A mudança se aplica a processos do sistema envolvidos em MDM, DDM, Automated Device Enrollment, instalação de perfis de configuração, instalação de apps e atualizações de software.¹ O App Transport Security governa a rede dos apps separadamente desde os SDKs do iOS 9.0 e do macOS 10.11.³

Por que auditar em uma versão mais antiga do sistema?

Porque no 27 as falhas bloqueiam. A Apple afirma que conexões não conformes são bloqueadas e que “essas conexões com falha podem impedir o teste de conexões subsequentes no fluxo de trabalho”, e recomenda testar no 26.4 ou posterior, mas anterior ao 27, para identificar todos os servidores afetados.² Nessas versões as violações são registradas como avisos e as conexões ainda funcionam.

Quais servidores estão isentos?

Servidores SCEP, durante a instalação de um perfil de configuração ou a resolução de um recurso DDM, e servidores de cache de conteúdo, mesmo ao solicitar recursos relacionados a instalação de apps ou atualizações de software.²

Meu servidor faz TLS 1.2 com um certificado válido. Ainda assim pode falhar?

Pode. As verificações de FCP v2.1 incluem TLS 1.2 negociado sem a extensão extended master secret, certificado assinado com um algoritmo não anunciado no ClientHello e algoritmos de assinatura rsa_pkcs15_sha1.² O ATS também exige AES-128 ou AES-256 e perfect forward secrecy via ECDHE.³

Aderir à conformidade NIAP no meu app muda isso?

Não, e é fácil confundir as duas coisas. O NSRequiresNIAPTLSPackageVersion faz o comportamento do seu próprio app como cliente aderir ao modo FCP mais rígido, voltado a ambientes regulados.³ Os processos de sistema do OS 27 aplicam os próprios requisitos ao tráfego de gerenciamento de forma independente.

Fontes