Homebrew não permitirá mais contornar o Gatekeeper para softwares sem assinatura ou sem notarização

 (github.com/Homebrew)
1 pontos por GN⁺ 2025-11-14 | 1 comentários | Compartilhar no WhatsApp
  • A flag --no-quarantine, usada para forçar o contorno do Gatekeeper no macOS e executar softwares sem assinatura, será removida
  • A mudança é uma medida de reforço de segurança, e a operação passará a seguir as políticas da Apple de assinatura de código e notarização
  • Como o macOS Tahoe será o último macOS para Intel, a necessidade desse recurso diminui bastante
  • Em Macs com ARM, não é possível executar código arm64 sem assinatura
  • A partir de 1º de setembro de 2026, casks que falharem na verificação do Gatekeeper deixarão de ser suportados

Motivação

  • Tanto a Apple quanto o Homebrew estão seguindo a tendência de encerrar o suporte a Macs Intel, e como --no-quarantine é um recurso de contorno de segurança, não há motivo para mantê-lo

Impacto para os usuários

  • Com a remoção da opção, será oferecido um ambiente de instalação alinhado aos padrões de segurança do macOS, e o Homebrew deixará de fornecer recursos de contorno de segurança

Leituras relacionadas

1 comentários

 
GN⁺ 2025-11-14
Comentários do Hacker News

  • Pelo que entendi, essa mudança parece afetar principalmente apenas o cask no macOS
    O cask é usado para instalar apps binários em formato dmg ou pkg, e a maioria deles já usa binários assinados
    Não parece haver impacto na funcionalidade do Homebrew de baixar, compilar e instalar software de código aberto

    • Não concordo com a afirmação de que a maioria das pessoas que conheço não instala muito cask
      Na verdade, a única vantagem do Homebrew sobre outros gerenciadores de pacotes é justamente o cask
      Eu instalo o Homebrew em um prefix isolado e uso só o cask, sem adicioná-lo ao PATH
      Também uso alguns apps não assinados
      Mais importante do que a assinatura, na minha opinião, é o processo de curadoria e verificação de algo como Homebrew ou Debian
      Se a opção --no-quarantine desaparecer, vai ser incômodo ter que aprovar manualmente a cada atualização
    • O Homebrew distribui software de código aberto por padrão também na forma de pacotes binários (bottles)
      Se você olhar a lista oficial de pacotes, ela chega a centenas de páginas
      Está explicitamente indicado que “o objetivo é fornecer tudo como bottle”
      Então essa mudança não tem impacto direto, mas vale lembrar que já não é mais centrado em builds a partir do código-fonte como antes
    • Um líder do projeto Homebrew confirmou diretamente — essa mudança não afeta formulae, apenas cask
    • Os apps mais citados nessa discussão são Librewolf e Freetube
      Discussão relacionada: Homebrew Discussions #6334
    • Eu instalo todos os apps GUI pelo Homebrew. Hoje tenho mais de 30 casks, mas não sei bem o status de assinatura deles

  • Há muito tempo eu previa que o Gatekeeper seria reforçado aos poucos, e isso está mesmo acontecendo

    • Na prática, as pessoas perceberam isso quando o Gatekeeper foi endurecido no macOS 15 Sequoia há um ano
      Artigos relacionados: Ars Technica, MacRumors, Daring Fireball
    • Felizmente, os notebooks Linux estão melhorando cada vez mais
      Quando meu MacBook Air M1 começar a ficar lento, acho que vou conseguir migrar totalmente para Linux
    • Impedir a instalação de outros sistemas operacionais enfraquece a concorrência e também prejudica os usuários no longo prazo
      Comprar hardware da Apple é um ato de conivência com esse comportamento
    • Ainda é possível desativar o Gatekeeper
      Considerando o tamanho do mercado de Macs e a proporção de desenvolvedores, acho improvável que a Apple bloqueie isso por completo
    • Na verdade, essa direção já era previsível desde o começo. Só que esses alertas foram ignorados na época

  • O Homebrew é mais um gerenciador de pacotes amigável para consumidores do que uma ferramenta para profissionais
    Há muita insatisfação com atualizações forçadas, descarte de versões antigas e bloqueio de discussões
    Por isso estou pensando em migrar para o MacPorts

    • O Homebrew quase não permite customização e o gerenciamento de dependências também é bagunçado
      A postura agressiva dos mantenedores também é um problema
    • Comecei com MacPorts há 20 anos, depois migrei para Homebrew, mas recentemente voltei para MacPorts
      Sinto falta da época em que tudo compilava sem problemas até em um PowerBook antigo
    • Agora o Homebrew parece quase uma extensão da App Store
    • É decepcionante que o Homebrew deixe de dar suporte a versões antigas do macOS
      Abandonar o suporte a versões antigas como a Apple faz vai contra o espírito do código aberto
      Fiquei chocado ao ver a frase “fim do suporte a Intel”
    • A distinção entre “para profissionais” e “para consumidores” é vaga. Fico na dúvida se realmente existe consumidor usando Homebrew

  • Acho que o problema é a comunicação pouco amigável dos mantenedores do Homebrew
    Tecnicamente, faz sentido rodar xattr na etapa de postinstall, mas a atitude deles precisa melhorar

    • A reação de Mike McQuaid foi exagerada. A outra parte estava calma, mas ele foi desnecessariamente agressivo
    • Eles só fazem parecer que a discussão está aberta, mas na prática foi uma discussão meramente formal

  • No começo eu não entendi exatamente o que essa mudança significava
    Fiquei confuso se o Homebrew deixaria de permitir builds a partir do código-fonte ou se só binários assinados poderiam ser executados

    • Na prática, só o cask é afetado, formulae e bottles continuam como estão
    • Binários no macOS têm uma flag de quarantine, e quando ela está definida há uma checagem de segurança antes da execução
      A opção --no-quarantine desapareceu, mas o usuário ainda pode remover a flag manualmente
      No fim, é uma medida para empurrar as pessoas na direção de preferir binários assinados
    • A discussão foi encerrada cedo demais, então não deu mais para fazer perguntas
    • O MacPorts continua funcionando bem, então imagino que o Homebrew também acabará encontrando uma solução
      Binários compilados manualmente ainda podem ser executados
    • Por exemplo, apps não assinados como ClickHouse não poderão ser instalados por enquanto

  • A remoção da opção --no-gatekeeper em si não é um grande problema
    Ela apenas servia para remover o atributo com.apple.quarantine
    O problema real é que todos os casks passaram a exigir assinatura e notarização no Apple Developer Program
    Para desenvolvedores de código aberto, o custo anual de US$ 99 e a divulgação da identidade legal são um peso
    Seria bom se a Apple permitisse assinar de graça usando o Xcode Cloud
    Discussões relacionadas: #6334, #6482

  • Entendo o objetivo de proteger os usuários, mas é um problema o Gatekeeper ter se transformado em um mecanismo de monetização da App Store

    • Não acho que o custo de US$ 90 (ou US$ 99) por ano seja excessivo
      Mas para estudantes que desenvolvem pode ser pesado
      Seria melhor se a Apple permitisse confiar em certificados de terceiros

  • A opção --no-quarantine e a restrição de assinatura no ARM64 são coisas diferentes
    Apps não assinados não rodam mesmo que você remova o atributo
    O macOS permite assinatura adhoc, então dá para executar usando isso

    • O Gatekeeper decide bloquear a execução com base no atributo com.apple.quarantine
      O XProtect e o AMFI fazem verificações adicionais em segundo plano
      Se você remover o atributo, qualquer binário pode ser executado, a menos que o XProtect o bloqueie
    • A explicação acima está em grande parte correta

  • É uma pena que o Homebrew tranque os issues tão rápido
    Do ponto de vista do usuário, isso significa que sem aprovação da Apple eu não consigo rodar apps no meu próprio computador

    • O Homebrew tranca issues porque só permite discussões na aba Discussions
    • Há muito tempo existem avaliações de que os mantenedores são agressivos e avessos ao debate
    • Não concordo com a ideia de que o Homebrew é “amigável para o usuário”
    • A ponto de surgir a piada de que “o computador do Tim Cook deve ser usado do jeito que ele quiser”

  • Alacritty também é afetado por essa mudança
    É improvável que os desenvolvedores queiram pagar o custo da assinatura da Apple
    Issue relacionado: alacritty/alacritty#8749

    • Eu também uso vários casks, incluindo o Alacritty
      Talvez eu tenha que procurar apps alternativos
    • Talvez isso possa ser resolvido simplesmente adicionando um script para remover o atributo de quarantine após a instalação
    • Há um contorno em outro comentário no HN
    • Se for código aberto, não vejo por que distribuir via cask; acho que o correto seria compilar via formula