古いMacアプリのインストーラーは、2027年2月1日に動かなくなるのか。Appleが示した証明書切り替えの手順を確かめる

まず初めに

Appleという会社は、証明書の名前のつけ方だけは、びっくりするほど気が利かない。「Developer ID Certification Authority」に「Sub-CA」、おまけに後継は「G2」。まるで量産された掃除機の型番を読まされているような気分だ。しかも今回はその型番違いを見分けられないと、2027年2月1日を境に、自分の作ったインストーラーが世の中から黒歴史として弾かれる。開発者に「キーチェーンを開いて発行者の組織単位そしきたんいを見ろ」と言っておきながら、肝心の案内はそっけない数段落で済ませてしまうのだから、相変わらずの"説明は最小限、確認作業は開発者におまかせ"スタイルである。※個人の感想です

何が起きているのか

Appleは2026年10月1日、開発者向けサイト「Apple Developer」のニュース欄で「Upcoming expiration of Developer ID Certification Authority (Sub-CA)(Developer ID Certification Authority Sub-CAの失効予定について)」という記事を公開しました。内容は、Macアプリの署名に使われている古い認証局「Developer ID Certification Authority(Sub-CA)」が、2027年2月1日に失効するというものです。この認証局から発行された証明書は、その日付以降、動作を停止します。

Appleは、開発者が取るべき対応を3段階に分けて案内しています。1段階目は「影響の有無を確認すること」です。開発者向け管理画面「Certificates, Identifiers & Profiles」で、2027年2月1日以前に期限切れとなる証明書が無いかを確認します。ただし、有効期限の日付だけでは判断できないとも注記されています。同じ名前の証明書でも、発行元の認証局が異なる場合があるため、キーチェーンアクセスで認証局の証明書ではなく手元のDeveloper ID証明書の「発行者名(Issuer Name)」を開き、「組織単位(Organizational Unit)」を確認する必要があります。ここが「Apple Certification Authority」であれば従来の認証局からの発行で対応が必要、「G2」であれば現行の認証局からの発行で対応不要です。名前が被る証明書を見分けるために、設定画面の奥の奥まで入らされる発行元チェックである。

2段階目は「新しい証明書を作ること」です。現行の認証局「Developer ID Certification Authority (G2)」から、置き換え用の証明書を新規に作成します。Appleは、この認証局自体は2031年まで有効だが、そこから発行される個々の証明書は毎年更新が必要になるとも説明しています。証明書を作成する際、「Developer ID Certificate Intermediary(中間認証局)」の選択を求められた場合は「G2 Sub-CA」を選ぶ必要があり、それ以外を選ぶと、同じく2027年に期限切れとなる証明書が発行される可能性があるとされています。Xcode 11.4以前を使っている場合は、証明書を作る前にXcode自体を更新するよう案内されています。

3段階目は「配布物を再署名すること」です。配布形式によって扱いが分かれます。インストーラーパッケージ(.pkgファイル)は、2027年2月1日以降、従来の認証局が発行した証明書で署名されたものはインストールできなくなるため、影響を受ける配布中の.pkgファイルを、その日までに新しい証明書で再署名する必要があります。一方、すでに署名・公証こうしょう済み(セキュアタイムスタンプ付き)のMacアプリ本体は、今後もそのまま動作し続けるとされており、既存のアプリに対して利用者側が何かする必要はありません。今後の更新分については、開発者が新しい証明書で署名し、公証のためのセキュアタイムスタンプを含めるよう案内されています。

なぜ重要なのか

この発表が重要な理由の一つは、影響の範囲が「新しく作るもの」だけでなく、「すでに配布されている.pkgファイル」にも及ぶという点です。Macのソフトは、App Store経由だけでなく、開発元のサイトから直接ダウンロードする.pkg形式のインストーラーでも広く配布されています。業務用ソフトや、小規模な開発者が提供する周辺機器のドライバー、ユーティリティソフトなどに多く使われる形式です。こうしたインストーラーが、2027年2月1日という具体的な期限を境に、署名のチェーンをたどった結果として一斉にインストール不可になる可能性があります。

もう一つの理由は、Apple自身が「有効期限の日付だけでは判断できない」とわざわざ注記している点です。これは、開発者向け管理画面に表示される期限日が、必ずしも証明書の発行元を正しく区別できるとは限らないことを示しています。*期限切れの日付を見ただけで安心していると、実はまだ旧認証局のままだったというオチが待っている。*小規模な開発チームや、ソフト開発を外部委託している企業にとっては、担当者が変わっていたり、証明書の管理が片手間になっていたりすると、気づかないうちに期限を過ぎてしまうリスクがあります。

私たちへの影響

一般の利用者にとって、すでにインストール済みで、署名・公証がきちんと済んでいるMacアプリについては、2027年2月1日を過ぎても特別な対応は必要ありません。これまで通り起動・利用できます。

一方で注意したいのは、まだインストールしていないソフトを、2027年2月1日以降に新しくダウンロード・インストールしようとする場合です。配布元の開発者が証明書の切り替えに対応していなければ、.pkg形式のインストーラーがインストールできない可能性があります。特に、更新がそれほど頻繁ではない業務用ソフトや、個人・小規模チームが提供するニッチな用途のソフトでは、開発者が今回のお知らせに気づかず対応が遅れることも考えられます。もし2027年2月以降に古いソフトのインストーラーが動かないという事態に遭遇したら、まずはそのソフトに新しいバージョンが出ていないか、開発元のサイトを確認するとよいでしょう。日本の開発者にとっては、今回の対応自体は証明書の再発行という作業であり、大掛かりな改修ではありませんが、2027年2月1日という期限を見落とさないよう、早めの確認が必要です。

初心者が知っておくべきこと

Macでは、配布されるアプリやインストーラーに、作成者を証明する電子的な署名(コードサイニングこーどさいにんぐ)が付けられています。この署名の正しさを保証する仕組み全体を「公開鍵基盤こうかいかぎきばん(PKI)」と呼び、その中で証明書を発行する組織を「認証局」と呼びます。「Sub-CA」とは、認証局の下に位置する下位の発行機関のことです。また「公証こうしょう」とは、Appleが、提出されたMacソフトに不正な内容が無いかを機械的に確認し、問題が無ければ「お墨付き」を与える仕組みのことです。

Q. 自分が使っているMacアプリやソフトが対象かどうかを確かめる方法はありますか。 A. 一般の利用者が、個々のアプリの証明書の発行元を直接確認する方法は、今回確認した発表には案内されていません。対象は基本的に、ソフトを配布する側の開発者です。利用者としては、普段使っているソフトの開発元から、証明書切り替えに関する案内が無いか確認する、または2027年2月以降にインストールで問題が起きた場合に開発元のサポート窓口へ問い合わせる、という対応になります。

Q. 何もしなければ、今使っているアプリは使えなくなりますか。 A. 出典によれば、すでに署名・公証済みでセキュアタイムスタンプ付きのMacアプリ本体は、2027年2月1日を過ぎても引き続き動作するとされています。影響を受けるのは、従来の認証局が発行した証明書で署名された.pkg形式のインストーラーを、その日付以降に新しく使おうとする場合です。

IT Postの見方――型番が3つもある認証局に、ユーザーは付き合わされていない

IT Postは、今回のお知らせそのものは、むしろ珍しく"まともな"Appleだと考えます。失効の1年以上前に日付を区切って知らせ、キーチェーンでの確認手順まで示しているのは、これまでの「詳細は当日に」方式に慣れた身からすると意外なほど親切だ。

ただ、親切の割に説明のクセは変わらない。「Sub-CA」「G2 Sub-CA (Xcode 11.4.1 or later)」「Organizational Unit」と、横文字と略語を積み木みたいに積み上げて、最後に「発行者名を展開して組織単位を見ろ」と投げてくる。これを読んで迷わず対応できる開発者は、きっと普段からキーチェーンアクセスを愛でるタイプの人だけだろう。幸い今回しわを寄せられるのは開発者側で、普通に使っている側のユーザーはたぶん何も気づかないまま終わる話だ。IT Postとしては、Appleのこの手の告知が「期限は切る、言葉は難しいまま」になりがちな点に、今後も注目していきたいと考えます。※個人の感想です

今後どうなりそうか

今回確認した発表の範囲では、2027年2月1日という失効日以外に、具体的な追加スケジュールは示されていません。Appleは、証明書を最大5つまで保有できるとしており、現行の証明書が有効なうちに新しい証明書を作成してテストできる余地を用意しています。IT Postでは、2027年2月に近づくにつれて開発者側の対応状況や、実際に影響を受けたソフトの報告が出てくるか、あらためて確認していきます。