SMJobBless更新后无法访问钥匙串项目

Question

我们在使用 SMJobBless 更新辅助工具时遇到了问题，这已经困扰了我们好几天了。

我们正在开发一个应用程序，在某些时候我们需要为其执行管理任务（加载/卸载 kext）。我们还使用钥匙串来存储应用程序的帐户信息。

对于管理任务，我们使用使用 SMJobBless 安装的辅助工具，我们使用 DO 通过 Mach 端口（使用 NSConnection）进行通信。

在帮助程序工具中：

// use our bundle id as our service name
NSString* name = [[NSBundle mainBundle] bundleIdentifier];
launch_data_t checkinRequest = launch_data_new_string(LAUNCH_KEY_CHECKIN);
launch_data_t checkinResponse = launch_msg(checkinRequest);
launch_data_t machServicesDict = launch_data_dict_lookup(checkinResponse, LAUNCH_JOBKEY_MACHSERVICES);
launch_data_t machPort = launch_data_dict_lookup(machServicesDict, [name UTF8String]);
mach_port_t mp = launch_data_get_machport(machPort);
launch_data_free(checkinResponse);
launch_data_free(checkinRequest);
NSMachPort *receivePort = [[NSMachPort alloc] initWithMachPort:mp];
NSConnection *server = [NSConnection connectionWithReceivePort:receivePort sendPort:nil];        

在应用中：

NSConnection *conn = [NSConnection connectionWithRegisteredName:HELPER_BUNDLE_IDENTIFIER host:nil];
id proxyServerObject = [conn rootProxy];
if(conn && proxyServerObject) {
    return [proxyServerObject someMethod];
}
return NO;

我们使用来自 Thawte 的协同设计证书对应用程序和帮助程序工具进行签名。到目前为止，一切都像魅力一样工作。辅助工具已安装，我们可以使用 DO 与之通信;我们的 kext 已成功加载和卸载。

当我们尝试更新我们的帮助程序工具时，问题就开始了。我们使用已安装工具的信息字典和应用程序包中的捆绑工具来检查是否需要更新该工具，并再次调用 SMJobBless 来执行更新。

SMJobBless 调用后，控制台中将显示以下行：

6/19/12 10:31:24.000 AM kernel: CODE SIGNING: cs_invalid_page(0x104e17000): p=74362[OURAPP] clearing CS_VALID
6/19/12 10:31:24.000 AM kernel: CODE SIGNING: cs_invalid_page(0x10d0de000): p=74364[OURAPPHELPER] clearing CS_VALID

在此之后，应用程序无法从我们的钥匙串项中读取应用程序密码，该函数SecKeychainItemCopyContent返回errSecAuthFailed (-25293) 。但是，如果我们使用 codesign -vvvv PATH_TO_TOOL_OR_BUNDLE 手动验证已安装的帮助程序工具或应用程序包的代码签名，则不会报告错误。工具和应用程序在 Xcode 环境外部进行签名，并且在签名过程后不会更改内容。

我们找到了另一篇描述类似情况的帖子，但这个问题仍未得到解答。相关问题可能是 SMJobBless 返回错误 4098。

我们正在 OSX 10.7.4 上进行测试。

有人遇到过类似的问题，或者我们做错了什么？

Answer 1

这是

由于与SMJobBless如何替换磁盘上的帮助程序工具相关的错误。特别是，它就地修改二进制文件，而不是采用写入临时文件然后在目标之上重命名它的常见方法。这样做的效果是，如果二进制文件在内存中，则对文件的修改会更改支持该文件的内存页，从而使其代码签名无效。我已经写了一份关于这个的错误报告作为 rdar://problem/13514523。如果您还没有提交自己的文件，我鼓励您自己提交。

一种可能的解决方法是让应用程序在使用SMJobBless升级之前要求帮助程序工具从磁盘中删除自身。这应该会导致SMJobBless复制到磁盘上的新文件，从而绕过该问题。