Remise de la clé privée du certificat iPhone?

Question

La société pour laquelle je travaille a externalisé le développement d'une application iPhone à une autre société. Ils veulent que le binaire soit signé avec notre certificat pour la distribution, mais ils m'ont demandé de passer la clé privée (certificates.p12) utilisée pour créer notre certificat à l'autre compagnie. Je suis extrêmement préoccupé par la possibilité de signer des demandes comme nous à une autre entreprise. Comment puis-je convaincre mon patron que c'est une très mauvaise idée? Quelles solutions alternatives puis-je lui suggérer? Je lui ai déjà demandé d'en obtenir la source afin que nous puissions la signer et la soumettre nous-mêmes, mais sans pouvoir dire de façon concluante que leur donner le certificat est une mauvaise idée, je suis coincé dans le moi "limbo.

Answer 1

Vous n'avez pas besoin de la source. Vous avez juste besoin du binaire compilé (assurez-vous que c'est ARM, pas x86) pour signer avec codesign.

Answer 2

La société sous-traitante peut simplement créer et signer l'application avec son propre certificat. Vous pouvez ensuite démissionner de l'application avec le certificat de votre entreprise avant de le soumettre (utilisez codesign). Un conseiller ne peut pas faire grand-chose avec la clé privée d'un certificat de distribution App Store, mais sans les identifiants de connexion iTunes Connect de l'agent d'équipe, car l'équipe d'évaluation d'Apple est la seule à pouvoir exécuter une application signée avec votre distribution. certificat, et vous ne pouvez pas soumettre une application à iTunes Connect sans la connexion correspondant au certificat (AFAIK).