Mise à jour du logiciel sur un système obsolète : est-ce bien réel ?

C'est réel, oui. De nombreuses mises à jour logicielles anciennes (mais aussi des plus récentes, par exemple certaines mises à jour supplémentaires de la version 10.14.6 de septembre 2019) sont signées avec un certificat qui devient/est devenu invalide le 24 octobre 2019.

Pour les garder dans le jeu de mise à jour, l'autorité de certification intermédiaire et ses certificats ont été remplacés - la charge utile reste la même - et ils ont été republiés/émis.

Autres lectures (avec des images dont je ne veux pas faire le lien profond ici) :

1. Méfiez-vous des certificats de sécurité d'Apple après le 24 octobre : ils peuvent avoir expiré

2. Certificat utilisé pour signer les anciens logiciels Apple expirant le 24 octobre 2019.

Pour vérifier la validité des paquets d'installation de logiciels, utilisez :

pkgutil --check-signature /path/to/package.pkg

Exemple (le OSInstall.pkg à l'intérieur du InstallESD.dmg de Install MacOS Sierra.app d/led le 26 février 2019) :

pkgutil --check-signature /Volumes/OS\ X\ Install\ ESD/Packages/OSInstall.pkg 
Package "OSInstall.pkg":
   Status: signed by a certificate that has since expired
   Certificate Chain:
    1. Software Update
       SHA1 fingerprint: 1E 34 E3 91 C6 44 37 DD 24 BE 57 B1 66 7B 2F DA 09 76 E1 FD
       -----------------------------------------------------------------------------
    2. Apple Software Update Certification Authority
       SHA1 fingerprint: FA 02 79 0F CE 9D 93 00 89 C8 C2 51 0B BC 50 B4 85 8E 6F BF
       -----------------------------------------------------------------------------
    3. Apple Root CA
       SHA1 fingerprint: 61 1E 5B 66 2C 59 3A 08 FF 58 D1 4A E2 24 52 D1 98 DF 6C 60

Pour vérifier les dmgs, utilisez :

spctl -a -t open --context context:primary-signature -v /path/to/dmg
spctl -a -v /path/to/dmg

ou

codesign -dvvv /path/to/dmg

Tous les dmgs ne sont pas codés ! La commande précise dépend parfois de la version de MacOS, ou nécessite une version minimale de MacOS/OS X. Veuillez vérifier man <command> (par exemple : man spctl ).