iMazing перестал устанавливать приложения на iPhone: что произошло с авторизацией App Store

В августе 2026 года часть пользователей iMazing и других сторонних инструментов для работы с App Store столкнулась с ошибкой HTTP 403 при загрузке приложений. Новые технические данные указывают на то, что проблема может быть значительно серьезнее обычного изменения адреса сервера или формата запроса.

По данным разработчиков и участников проекта ipatool, Apple начала отклонять как современный, так и устаревший варианты авторизации CommerceKit. Реверс-инжиниринг системных компонентов Apple указывает на возможный переход к аппаратной проверке через Secure Enclave.

Важно: Apple и разработчик iMazing, компания DigiDNA, пока публично не подтвердили это техническое объяснение. Выводы о Secure Enclave основаны на исследовании компонентов AppleMediaServices и CommerceKit участником проекта ipatool.

Что случилось с iMazing в августе 2026 года

Проблема проявляется при операциях iMazing, которым требуется взаимодействие с серверами App Store: авторизация Apple Account, получение приложения, проверка прав на загрузку или другие операции CommerceKit.

Серверы Apple в таких случаях могут возвращать ошибку HTTP 403 Forbidden. Аналогичная проблема зафиксирована в открытом проекте ipatool.

В issue 522 были проверены сразу несколько вариантов авторизации:

• современный механизм auth/v1/native/fast;
• старый механизм MZFinance.woa/wa/authenticate;
• сервер Store pod, назначенный через Apple Configurator.

Во всех случаях Apple могла отклонять запрос еще до того, как стандартная авторизация Apple Account давала приложению возможность продолжить работу.

Почему смена сервера или User-Agent больше может не помочь

Ранее подобные сбои сторонних клиентов App Store иногда удавалось исправить переходом на другой endpoint, изменением заголовков запроса или обновлением логики авторизации.

Однако исследование issue 522 указывает на другое изменение. В актуальной конфигурации Apple Store несколько операций авторизации отмечены как требующие SAP signing.

В частности, это касается:

• MZFinance: authenticate;
• auth/v1: native;
• auth/v1/native: fast.

Это означает, что проблема может заключаться не в неправильном адресе сервера и не в отсутствии обычного HTTP-заголовка.

При чем здесь Secure Enclave

Автор issue 522 исследовал системные компоненты AppleMediaServices и CommerceKit и проследил процесс формирования Store credential, который используется при обращении к сервисам App Store.

По результатам этого исследования, Store credential, известный как X-Token или passwordToken, теперь может получаться через AMSMediaTokenService в виде Private Access Token.

Главное отличие заключается в том, что для формирования такого токена используется ключ, связанный с Secure Enclave.

В исследованных компонентах обнаружены механизмы, связанные с:

• SecKeyCreateAttestation;
• kSecAttrTokenIDSecureEnclave;
• CryptoKit.SecureEnclave.P384.Signing.PrivateKey;
• FairPlay Device Identity;
• аппаратной аттестацией устройства.

Если эта схема действительно используется Apple для новых запросов App Store, обычной авторизации Apple ID и паролем становится недостаточно.

Apple Account может авторизоваться, но App Store все равно отказывает

Еще одна важная деталь исследования заключается в том, что стандартная система GrandSlam SRP продолжает работать.

Она может успешно возвращать данные авторизации учетной записи, включая DsPrsId, GsIdmsToken и com.apple.gs.idms.pet.

Но попытка использовать полученный PET в качестве Store-токена приводит к ошибкам CommerceKit.

В тестах автора исследования:

• buyProduct возвращал failureType 2002 и MZCommerce.BadPasswordToken;
• volumeStoreDownloadProduct возвращал failureType 2042 и MZCommerce.AuthTokenResumeFreeBuy.

Таким образом, пользователь может успешно пройти обычную проверку Apple Account, но стороннее приложение все равно не получит необходимое разрешение на последующую операцию App Store.

Почему iMazing перестал работать не у всех одновременно

Автор технического исследования предполагает, что Apple включает новую систему постепенно: для разных storefront, серверных pod и групп учетных записей.

Это может объяснять, почему проблема распространялась волнами. Учетные записи со старым сохраненным passwordToken потенциально способны продолжать работу до истечения срока действия токена, тогда как новая авторизация уже сталкивается с новым механизмом проверки.

Однако Apple официально не подтверждала поэтапное развертывание этого изменения, поэтому эту версию пока следует рассматривать именно как техническое объяснение участников проекта ipatool.

Почему Secure Enclave создает проблему для iMazing и других программ

Secure Enclave устроен таким образом, что закрытый криптографический ключ не должен покидать защищенную аппаратную среду устройства.

По данным реверс-инжиниринга, Apple дополнительно проверяет цепочку аттестации, а доступ к необходимым операциям связан с системным процессом appstoreagent и специальными разрешениями Apple.

Среди обнаруженных разрешений:

• com.apple.security.attestation.access;
• com.apple.keystore.absinthe;
• com.apple.keystore.sik.access.

Если сервер действительно требует подпись, созданную аппаратным ключом доверенного Apple-устройства, сторонней программе недостаточно просто воспроизвести HTTP-запрос.

Нельзя взять такой закрытый ключ из Secure Enclave, скопировать его на другой компьютер и использовать в iMazing или ipatool обычным способом.

Означает ли это, что Apple окончательно заблокировала iMazing

Пока такого вывода сделать нельзя.

Apple не объявляла о блокировке iMazing, а DigiDNA не сообщала о прекращении функции Manage Apps.

Более того, официальная документация iMazing по-прежнему описывает возможность:

• скачивать приложения из App Store;
• хранить IPA-файлы в локальной библиотеке;
• устанавливать приложения на подключенный iPhone или iPad;
• работать с ранее загруженными версиями приложений.

На момент первоначальной публикации новости актуальной публичной версией iMazing была 3.6.2, выпущенная 30 июля 2026 года.

Новые ошибки авторизации начали массово обсуждаться уже после выхода этой версии.

Можно ли исправить проблему обычным обновлением iMazing

Если причина ограничивается очередным изменением протокола Apple, разработчики iMazing теоретически могут адаптировать программу, как это происходило ранее.

Но если выводы реверс-инжиниринга issue 522 верны и сервер App Store действительно требует аппаратную аттестацию Secure Enclave, задача становится намного сложнее.

В этом случае недостаточно:

• сменить User-Agent;
• переключиться на старый endpoint;
• добавить недостающий HTTP-заголовок;
• получить новый PET обычной авторизацией Apple Account.

Стороннему приложению потребуется механизм, который способен получить признанное серверами Apple подтверждение от настоящего доверенного устройства или от разрешенного системного компонента Apple.

Будет ли iMazing снова устанавливать приложения

На 27 августа 2026 года точного ответа нет. Актуальная публичная версия iMazing 3.6.2 по-прежнему не содержит исправления августовской проблемы с авторизацией App Store.

После первоначального исследования появились дополнительные независимые тесты. Они показали, что стандартная авторизация Apple Account и двухфакторная проверка могут проходить успешно, однако следующий этап CommerceKit продолжает завершаться ошибкой HTTP 403.

Более того, был протестирован старый iTunes 12.6.5.3 с собственной реализацией Apple FairPlay/CoreFP на настоящем компьютере Apple. Каталог App Store при этом продолжал работать, но клиент не смог получить необходимые Store credentials. Это указывает на то, что проблема затрагивает не только сторонние программы вроде iMazing и ipatool.

Поэтому текущий сбой выглядит серьезнее обычной смены endpoint или User-Agent. По данным реверс-инжиниринга, Apple могла добавить дополнительную проверку Store credential через Private Access Token, SAP/FairPlay и аппаратную аттестацию.

При этом говорить, что Apple окончательно закрыла установку приложений через iMazing, пока нельзя. Apple не делала такого заявления, а DigiDNA не объявляла о прекращении функции Manage Apps.

В сообществе появились сообщения о том, что разработчики iMazing работают над исправлением, однако официального объявления DigiDNA или новой версии iMazing с таким исправлением на момент обновления материала нет.

Коротко: что известно на 27 августа 2026 года

• iMazing и несколько других сторонних инструментов продолжают получать HTTP 403 при обращении к сервисам App Store.
• Официальная версия iMazing по-прежнему 3.6.2 от 30 июля 2026 года. Публичного обновления, исправляющего августовскую проблему, пока нет.
• Последняя версия ipatool остается 2.3.2 от 3 августа 2026 года. Исправление текущего CommerceKit HTTP 403 также пока не выпущено.
• Независимый технический тест подтвердил, что обычная авторизация Apple Account, GrandSlam и 2FA могут работать успешно, тогда как последующая CommerceKit-аутентификация завершается HTTP 403.
• Это подтверждает, что проблема связана не просто с Apple ID или паролем, а с получением Store credential для операций App Store.
• По данным реверс-инжиниринга, новый механизм может использовать Private Access Token, SAP/FairPlay и аппаратную аттестацию для формирования X-Apple-ActionSignature.
• Старый iTunes 12.6.5.3 также был протестирован на настоящем Apple-компьютере и больше не смог получить необходимые Store/FairPlay credentials. Поэтому этот вариант сейчас нельзя считать рабочим обходом.
• Apple официально не объявляла о блокировке iMazing, поэтому утверждать, что возможность закрыта навсегда, преждевременно.
• В сообществе есть сообщения о возможном будущем исправлении iMazing, но официального подтверждения DigiDNA или новой версии программы на 27 августа пока нет.

Источники

При подготовке материала использованы открытое обсуждение issue #522 проекта ipatool на GitHub и актуальная документация iMazing по функции Manage Apps. Технические выводы о Private Access Token, Secure Enclave и аппаратной аттестации относятся к результатам реверс-инжиниринга участника проекта ipatool и не являются официальным заявлением Apple.