pub const kSecCSValidatePEH: SecCSFlags = 1 << 11; // 0x0000_0800u32