Glossar
Gatekeeper
Die macOS-Prüfung durch syspolicyd für Code in Quarantäne beim ersten Start: Signatur, Developer ID, Notarisierung und XProtect.
Gatekeeper wird von syspolicyd umgesetzt. Beim ersten Start von Code in Quarantäne prüft er Signatur, Developer ID, Notarisierung und XProtect. Erst das Quarantäne-Attribut bringt eine Datei in seinen Zuständigkeitsbereich. Seit macOS 15 gibt es die Umgehung per Control-Klick nicht mehr; Ausnahmen laufen über die Systemeinstellungen.
Gatekeeper hinterlässt an zwei Stellen Spuren. Eine Freigabe setzt das Bit 0x0040 in den Quarantäne-Flags des Objekts, eine Ablehnung wird in .LastGKReject geschrieben, das nur die jüngste Ablehnung aufbewahrt. Keine der beiden Quellen ist ein vollständiger Verlauf der Gatekeeper-Entscheidungen; sie sollten mit der Download-Zeitleiste und weiteren Systemartefakten abgeglichen werden. Siehe .LastGKReject und Gatekeeper-Spuren.