Skip to content

A–Z

Glosario

Definiciones en lenguaje claro de los términos usados en el blog y en la herramienta.

App Translocation
macOS ejecuta una app en cuarentena abierta desde una ubicación inesperada desde un montaje aleatorio de solo lectura.
AppleDouble (archivos ._)
Los archivos acompañantes ._name que macOS escribe en volúmenes sin atributos extendidos (exFAT, FAT, SMB) para conservar los xattrs.
Gatekeeper
El control de macOS, a cargo de syspolicyd, que evalúa el código en cuarentena al primer arranque: firma, Developer ID, notarización, XProtect.
kMDItemWhereFroms
El atributo com.apple.metadata:kMDItemWhereFroms: un array de cadenas en plist binario, normalmente la URL de descarga y la página de origen.
.LastGKReject
Lista de propiedades que syspolicyd escribe cuando Gatekeeper rechaza un elemento. Solo guarda el último rechazo: hora, marcador y tipo.
Tiempo absoluto de Mac
Segundos desde el 2001-01-01 00:00:00 UTC, la época que usa LSQuarantineTimeStamp. Sume 978307200 para pasarlo a tiempo Unix.
Atributo de cuarentena (com.apple.quarantine)
El atributo extendido com.apple.quarantine de los archivos descargados: flags, hora en hexadecimal, agente y un UUID que enlaza con la base.
Flags de cuarentena
El campo de bits hexadecimal que abre un valor com.apple.quarantine. Apple no lo documenta; los bits conocidos salen de código abierto.
QuarantineEventsV2
La base SQLite de LaunchServices, una por usuario, que registra descargas de apps con cuarentena: hora, agente, URL y UUID del evento.
Freeblock de SQLite
Un bloque de espacio libre dentro de una página b-tree de SQLite, encadenado en una lista. Los registros borrados suelen sobrevivir en él.
Registro de escritura anticipada de SQLite (WAL)
El archivo acompañante -wal donde SQLite en modo WAL añade las páginas modificadas como tramas antes de que un checkpoint las vuelque.
Flag de aprobación del usuario (0x0040)
El bit 0x0040 de los flags de com.apple.quarantine, que se activa cuando el usuario aprueba o anula una decisión de Gatekeeper.
XProtect
La comprobación antimalware integrada de Apple, una de las pruebas que Gatekeeper aplica al primer arranque de código en cuarentena.