A–Z
Glossaire
Définitions en langage clair des termes utilisés dans le blog et l’outil.
- App Translocation
- macOS exécute une app en quarantaine lancée depuis un emplacement inattendu à partir d’un montage aléatoire en lecture seule.
- AppleDouble (fichiers ._)
- Les fichiers compagnons ._name que macOS écrit sur les volumes sans attributs étendus (exFAT, FAT, SMB) pour conserver les xattrs.
- Gatekeeper
- Le contrôle macOS, assuré par syspolicyd, du code en quarantaine au premier lancement : signature, Developer ID, notarisation, XProtect.
- kMDItemWhereFroms
- L’attribut com.apple.metadata:kMDItemWhereFroms : un tableau de chaînes en plist binaire, en général l’URL téléchargée et la page d’origine.
- .LastGKReject
- Une liste de propriétés écrite par syspolicyd quand Gatekeeper refuse un élément. Seul le dernier rejet est conservé.
- Temps absolu Mac
- Secondes écoulées depuis le 2001-01-01 00:00:00 UTC, l’époque de LSQuarantineTimeStamp. Ajoutez 978307200 pour obtenir le temps Unix.
- Attribut de quarantaine (com.apple.quarantine)
- L’attribut étendu com.apple.quarantine des fichiers téléchargés : drapeaux, heure en hexa, agent et UUID relié à la base.
- Drapeaux de quarantaine
- Le champ de bits hexadécimal en tête d’une valeur com.apple.quarantine. Apple ne le documente pas ; les bits connus viennent du code open source.
- QuarantineEventsV2
- La base SQLite LaunchServices propre à chaque utilisateur qui journalise les téléchargements : heure, agent, URL et UUID d’événement.
- Freeblock SQLite
- Un bloc d’espace libre dans une page b-tree SQLite, chaîné dans une liste. Les enregistrements supprimés y survivent souvent.
- Journal WAL de SQLite (write-ahead log)
- Le fichier compagnon -wal où SQLite en mode WAL ajoute les pages modifiées sous forme de trames avant qu’un checkpoint les reporte.
- Drapeau d’approbation utilisateur (0x0040)
- Le bit 0x0040 des drapeaux com.apple.quarantine, positionné quand l’utilisateur approuve ou contourne une décision de Gatekeeper.
- XProtect
- Le contrôle anti-malware intégré d’Apple, l’un des tests que Gatekeeper applique au premier lancement d’un code en quarantaine.