Cómo verificar que Comoji nunca envía tus pulsaciones a ningún sitio

Paso 3: lee los nombres de host de la app que descargaste

Un proceso solo puede conectarse a un sitio que conoce, y los nombres de host tienen que estar guardados en el binario. strings extrae el texto legible de un archivo compilado, así que puedes listarlos sin ningún código fuente:

strings -a /Applications/Comoji.app/Contents/MacOS/Comoji \
  | grep -Eo 'https?://[A-Za-z0-9._-]+' | sort -u

/usr/libexec/PlistBuddy -c 'Print :SUFeedURL' \
  /Applications/Comoji.app/Contents/Info.plist

Lo que aparece es la CDN de ilustraciones de stickers de Google (fonts.gstatic.com), el canal de actualizaciones en Firebase Storage (storage.googleapis.com) y un puñado de direcciones de comoji.io y de otros proyectos que solo se pasan a tu navegador cuando haces clic en un enlace dentro de la app.

Dos advertencias honestas, para que esto coincida con lo que ves de verdad y no con una versión maquillada. api.giphy.com se construye en el código a partir de su nombre de host en lugar de guardarse como URL completa, así que no aparecerá en esa primera lista; búscalo directamente con strings -a … | grep -Eo '[a-z0-9.-]*giphy\.com', un patrón que solo coincide con nombres de host, así que no mostrará la clave de API que también se incluye en el paquete. Y el framework de actualizaciones Sparkle incluido trae sus propias URL de documentación (sparkle-project.org, andymatuschak.org) dentro de Contents/Frameworks, que son cadenas de una biblioteca de terceros y no hosts con los que Comoji se comunique.

Paso 4: bloquéala y mira qué deja de funcionar

Esta es la prueba más sólida, porque no depende de fiarte de ninguna salida. Instala un cortafuegos de salida: LuLu es gratuito y de código abierto, y Little Snitch es la opción comercial veterana. Configúralo para que avise de cada conexión saliente y luego deniega todo lo que venga de Comoji, de forma permanente.

El autocompletado de emoji sigue funcionando exactamente igual, indefinidamente, porque nunca necesitó la red. Lo único que deja de funcionar es la búsqueda de actualizaciones y la descarga de ilustraciones de stickers o GIF que no tengas ya en caché. Si la afirmación de que todo es local fuera falsa, aquí es donde se vendría abajo, y con estruendo.

Paso 5: confirma que la app es realmente nuestra

Todo lo anterior pone a prueba la copia que tienes en el disco. Vale la pena confirmar que esa copia es la que Apple notarizó y que nadie la ha modificado desde entonces:

codesign -dv --verbose=4 /Applications/Comoji.app
spctl -a -vvv -t exec /Applications/Comoji.app
codesign -d --entitlements - /Applications/Comoji.app

codesign muestra el Developer ID con el que está firmada la app, spctl debería responder accepted con source=Notarized Developer ID, y el volcado de entitlements muestra lo que la app tiene permitido hacer, sin más.

Lo que hacemos por nuestra parte

Una verificación que puedes hacer tú vale más que una promesa, pero la promesa también debería estar garantizada en algún sitio. Dos cosas se ejecutan en cada compilación de la app:

• La lista completa de hosts con los que Comoji puede comunicarse es una declaración en el código fuente, publicada como la superficie de red y visible en la app en Preferencias → Privacidad. Una prueba automática hace fallar la compilación si la app puede llegar a un host que esa lista no declara.
• Una segunda prueba analiza el código que realmente maneja las pulsaciones (el event tap, el búfer de tokens, el buscador de coincidencias y el insertador) y hace fallar la compilación si aparece en él cualquier API de red o cualquier URL remota. La parte de Comoji que ve lo que escribes no contiene nada de red, y no puede adquirirlo a escondidas.

Esa misma página también recoge lo que hemos decidido *no* hacer y por qué, incluido publicar como código abierto la ruta de entrada y encargar una revisión de pago a terceros, para que puedas valorar el razonamiento en lugar de adivinarlo.

Si ejecutas algo de esto y encuentras algo que contradiga lo que publicamos, escribe a support@comoji.io. Preferimos corregir la página o la app antes que dejar que la afirmación sea falsa sin que nadie lo note.

Sobre lo que la app hace realmente con esos permisos, la página de funciones cubre todas las apps y sitios en los que funciona Comoji y las listas para desactivarla por app y por sitio web que la mantienen en silencio donde prefieras que no se ejecute en absoluto.