Comment vérifier que Comoji n’envoie jamais vos frappes nulle part

Étape 3 : lire les noms d’hôte dans l’app téléchargée

Un processus ne peut se connecter qu’à un endroit qu’il connaît, et les noms d’hôte doivent être stockés dans le binaire. strings extrait le texte lisible d’un fichier compilé, ce qui permet de les lister sans aucun code source :

strings -a /Applications/Comoji.app/Contents/MacOS/Comoji \
  | grep -Eo 'https?://[A-Za-z0-9._-]+' | sort -u

/usr/libexec/PlistBuddy -c 'Print :SUFeedURL' \
  /Applications/Comoji.app/Contents/Info.plist

Vous obtenez le CDN des illustrations de stickers de Google (fonts.gstatic.com), le flux de mises à jour dans Firebase Storage (storage.googleapis.com), et une poignée d’adresses de comoji.io et d’autres projets qui ne sont jamais transmises qu’à votre navigateur, quand vous cliquez sur un lien dans l’app.

Deux réserves honnêtes, pour que cela corresponde à ce que vous voyez réellement plutôt qu’à une version embellie. api.giphy.com est construit dans le code à partir de son nom d’hôte au lieu d’être stocké comme URL complète : il n’apparaîtra donc pas dans cette première liste. Cherchez-le directement avec strings -a … | grep -Eo '[a-z0-9.-]*giphy\.com', un motif qui ne correspond qu’aux noms d’hôte et n’affichera donc pas la clé d’API également livrée dans le paquet. Par ailleurs, le framework de mise à jour Sparkle intégré contient ses propres URL de documentation (sparkle-project.org, andymatuschak.org) dans Contents/Frameworks : ce sont des chaînes d’une bibliothèque tierce, pas des hôtes que Comoji contacte.

Étape 4 : le bloquer et voir ce qui casse

C’est le test le plus solide, car il ne dépend d’aucune sortie à laquelle il faudrait se fier. Installez un pare-feu sortant : LuLu est gratuit et open source, et Little Snitch est l’option commerciale de longue date. Réglez-le pour qu’il vous alerte à chaque connexion sortante, puis refusez tout à Comoji, définitivement.

L’autocomplétion des emoji continue de fonctionner exactement comme avant, indéfiniment, parce qu’elle n’a jamais eu besoin du réseau. Les seules choses qui cessent de fonctionner sont la recherche de mises à jour et le téléchargement des illustrations de stickers ou de GIF que vous n’avez pas encore en cache. Si l’affirmation sur le traitement local était fausse, c’est ici que tout s’effondrerait, bruyamment.

Étape 5 : confirmer que l’app est bien la nôtre

Tout ce qui précède teste la copie présente sur votre disque. Il vaut la peine de confirmer que cette copie est bien celle qu’Apple a notarisée et que personne ne l’a modifiée depuis :

codesign -dv --verbose=4 /Applications/Comoji.app
spctl -a -vvv -t exec /Applications/Comoji.app
codesign -d --entitlements - /Applications/Comoji.app

codesign affiche le Developer ID avec lequel l’app est signée, spctl doit répondre accepted avec source=Notarized Developer ID, et la liste des entitlements montre ce que l’app est autorisée à faire, tout simplement.

Ce que nous faisons de notre côté

Une vérification que vous pouvez faire vaut mieux qu’une promesse, mais la promesse doit aussi être garantie quelque part. Deux contrôles s’exécutent à chaque build de l’app :

• La liste complète des hôtes que Comoji peut contacter est une déclaration dans le code source, publiée sous le nom de surface réseau et affichée dans l’app sous Préférences → Confidentialité. Un test automatisé fait échouer le build si l’app peut joindre un hôte que cette liste ne mentionne pas.
• Un second test analyse le code qui traite réellement les frappes (l’interception d’événements, le tampon de jetons, le moteur de correspondance et le module d’insertion) et fait échouer le build si une API réseau ou une URL distante y apparaît. La partie de Comoji qui voit ce que vous tapez ne contient absolument aucun code réseau, et ne peut pas en acquérir discrètement.

Cette même page consigne aussi ce que nous avons décidé de *ne pas* faire et pourquoi, notamment rendre open source le chemin de saisie et commander un audit payant par un tiers, pour que vous puissiez juger le raisonnement au lieu de le deviner.

Si vous lancez l’une de ces commandes et trouvez quelque chose qui contredit ce que nous publions, écrivez à support@comoji.io. Nous préférons corriger la page ou l’app plutôt que de laisser l’affirmation être fausse en silence.

Pour ce que l’app fait réellement de ces autorisations, la page des fonctionnalités présente toutes les apps et tous les sites où Comoji fonctionne ainsi que les listes de désactivation par app et par site web, qui le font taire là où vous préférez qu’il ne s’exécute pas du tout.