Bezpečnostní model Heliosu
Helios odděluje telemetry, řízení ventilátorů a serverovou diagnostiku tak, aby kompromitace jedné části neposkytovala zbytečně širší oprávnění.
Privileged helper je fan-only
Privileged helper je určen pouze pro operace nutné k řízení ventilátorů. Není obecnou cestou pro spouštění administrátorských příkazů a jeho oprávnění se nerozšiřují na ostatní části aplikace.
Battery subsystem je telemetry-only
Informace o baterii jsou v Heliosu diagnostické a read-only. Battery subsystem nemá používat privileged helper pro zápisové operace.
Telemetry není povolení k zápisu
To, že Helios dokáže na určitém Macu číst telemetry, neznamená, že na něm automaticky povolí fan control. Zápisové operace mají samostatné bezpečnostní podmínky a neověřený hardware zůstává read-only.
XPC a trust boundary
Komunikace mezi aplikací a privileged helperem používá autentizovanou XPC cestu a kontrolu signing/trust požadavků. Bezpečnostní kontrola není záměrně oslabována kvůli kompatibilitě.
Least-privilege backend
Veřejný diagnostics endpoint používá oddělený databázový účet, který může pouze vložit povolené diagnostické sloupce. Nemá obecný SELECT, UPDATE ani DELETE přístup k reportům.
Oddělená retention role
Mazání expirovaných reportů používá samostatný účet bez běžného DELETE oprávnění. Může pouze spustit omezenou databázovou cleanup funkci pro reporty na konci retention okna.
Server není remote-control kanál
Diagnostics API nevrací konfiguraci ani příkazy, které by Helios provedl. Úspěšná odpověď pouze potvrzuje uložení reportu.
Nahlášení problému
Bezpečnostní problém nebo podezřelé chování můžeš nahlásit na helios@snejda.cz.