Die Netzwerkwerkzeuge, die Apple gestrichen hat, auf all Ihren Geräten

Jeder Plattformunterschied in diesem Abschnitt läuft auf eine Frage hinaus: Was darf eine App in der Sandbox tatsächlich öffnen. ICMP kennt keine Portnummern. Um einen Echo Request zu senden und die Antwort zu lesen, braucht ein Prozess einen Socket, der IP-Protokoll 1 direkt spricht, und üblicherweise nimmt man an, dass dafür ein Raw-Socket nötig ist: nur für root und von der App Sandbox rundweg verweigert. Diese Annahme hat Ping und Traceroute aus vielen App-Store-Apps herausgehalten, und sie ist falsch. Darwin bietet auch einen Datagramm-ICMP-Socket, socket(AF_INET, SOCK_DGRAM, IPPROTO_ICMP), den jeder unprivilegierte Prozess öffnen darf und den die Sandbox erlaubt. Deshalb hat /sbin/ping vor Jahren sein setuid-Bit verloren, und genau das verwendet Apples eigenes SimplePing-Beispiel unter iOS. Ping und Traceroute haben deshalb eine Implementierung, nicht mehrere. SSHive baut die Echo Requests selbst zusammen, berechnet die ICMP-Prüfsumme, setzt IP_TTL, wenn eine Trace es verlangt, und liest, was zurückkommt: unter macOS über ein kleines natives N-API-Addon, auf iPhone und iPad über den entsprechenden Swift-Typ. Antworten werden über Identifier, Sequenznummer, Quelladresse und ein zufälliges Acht-Byte-Cookie in der Nutzlast zugeordnet, denn ein ICMP-Datagramm-Socket empfängt auch Kopien von Antworten, die für andere Prozesse auf der Maschine bestimmt sind. Eine Voraussetzung wurde durch Messung statt durch Dokumentation gefunden, und sie ist eine Wiederholung wert, weil sie stillschweigend scheitert. Unter sandbox-exec mit com.apple.security.network.client allein gelingt socket(), gelingt sendto(), und recvfrom() liefert EPERM: Die Sonde geht hinaus und es kommt nie etwas zurück, ununterscheidbar von einem Netz, das ICMP filtert. com.apple.security.network.server wird ebenfalls gebraucht. SSHive deklariert beide, und deshalb misst die App-Store-Version in der Sandbox echte Laufzeiten, statt stumm ins Timeout zu laufen. Eine TCP-Connect-Sonde wird weiterhin angeboten, aber als bewusste Wahl für Hosts, die ICMP filtern, nicht als Ersatz: eine Verbindung zu einem Port, den Sie nennen, gemessen vom Verbindungsaufbau bis zur Betriebsbereitschaft des Sockets, mit einem TCP-Abzeichen gekennzeichnet. Eine Feinheit dabei: Eine abgelehnte Verbindung zählt als Erfolg, denn ein RST beweist, dass ein lebender Host geantwortet hat. Der Port ist schlicht geschlossen, und das Protokoll sagt das auch. DNS, Whois und DNSBL brauchen überhaupt keine Privilegien, keine Plattform muss also etwas umgehen; verschieden ist nur der Umfang. Auf dem Mac fragt DNS A, AAAA, CNAME, MX, TXT und NS parallel ab; iPhone und iPad fügen SOA hinzu und zeigen zu jeder Antwort ihre TTL. Jeder Typ hat seine eigene Fehlerbehandlung, sodass eine Domain ohne MX trotzdem ihren A-Record zeigt. WHOIS ist eine schlichte TCP-Sitzung auf Port 43: Abfrage senden, mit CRLF abschließen, lesen, bis der Server schließt. Auf dem Mac folgt es der Verweiskette bis zu drei Sprünge weit, also zwei Verweise tief, mit zehn Sekunden Timeout pro Sprung; iPhone und iPad beginnen bei IANA und folgen den Verweisen von dort aus. Eine DNSBL-Prüfung ist eine A-Record-Abfrage auf die umgedrehten Oktette einer IPv4-Adresse unter jeder Zone, parallel ausgefächert, und die Urteile hängen vom Gerät ab. Der Mac meldet gelistet oder sauber und wertet einen DNS-Fehler als sauber. iPhone und iPad kennen drei Urteile, gelistet, sauber oder keine Antwort: Eine Zone, die stumm bleibt oder einen Ablehnungscode statt eines Eintrags zurückgibt, gilt dort nie als sauber.