Floodtide prüft kostenlos jede App auf Ihrem Mac auf Sicherheitsprobleme
Stand:
Seit Version 1.5 endet jede Suche mit einer Sicherheitsprüfung aller Apps, die sie gefunden hat. Die Prüfung sucht nach fünf Arten von Belegen, und die App sagt immer, welche Art sie gefunden hat und woher sie stammt. So liest sich ein schwacher Hinweis nie wie eine bestätigte Sicherheitslücke. Die Ergebnisse sehen Sie in jeder Kopie kostenlos. Diese Seite erklärt, was jede Prüfung ansieht, was sie anzeigt und was sie nie behauptet.
Was „jede App“ heißt
Geprüft wird jede App, die Floodtide findet, abgedeckt oder nicht, auch die, für die keine Update-Quelle etwas weiß. Verschieden ist nur, wie viel es zu prüfen gibt. Ein veröffentlichtes Sicherheitsupdate mit Versionsnummer ist ein starker Beleg; eine App, die seit zwei Jahren niemand aktualisiert hat, ist ein Grund zum Hinsehen, aber kein Beweis für ein Problem. Deshalb gibt es fünf Arten von Befunden, die stärkste zuerst, und jeder Befund nennt seine Art und seine Quelle.
Die Ergebnisse stehen in Gruppen. Sicherheitsupdates sind die beiden stärksten Hinweise: ein veröffentlichtes Sicherheitsupdate für eine neuere Version als Ihre und ein Update, das der Entwickler als kritisch markiert. Unter „Einen Blick wert“ stehen die schwächeren. „Vertrauen“ betrifft die Kopie auf Ihrem Mac und wer sie signiert hat. Die Apps ohne Befund werden ebenfalls aufgeführt, eingeklappt und mit ihrer Anzahl.
Ein Befund ist nie eine Bewertung. Floodtide zeigt keine CVE-Punktzahlen und keine Schweregrade und zählt Befunde nie zu einer Zahl von Sicherheitslücken zusammen. Wo der Beleg schwach ist, wählt es die vorsichtigere Formulierung oder zeigt nichts, denn eine falsche Sicherheitswarnung ist schlimmer als eine fehlende.
Die fünf Prüfungen, die stärkste zuerst
Zu jeder Prüfung steht hier, welche Belege sie nutzt, was sie auf dem Bildschirm zeigt und was sie nie behauptet.
1. Ein veröffentlichtes Sicherheitsupdate
Die installierte Version ist älter als eine Version, die ein Sicherheitsproblem behebt, und eine Quelle, die es weiß, hat das mit Versionsnummer gesagt.
- Belege. Eine von drei Quellen nennt eine behobene Version über der installierten: ein Eintrag im signierten Katalog von Floodtide, von Hand nach dem Sicherheitshinweis des Entwicklers geschrieben; der von der Community gepflegte SOFA-Feed mit Apples Sicherheitsupdates, für macOS und Safari; oder ein auf GitHub veröffentlichter Sicherheitshinweis für das eigene Repository der App, bei Apps, die Floodtide von GitHub aktualisiert.
- Anzeige. „Sicherheitsupdate“, die Version, in der das Problem behoben ist, und einen Link zum Hinweis. Diese Zeilen stehen ganz oben in der Liste der Updates, in einem eigenen Abschnitt.
- Behauptet nie, dass eine App wegen ihres Namens betroffen ist. Jede Quelle hängt an der App selbst, über ihren eigenen Eintrag, ihr GitHub-Repository oder Apples eigene Veröffentlichungen, und wird nie über den Namen mit einer allgemeinen Liste von Sicherheitslücken abgeglichen.
2. Der Entwickler sagt es
Der Entwickler markiert das angebotene Update als kritisch, oder seine Versionshinweise erwähnen eine Sicherheitskorrektur.
- Belege. Für ein kritisches Update die Markierung, die ein Sparkle-Update-Feed genau dafür trägt. Für Versionshinweise die Hinweise des angebotenen Updates, durchsucht nach Sicherheitsbegriffen wie „security fix“, „Sicherheitslücke“, „CVE-“ und „exploit“, auf Englisch und Deutsch, als ganze Wörter.
- Anzeige. „Kritisches Update (vom Entwickler markiert)“; das zählt als Sicherheitsupdate. Ein Treffer in den Hinweisen lautet „Versionshinweise erwähnen eine Sicherheitskorrektur“, mit der gefundenen Zeile als Zitat, und steht unter „Einen Blick wert“, statt als Sicherheitsupdate zu zählen.
- Behauptet nie, was ein Update behebt, über die Worte des Entwicklers hinaus. Ein Begriff in den Hinweisen wird als Begriff gezeigt, nicht als bestätigte Sicherheitslücke.
3. Ein veraltetes Framework
Die installierte App baut auf einem Framework auf, das keine Sicherheitsupdates mehr bekommt, oder auf einer Version davon mit bekannten Sicherheitsmängeln.
- Belege. Die Version von Electron oder Sparkle im App-Bundle selbst. Electron pflegt seine drei neuesten Hauptversionen, ältere Hauptversionen bekommen also keine Korrekturen mehr; welche aktuell sind, liest Floodtide aus der eigenen Versionsliste von Electron. Bei Sparkle, dem eingebauten Updater vieler Mac-Apps, die Versionen mit veröffentlichten Sicherheitsmängeln.
- Anzeige. Zum Beispiel „Basiert auf Electron 28, das keine Sicherheitsupdates mehr bekommt“ oder dass der eingebaute Updater der App, ein älteres Sparkle, bekannte Sicherheitsmängel hat. Steht unter „Einen Blick wert“; wartet ein Update, sagt die Zeile, dass es das Problem beheben kann.
- Behauptet nie, dass die App selbst angreifbar ist. Ein Entwickler kann einen Mangel in einem alten Framework umgehen, deshalb ist das ein Grund zum Hinsehen und für sich allein nie ein Sicherheitsupdate.
4. Nicht mehr aktualisiert
Der Entwickler der App hat aufgehört, oder es ist lange keine neue Version erschienen.
- Belege. Der Katalog von Floodtide führt die App als vom Entwickler eingestellt, oder die neueste Version, die eine ihrer Quellen kennt, ist mehr als zwei Jahre alt.
- Anzeige. „Vom Entwickler eingestellt“ oder „Kein Update seit“ mit Monat und Jahr dieser Version. Steht unter „Einen Blick wert“.
- Behauptet nie, dass eine alte App unsicher ist. Viele kleine Werkzeuge sind fertig und nicht verlassen; die Zeile ist da, damit Sie selbst entscheiden.
5. Vertrauen in Ihre Kopie
Ob macOS dafür bürgen kann, wer die Kopie auf Ihrem Mac gebaut hat, und ob das angebotene Update vom selben Entwickler stammt.
- Belege. Die Signaturprüfungen von macOS an der installierten Kopie: nicht signiert, ad hoc signiert oder eine Signatur, die nicht mehr zur App passt. Eine offline nicht feststellbare Notarisierung ergibt keinen Befund. Beim angebotenen Update das Entwicklerteam in seiner Signatur, verglichen mit dem der installierten Kopie.
- Anzeige. „Nicht signiert“, „Signatur ist beschädigt“ oder „Neuer Entwickler:“ mit dem Namen des neuen und des bisherigen Teams. Diese Befunde stehen unter „Vertrauen“. Ein Update von einem neuen Entwickler wird unter keiner Einstellung automatisch installiert: Floodtide hält an und fragt Sie.
- Behauptet nie, dass eine App Schadsoftware ist. Viele seriöse Open-Source-Apps sind nicht notarisiert; das heißt, Apple hat diesen Build nicht geprüft, nicht, dass mit ihm etwas nicht stimmt.
Wo die Befunde stehen
- Sicherheit, in der Seitenleiste. Eine eigene Seite unter „Bibliothek“, mit der Zahl der Apps, für die ein Sicherheitsupdate bereitsteht. Sie beginnt mit einer Zeile, wie viele Apps Floodtide geprüft und was es gefunden hat, und listet dann die Sicherheitsupdates, die Apps, die einen Blick wert sind, die Befunde zum Vertrauen und die Apps ohne Befund.
- Die Liste der Updates. Zeilen mit einem Sicherheitsupdate kommen zuerst, in einem eigenen Abschnitt und jeweils mit dem Etikett „Sicherheitsupdate“. Das Häkchen des Abschnitts wählt sie alle für „Ausgewählte aktualisieren“ aus.
- Die Details jeder App. Eine Gruppe „Sicherheit“ listet die Befunde der App mit ihren Links auf oder sagt, dass sie geprüft und nichts gefunden wurde.
- Kopfzeile und Menüleiste. Hat eine App ein Sicherheitsupdate, sagen beide, wie viele es sind.
- Eine Mitteilung am selben Tag. Eine Einstellung, standardmäßig an, meldet Sicherheitsupdates noch am selben Tag. Sie hält Ihre Ruhezeiten ein und meldet jedes Update nur einmal.
- App-Liste exportieren. Eine Spalte „Sicherheit“ nennt die Befunde jeder App.
Ausgewertet auf Ihrem Mac
Der Abgleich findet auf Ihrem Mac statt, und die Sicherheitsprüfung sendet keine App-Liste, keine Befunde und keine Kennung. Wenn Sie die freiwillige anonyme Nutzungsfreigabe aktiviert haben, bleibt deren tägliche Meldung von App-Namen und Versionen unverändert. Sie können sie unter Einstellungen, Datenschutz ausschalten.
Um zu wissen, was aktuell ist, liest Floodtide ein paar öffentliche Listen: den SOFA-Feed mit Apples Sicherheitsupdates, die Versionsliste von Electron, die öffentlichen Sicherheitshinweise von Sparkle und, bei Apps, die es ohnehin von GitHub aktualisiert, die Sicherheitshinweise dieses Repositorys. Das sind einfache Downloads wie eine Update-Prüfung, einen Tag lang auf dem Mac aufbewahrt und in der Größe begrenzt. Lässt sich eine davon nicht lesen, zeigt die Prüfung, die darauf beruht, nichts an, statt zu raten. Die Datenschutzerklärung (auf Englisch) listet jede Anfrage der App auf.
Kostenlos sehen, mit Lizenz installieren
Die Befunde sehen Sie in jeder Kopie kostenlos: in der Testphase, danach, mit Lizenz oder ohne. Nichts davon gehört zur Tide.
Ein Update zu installieren bleibt, wie bisher, das, wofür die Lizenz da ist: £10.9912,99 €$14.99 einmalig für 3 Macs, nach 14 Tagen Testphase, in denen alles freigeschaltet ist.
Nur Sicherheitsupdates
Die automatische Installation bekommt eine neue Wahl: „Nur Sicherheitsupdates“. Damit installiert ein geplanter Durchlauf nur die Updates, die eine veröffentlichte Sicherheitslücke schließen oder die der Entwickler als kritisch markiert, und lässt alles andere für Sie in der Liste. Wie jede automatische Installation braucht das eine Lizenz und durchläuft dieselben Prüfungen wie ein Update, das Sie selbst starten.
Ein Update, das ein anderes Entwicklerteam signiert hat als Ihre Kopie, wird unter keiner Einstellung automatisch installiert; es wartet auf Ihre Antwort. Wie Floodtide ein Update überprüft.
Was die Prüfung nicht ist
- Ein Virenscanner. Floodtide sucht in Apps nicht nach Schadcode. Es liest, was Entwickler und Apple veröffentlicht haben und was macOS über die Signatur sagt.
- Eine Bewertung. Keine CVE-Punktzahlen, keine Schweregrade, keine Zahl von Sicherheitslücken. Ein Befund sagt, welche Art von Beleg er ist, und verlinkt seine Quelle, sofern vorhanden.
- Eine Garantie. Eine App ohne Befund ist eine, bei der keine der fünf Prüfungen einen Beleg gefunden hat. Das ist kein Versprechen, dass die App keine Mängel hat.
Häufige Fragen
Ist die Sicherheitsprüfung kostenlos?
Ja. Jede Kopie sieht jeden Befund, in der Testphase und danach, mit oder ohne Lizenz. Die Lizenz installiert Updates, wie bisher, und nichts an der Prüfung gehört zur Tide.
Schickt Floodtide meine App-Liste weg, um sie zu prüfen?
Nein. Der Abgleich findet auf Ihrem Mac statt, und die Prüfung sendet nichts Neues. Sie liest öffentliche Listen: Apples Sicherheitsupdates über den SOFA-Feed, die Versionsliste von Electron, die öffentlichen Sicherheitshinweise von Sparkle und die GitHub-Sicherheitshinweise der Apps, die Floodtide ohnehin von GitHub aktualisiert.
Zeigt Floodtide CVE-Punktzahlen?
Nein. Es zeigt, welche Art von Beleg es gefunden hat und woher er stammt, mit einem Quellenlink, sofern vorhanden, und nie eine Punktzahl, einen Schweregrad oder eine Zahl von Sicherheitslücken.
Was heißt „Einen Blick wert“?
Ein schwächerer Hinweis: Versionshinweise, die eine Sicherheitskorrektur erwähnen, ein Framework, das keine Sicherheitsupdates mehr bekommt, oder eine App, die seit mehr als zwei Jahren kein Update hatte. Für sich allein zählt keiner davon als Sicherheitsupdate.
Kann Floodtide automatisch nur Sicherheitsupdates installieren?
Ja, mit Lizenz. Wählen Sie für die automatische Installation „Nur Sicherheitsupdates“, dann installiert ein geplanter Durchlauf nur die Updates, die eine veröffentlichte Sicherheitslücke schließen oder die der Entwickler als kritisch markiert. Ein Update von einem anderen Entwickler wird nie automatisch installiert.
Sehen Sie, was es auf Ihrem Mac findet
Die Suche und die Sicherheitsprüfung sind kostenlos und brauchen kein Konto. 14 Tage die volle App, danach bleibt beides kostenlos; eine Lizenz kostet £10.9912,99 €$14.99 einmalig für 3 Macs.