RoamSwitch 아키텍처 및 보안 백서

§1

RoamSwitch는 Mac용 메뉴바 앱입니다. 네트워크를 얼마나 신뢰하느냐에 따라 현재 연결되어 있으면 macOS 방화벽, 공유 서비스, AirDrop을 자동으로 전환합니다. 그리고 DNS. 또한 ARP 스푸핑, 외부로 열린 포트, USB 저장 장치 등을 감시합니다. 랜섬웨어와 유사한 암호화 활동을 수행하며 위험한 것을 감지하면 패킷 필터(pf)로 트래픽을 차단합니다. 즉 비상 에어갭입니다.

즉, RoamSwitch는 루트 권한이 있는 데몬을 설치하고 원할 경우 모든 것을 중지할 수 있습니다. Mac의 네트워크 트래픽. 그것은 한 사람에 의해 만들어지며, "저를 믿어주세요"만으로는 충분하지 않습니다. 그 특권을 정당화하십시오. 그래서 대신 이 문서는 여러분이 확인할 수 있는 형태로 디자인을 설명합니다.

이것은 누구를 위한 것인가

• 설치 여부를 결정하는 엔지니어
• 리뷰나 기사를 쓰기 전에 내부를 이해하고 싶은 보안 연구자 및 언론인
• 내부 출시 또는 OEM 번들링을 평가하는 파트너 회사의 보안 직원

이 문서에서 다루지 않는 내용

감지 임계값 조정, 가양성 통계 또는 UI 둘러보기에는 포함되지 않습니다. 설명하는 내용은 권한, 프로세스 경계, 데이터 흐름 및 암호화. 기능 사양 자체는 번들로 제공되는 MCP 리소스에 있습니다. roamswitch://docs/features 및 인앱 도움말.

공개 대상, 어디까지 공개(공개정책)

본 문서는 공격자가 이미 배포된 바이너리를 보유하고 있다는 가정 하에 작성되었습니다. 여기에 표시되는 모든 엔드포인트 URL, 식별자, 파일 경로, XPC 프로토콜 및 내장된 공개 키 몇 분 안에 배송 RoamSwitch.app에서 꺼낼 수 있습니다. strings, codesign -d 또는 트래픽 프록시. 그러므로 여기에 적어 두세요 공격자에게 새로운 것은 아무것도 주지 않습니다. 그것이 발전하는 유일한 것은 리뷰어의 이해입니다.

반면에 바이너리에서 볼 수 없는 서버측 구현 — 속도 제한 임계값, 키, 관리 엔드포인트, DB 스키마, Firebase 프로젝트 레이아웃은 포함되지 않습니다. OEM 및 파트너 통합 설계도 여기의 범위를 벗어나며 별도의 섹션에서 다룹니다. 내부 문서. "고객을 관찰함으로써 배울 수 있는 것"은 이에 대한 공개 라인입니다. 문서.

§2

RoamSwitch.app은 세 개의 실행 파일로 구성됩니다. 그 중 하나만 특권이 있습니다. 는 다른 두 개는 로그인 사용자 권한으로 실행됩니다. 세 가지 모두 강화된 런타임이 활성화되어 있으며 개발자 ID가 제공됩니다. 서명하고 공증했습니다.

권리 및 서명

• 세 대상 모두 ENABLE_HARDENED_RUNTIME = true을(를) 갖습니다.
• 앱 샌드박스가 비활성화되었습니다(com.apple.security.app-sandbox = false). 도우미와 MCPServer의 자격은 빈 사전입니다.
• 배포 빌드는 개발자 ID 애플리케이션 서명, Apple 공증 및 스테이플링됩니다(§10).

§3

등록방법

도우미는 SMAppService.daemon(plistName:)을 사용하여 LaunchDaemon으로 등록됩니다. 는 앱에 삽입된 plist (Contents/Library/LaunchDaemons/com.tetsuharu.RoamSwitch.Helper.plist)만 선언합니다. Label, BundleProgram, 단일 MachServices 항목 및 AssociatedBundleIdentifiers. SMAppService의 작동 방식으로 인해 앱이 /Applications에 있지 않으면 등록도 불가능합니다. 첫 번째 등록하면 사용자가 시스템에서 직접 승인할 때까지 도우미가 활성화되지 않습니다. 설정.

누구의 연결을 수락합니까(ClientValidator)

도우미는 NSXPCListener의 연결 프로세스를 검사합니다. shouldAcceptNewConnection을 그리고 HelperProtocol를 다음 사람에게만 나눠줍니다. 통과. 검사에서는 PID 대신 audit_token를 사용하여 PID 재사용 및 TOCTOU를 피하십시오.

# Release 빌드가 접속하는 클라이언트에 요구하는 코드 서명 요건
identifier "com.tetsuharu.RoamSwitch"
  and anchor apple generic
  and certificate leaf[subject.OU] = "GV76B6G4YU"

이 요구 사항은 SecCodeCopyGuestWithAttributes으로 확인되며 SecStaticCodeCheckValidity, 통과하지 못하면 연결이 끊어집니다. 만 DEBUG 빌드는 개발 편의를 위해 팀 ID 핀을 삭제합니다. 실제로 배송되는 것은 항상 릴리스 빌드.

도우미가 할 수 있는 작업(전체 목록)

Shared/HelperProtocol.swift에 정의된 권한 있는 작업이 모두 해당됩니다. 여기에 나열되지 않은 권한 있는 API는 없습니다.

도우미 내부 상태

• HelperTool.shared은 여러 연결에서 공유되는 단일 인스턴스입니다. 예전에는 연결당 별도의 인스턴스였기 때문에 새로운 연결을 여는 긴급 봉쇄로 인해 "어떤 서비스를 다시 가져올지" 추적하지 못하는 경쟁이 발생할 수 있었습니다.
• 공유 서비스 및 DNS 백업은 직렬 대기열(stateQueue)에서만 변경됩니다.

§4

4가지 기능 터치: 비상 에어 갭, 개발 서버 포트 가드, VPN 터널 WireGuard 킬 스위치(§5, 1.7.6+) 및 Tailscale 킬 스위치(§5, 1.8.0+ — 선택한 백엔드에만 해당). 다들 항상 가는데 단일 진입점 PFRulesetCoordinator을 통해 실행되지 않음 pfctl -f 자신.

단일 진입점이 있는 이유

이전에는 두 기능이 각각 독립적으로 pfctl -f 규칙을 로드하여 경쟁했습니다. pf의 단일 기본 규칙 세트에 대해. 항만 경비대의 좁은 규칙 block ... port {…}이 에어 갭의 block drop all 이후에 로드되면 화면이 꺼지는 상태가 될 수 있습니다. "격리"라고 말했지만 Mac은 여전히 연결 가능했습니다. 이 버그는 실제 공격을 통해 발견되었습니다. 다른 호스트의 컴퓨터이며 1.4.3에서 수정되었습니다(이야기는 docs/marketing/zenn/03_lan_side_attack_test.md).

현재 작동 방식

• 매번 완전히 다시 작성됩니다. 전체 필수 규칙 세트가 현재 상태에서 다시 작성되어 한 번에 적용됩니다. 결코 diff로 적용되지 않습니다.
• 하나의 직렬 대기열. 모든 pf 변경은 동일한 DispatchQueue에서 실행되므로 XPC 연결, 도우미의 시작 또는 비상 안전 타이머에서 발생했는지 여부에 관계없이 변경 사항이 순서대로 처리됩니다.
• 우선순위는 다음과 같습니다(위에 있는 항목이 우선됩니다).
  1. 비상 공극 → set skip on lo0 및 block drop all (다른 것은 고려되지 않음)
  2. VPN 킬 스위치 → block drop all + pass quick: lo, 터널 인터페이스(utunN), 고정된 엔드포인트 IP에 대한 UDP 핸드셰이크, DHCP 및 ICMP
  3. 개발-서버 가드 → block drop in quick proto tcp ... port { … }
  4. 없음 → /etc/pf.conf을 다시 로드하고 pf를 원래 상태로 되돌립니다.
• 적용 후 다시 읽습니다. pfctl -sr은 규칙을 다시 읽어 block drop all 또는 각 포트의 규칙이 실제로 로드되었는지 확인합니다. pfctl -f이 조용히 무시된 경우는 성공으로 처리되지 않습니다.
• 임시 파일은 UUID을 포함하는 경로에 기록되고 적용되면 삭제됩니다(v1.4.5에서는 추측하기 어려운 경로를 위해 고정 경로를 삭제했습니다). 상태 디렉터리는 /Library/Application Support/RoamSwitch입니다.

§5

블록의 종류가 각각 다릅니다.

에어 갭이 오래 지속되지 않는 방법

• 최대 10분 후에는 반드시 해제됩니다. 도우미 자체도 시작 직후와 60초 주기 타이머로 releaseAirGapIfExpired()을 실행하지만, 그와는 완전히 독립된 안전망으로서 KeepAlive를 전혀 가지지 않는 전용 LaunchDaemon(AirGapFailsafe)이 3분마다 단독으로 깨어나 동일한 판정과 해제를 수행합니다. 도우미 자체가 크래시하여 자체 해제 타이머까지 함께 사라지더라도 이 안전망은 영향을 받지 않습니다(1.8.6~).
• 이 전용 데몬은 도우미 본체의 상주 설정에는 전혀 손대지 않습니다. 이전(1.8.5)에는 도우미 자체의 KeepAlive.PathState로 이 복구를 구현했지만, 일반적인 앱 종료 조작과 드물게 충돌하여 의도치 않게 재시작되는 결함이 있어 이를 철회하고 현재의 완전히 독립된 데몬 방식으로 대체했습니다.
• 타임스탬프 판정은 단조 증가 시간(ProcessInfo.systemUptime)과 벽시계를 결합한 하이브리드 방식입니다. 평소에는 단조 증가 시간을 우선하므로 NTP 보정이나 수동 시각 변경의 영향을 받지 않습니다. 재부팅 직후라 단조 증가 시간을 신뢰할 수 없는 경우(저장된 값보다 현재 값이 작아 재부팅으로 판단되는 경우)에만 벽시계로 폴백합니다.
• 재부팅 또는 데몬이 다시 생성된 후에 다시 적용됩니다. 시작 시 도우미는 reapplyFromDisk()을 사용하여 디스크 상의 상태를 읽고 에어 갭, 포트 가드, 시스템 기본값 순서로 자체적으로 복원합니다(여기에서도 10분 규칙이 적용됩니다).
• A 실패한 리프트는 실패로 처리됩니다. block drop all을 실제로 제거할 수 없는 경우 안전 장치 타이머와 재시도가 수렴할 수 있도록 타임스탬프가 다시 기록됩니다. 화면에는 "리프트됨"이 잘못 표시되지 않습니다.
• 모달의 리프트 버튼을 사용하거나 Wi-Fi를 끄는 것만으로 언제든지 제어권을 되돌릴 수 있습니다.

포트 가드 오탐이 복구되는 방법

알 수 없는 포트 자동 차단(Pro, Pro가 활성화되면 기본적으로 켜짐)은 합법적인 포트를 중지할 수 있습니다. LAN 수신기 — LocalSend, Syncthing, 가드가 활성화된 후 시작된 모든 것. 그럴 때 이 경우 알림 배너의 "허용" 버튼이나 해당 행에서 허용하세요. "노출된 포트" 화면. 한 번 허용된 실행 파일은 알려진 것으로 기록되고 차단되지 않습니다. 다시 (PortAnomalyGuard.allowPort(_:)). 일반 스크립트 인터프리터에 유의하세요. (Python, Node.js, Netcat 등)은 바이너리가 아닌 path:port로 엄격하게 범위가 지정됩니다. 외계 생명체 공격을 방지하기 위해 단독으로 사용합니다. 만족하는 Apple 시스템 데몬 anchor apple(Handoff 등을 지원하는 rapportd)는 그렇지 않습니다. 우선적으로 시청했습니다.

자가 치유 랜섬웨어 카나리아 미끼 및 억제 억제

카나리아 미끼 파일이 변조되거나 이름이 변경되어 긴급 공극이 발생하면 보안을 확인한 후 격리하면 누락되거나 손상된 카나리아 파일이 자동으로 재생성됩니다. 내장된 템플릿에서 생성된 실제 기준 해시로 돌아가 중단 없는 kqueue 감시를 즉시 복원합니다(적의 기준 오염 방지). 또한, 활성 봉쇄 중(비상 모달이 표시되는 동안), 중복 알림 경고 및 주기적인 배경 무결성 폴링의 재트리거 이벤트는 사고 대응 중에 사용자의 주의를 산만하게 하지 않도록 자동으로 억제됩니다.

다운로드 파일의 다층 탐지(정적 시그니처 + ClamAV) — 1.8.7에서 정적 시그니처 계층 추가

다운로드, 데스크탑, 문서 폴더에 새로 배치된 파일은 먼저 StaticSignatureScanner에 의한 가벼운 정적 시그니처 대조를 거칩니다(첫 4MB만 대상으로 하며, AND/OR 패턴의 단순한 바이트열 일치만 사용하고 정규표현식이나 엔트로피 계산은 하지 않습니다). EndpointSecurity entitlement를 사용하지 않으므로 ClamAV가 설치되지 않은 환경에서도 동작합니다. 탐지 대상은 실제 악성코드 샘플 없이도 정확성을 보장할 수 있는 범위——업계 표준 EICAR 테스트 서명과, 공개된 공격 기법 문서(PayloadsAllTheThings 등)에 실린 정통적인 리버스 셸 한 줄 명령 5종(bash/sh의 /dev/tcp/, nc -e, Python의 pty.spawn, Perl의 Socket, PHP의 fsockopen)——으로 의도적으로 한정했습니다. 특정 악성코드 계열 고유의 바이트열을 실제 샘플 없이 "시그니처"로 작성하지는 않습니다(검증할 수 없는 거짓 안전감만 줄 뿐이기 때문입니다). 패턴 자체는 XOR 0x5A로 난독화하여 보관하며, RoamSwitch 자신의 바이너리가 EICAR 문자열 등을 평문으로 포함해 ClamAV에 의해 오탐되는 것을 방지합니다.

정적 시그니처 계층에서 "클린"으로 판정된 파일만 이어서 ClamAV 스캔 대상이 됩니다. 다운로드, 데스크탑, 문서 폴더에 새로 배치된 파일은 .tmp 확장자나 com.apple.quarantine 속성 유무(터미널을 통한 복사 등)와 관계없이 즉시 ClamAV 스캔 대상이 됩니다. EICAR 등 업계 표준 테스트 서명은 "무해함"으로 취급하여 알림을 표시하지 않고 알림 기록에만 남기며, 격리·차단하지 않습니다(실제 악성코드 샘플만 격리 대상). 또한 격리 폴더(Quarantine)에 이전에 격리된 동일한 이름의 파일이 이미 존재하더라도, 타임스탬프가 붙은 고유한 이름으로 격리 폴더에 확실히 이동시켜 위협이 원래 위치에 남는 격리 누락을 완전히 방지합니다.

새로운 자동 실행 등록(LaunchAgent/LaunchDaemon) 모니터링 — 1.8.7

~/Library/LaunchAgents, /Library/LaunchAgents, /Library/LaunchDaemons에 새로 생성되는 .plist 파일을 FSEvents로 실시간 감지합니다(PersistenceMonitorGuard). EndpointSecurity의 ES_EVENT_TYPE_AUTH_CREATE를 사용하지 않으므로 쓰기 작업 자체를 막을 수는 없습니다. 할 수 있는 것은 쓰기가 이루어진 직후(수 초 이내)에 이를 알아차리고 내용을 판정하는 것입니다.

판정의 핵심은 "실행 파일 자체의 서명"이 아니라 "무엇을 직접 실행하려 하는가"입니다. 2026년에 보고된 실제 수법(Google Update로 위장한 LaunchAgent 안에 Base64로 인코딩된 bash 스크립트를 숨기는 방식, root의 LaunchDaemon이 부팅할 때마다 Base64로 인코딩된 AppleScript 페이로드를 다시 실행하는 방식 등)은 모두 악성 코드를 스크립트 자체에 담아두고, 정당하게 서명된 /bin/bash나 /usr/bin/osascript를 그대로 호출합니다. 실행 파일의 서명만 검사하는 방식으로는 이런 수법을 걸러내지 못합니다. 그래서 새로 등록된 LaunchAgent/LaunchDaemon이 원시 스크립트 인터프리터(bash, sh, zsh, osascript, python3, perl, ruby, php 등)를 직접 실행하는 경우, 그 인터프리터 자체의 서명이 정당하더라도 무조건 경고합니다. 전달된 인자는 추가로 StaticSignatureScanner의 판정도 거치며, 알려진 의심스러운 패턴이 포함되어 있으면 알림에 포함시킵니다. BundleProgram(RoamSwitch 자체의 도우미 등 앱 번들 내 서명된 컴파일 바이너리를 가리키는 형식)으로 등록된 항목은 평소처럼 codesign --verify --strict에 의한 서명 검증만 수행합니다.

ClickFix 탐지 및 긴급 차단 — 1.8.7, 기본적으로 꺼짐

"ClickFix"는 가짜 CAPTCHA나 오류 화면이 "확인을 위해 Terminal을 열고 이 명령을 붙여넣으세요"라고 안내해 사용자 자신에게 명령을 실행하게 만드는 사회공학적 공격 기법입니다. 2024~2025년 사이 탐지 건수가 500% 이상 증가했으며, 2026년 현재 macOS에서 가장 널리 퍼진 공격 경로 중 하나로 꼽힙니다. 실행하는 것은 사용자 자신의 정상적인 셸 조작이므로 Gatekeeper의 서명 검증을 완전히 우회합니다.

메뉴 바 → "악성코드 방지" → ClickFix 방지(Pro, 기본적으로 꺼짐). ~/.zsh_history, ~/.bash_history에 대한 추가 기록을 FSEvents로 모니터링하며(가드 시작 후 새로 추가된 줄만 대상으로 하고 기존 히스토리는 거슬러 올라가지 않습니다), StaticSignatureScanner와 공유하는 리버스 셸 한 줄 명령, 그리고 Base64 디코딩한 내용을 셸이나 osascript에 직접 파이프하는 복합 패턴만 탐지합니다. 정상적인 설치 프로그램에서 매우 흔히 쓰이는 curl | bash 단독 사용은 Homebrew, rustup, nvm 등의 공식 설치 절차와 구분할 수 없으므로 의도적으로 탐지 대상에서 제외했습니다. 탐지되는 순간 기존의 긴급 Air-Gap(본 절 참조)이 발동됩니다. 명령은 이미 실행된 뒤이므로 사후 대응이 되지만, 다단계 페이로드의 추가 다운로드나 인증 정보의 외부 전송이 진행 중이라면 이를 차단할 수 있습니다. 다른 Air-Gap 발동 요인과 마찬가지로 최대 10분 후 자동으로 해제됩니다(본 절 서두 참조).

알려진 한계. 탐지는 셸 히스토리에 기록이 남는 것을 전제로 하므로, Terminal을 거치지 않고 applescript:// URL 스킴으로 Script Editor를 직접 호출해 페이로드를 디스크에 전혀 기록하지 않는 파일리스 변종에는 대응할 수 없습니다. 이런 유형의 변종에 대해 Apple도 일정한 완화책(미확인 스크립트에 대한 승인 대화상자)을 도입했지만, 이를 우회하는 변종도 보고되고 있습니다. 실제 기기에서 macOS의 통합 로그(log show/log stream)를 이용해 이 경로를 검증했지만, 판정에 사용할 수 있는 고유한 로그 신호는 발견하지 못했습니다. 대응하지 못하는 부분을 대응한 것처럼 표시하기보다, 이 한계를 명확히 밝히는 쪽을 선택했습니다.

Docker 위험 감지 가드 — 1.8.9, Pro·기본 꺼짐

메뉴 막대 → '멀웨어 방지' → 'Docker 특권 컨테이너·docker.sock 마운트 감지'(DockerEventGuard). 이 코드베이스에는 docker events와 같은 지속적인 스트리밍 연결의 선례가 없기 때문에, PortAnomalyGuard와 동일한 타이머 폴링 방식을 사용합니다. 20초마다 가벼운 docker ps -q로 컨테이너 ID 집합을 가져온 뒤, 이전과의 차이(신규 시작분)에 대해서만 docker inspect --format으로 상세 확인합니다. 판정에 사용하는 서식 문자열은 Linux 버전의 roamswitch_core::health::LinuxHealthChecker::DOCKER_INSPECT_RISK_FORMAT과 의도적으로 동일하게 맞춰, 두 플랫폼에서 완전히 동일한 조건(--privileged 실행, 또는 /var/run/docker.sock 바인드 마운트)을 감지합니다.

감지해도 자동으로 차단하지 않습니다. 특권 컨테이너나 docker.sock 마운트는 컨테이너 탈출로 이어질 수 있는 위험한 '설정'이지만, 확인된 침해는 아니기 때문입니다(모니터링 에이전트를 의도적으로 privileged로 실행하는 등 정당한 용도도 있습니다). 대부분의 사용자가 Docker를 사용하지 않으므로 Pro 라이선스에서도 기본값은 꺼짐(OFF)으로 유지됩니다. EndpointSecurity entitlement는 사용하지 않으며, docker CLI는 Docker Desktop의 기본 설치 위치·Homebrew·which 순으로 탐색합니다. 실제 Docker Desktop(29.7.2)에서 privileged 컨테이너·docker.sock 마운트 컨테이너·일반 컨테이너의 3가지 패턴을 검증하여 오탐·누락이 없음을 확인했습니다.

기밀 정보・API 키 유출 감사 — 1.8.4에서 추가, 1.8.9에서 폴더 스캔 지원

메뉴 막대 → '멀웨어 방지' → '기밀 정보·API 키 유출 감사'. 텍스트를 붙여넣으면 그 자리에서 API 키와 토큰 유출 패턴을 감지하여 줄 번호·마스킹된 문자열·유형별 권장 대응을 표시합니다(SecretLeakAuditor, 완전 로컬 처리). 1.8.9에서는 '폴더를 선택하여 스캔'을 추가하여, 동일한 감지 엔진으로 디렉터리(소스 코드 체크아웃 위치 등)를 재귀적으로 감사할 수 있게 되었습니다(auditDirectory(at:)). .git·node_modules·target·vendor·dist·build·__pycache__·venv는 자동으로 제외되며, 2MB를 초과하는 파일이나 바이너리로 판정된 파일도 건너뜁니다. 처리는 메인 스레드를 차단하지 않도록 별도 스레드에서 실행되며, 외부로의 전송은 전혀 발생하지 않습니다.

Link Guard(피싱 연결 차단) — 1.7.2 이상, 1.8.0에서 강화

메뉴 표시줄 → "맬웨어 방지" → "링크 가드"(Pro). 모든 브라우저와 앱에서 기기 내 피싱/사기 사이트에 대한 연결을 차단합니다. 두 개의 적용 지점이 있으며 우선순위에 따라 함께 사용됩니다.

• ① 콘텐츠 필터 시스템 확장(RoamSwitchLinkFilter, 1.8.0+, 승인되면 선호). NEFilterDataProvider 시스템 확장 — Apple 검토 없음(콘텐츠 필터 제공업체는 셀프 서비스이며 승인 대기열이 없음). 실제 아웃바운드 TCP 흐름 after 이름 확인을 검사합니다. 대상 이름은 OS에서 확인된 호스트 이름에서 나오거나 흐름의 첫 번째 바이트에서 구문 분석된 TLS SNI에 실패하므로 자체 DoH/DoT를 수행하고 베어 IP에 연결하는 브라우저는 여전히 차단됩니다. /etc/hosts을 다시 작성하지 않으며 각 흐름을 프로세스에 귀속시킵니다. QUIC(UDP/443)에는 읽을 수 있는 SNI가 없으므로 block 모드에서는 삭제되어 브라우저가 TCP를 통해 HTTP/2로 대체됩니다. 시스템 설정에서 일회성 승인이 필요합니다.
• ② /etc/hosts 싱크홀(대체, 확장이 승인되지 않거나 거부되는 동안). 권한 있는 도우미는 대상 도메인을 /etc/hosts의 구분된 관리 섹션에 0.0.0.0로 쓰고 캐시를 플러시합니다. 60,000으로 제한됩니다. 확장이 활성화되면 이 섹션이 제거됩니다.
• 세 가지 모드. "끄기"를 선택하면 비활성화됩니다. "경고만" 일시 중지하고 사용자에게 묻습니다(아래 실제 warn 참조). "명백한 사기 사이트 자동 차단(권장)"이 즉시 삭제됩니다. 1.7.2.부터 기본값은 블록입니다.
• 실제 warn(1.8.0+, 확장만 해당). warn에서 시스템 확장을 누르면 은 .pause()로 흐름(OS 이름 및 SNI 경로 모두)을 유지하고 앱은 "허용/차단" 알림을 발생시킵니다. 사용자의 탭이 allowlist.txt / extra.txt에 도달하는 순간 — 확장 프로그램은 1.5초마다 작은 상태 파일을 폴링하며, 보류된 흐름이 재개(허용)되거나 삭제(차단)됩니다. 25초 내에 응답이 없으면 open 실패합니다(경고는 권고사항임). 결정은 호스트별로 캐시되므로(5분 허용/1시간 차단) 페이지의 다른 흐름과 이후 방문이 즉시 적용됩니다. block 알림은 변경되지 않았습니다. "한 번 허용(5분)" 버튼이 있는 "차단됨..."입니다.
• 명확한 사례만 차단됩니다. 위협 피드의 목록 또는 브랜드 이름 유니코드 동형어 등 기타 모든 것(고위험 TLD, 하위 도메인 가장 등)은 경고입니다. 판정 엔진은 Linux 버전과 공유되며 URL을 아무데도 보내지 않습니다.
• 잘못된 차단에서 복구 중입니다. 알림 또는 메뉴에서 도메인을 허용합니다(5분 또는 영구). 섹션이 다시 생성되면 허용 목록이 제외됩니다.
• Pro-gated. 시행(applyMode())은 유효한 Pro 라이센스에서만 발생합니다. Pro가 없으면 모드는 저장되지만 /etc/hosts은 절대 건드리지 않습니다. 라이센스 활성화 또는 만료는 세션 중에 적용됩니다.
• 피드 및 번들 시드. 차단 목록은 서명된 위협 피드(§7, 피드 전용 키로 확인)에서 가져옵니다. 처음 가져오기 전에도 앱의 번들 시드(최대 60,000개 항목)에서 작동하며 '자동 업데이트'를 끄면 아웃바운드 트래픽이 없음을 의미합니다.