Phase 6: Lüftersteuerung über privilegierten Helfer

Das Sicherheitsnetz kommt zuerst und liegt als reine Funktion vor — 17 Tests,
kein Hardwarezugriff nötig. Es sitzt im Helfer, nicht in der Oberfläche: die
kann abstürzen, hängen oder beendet sein, während die Lüfter auf einem festen
Wert stehen. Genau dafür ist es da.

Vier Regeln, nicht abschaltbar: nie unter das Firmware-Minimum, Rückfall auf
Automatik ab 95 °C, Rückfall wenn der Herzschlag fünf Sekunden ausbleibt,
Rückfall beim Beenden. Ohne lesbare Temperatur wird gar nicht gesteuert —
blind eine feste Drehzahl zu halten wäre die falsche Antwort auf fehlende
Information.

Die App sagt dem Helfer NICHT, wie warm es ist. Er misst selbst. Sonst hinge
das Netz an der Ehrlichkeit eines Prozesses, der abstürzen, hängen oder — bei
einer manipulierten Kopie — schlicht lügen kann. Der Herzschlag sagt nur "ich
lebe noch".

Der Helfer entscheidet jede Sekunde neu, nicht nur beim Setzen: nur so greifen
Wachhund und Temperaturwächter auch dann, wenn von der App nie wieder etwas
kommt. Geschrieben wird nur bei Änderung — jeder SMC-Schreibvorgang ist ein
Eingriff.

Der Schreibpfad existiert ausschließlich im Helfer, als eigene Kopie statt
geteilter Bibliothek. Was im App-Prozess nicht vorhanden ist, kann dort auch
nicht versehentlich aufgerufen werden.

XPC prüft die Signatur in BEIDE Richtungen. Ohne das könnte jedes Programm auf
dem Rechner die Lüfter eines root-Dienstes steuern — der Mach-Dienst ist
systemweit sichtbar.

Drei Fallstricke beim Einbetten, alle nachgemessen:

Xcode signiert Kommandozeilenprogramme unter dem Dateinamen. Der Helfer hieß
damit "OnyxHelper" statt com.scarriffleservices.onyx.helper, und die App hätte
ihren eigenen Helfer abgelehnt. Behoben über eine in die Binary eingebettete
Info.plist (CREATE_INFOPLIST_SECTION_IN_BINARY).

Der Build-Schritt läuft nach Xcodes Signatur; das Kopieren bricht das Siegel
des App-Bundles. Also wird zum Schluss neu signiert — mit denselben
Entitlements, sonst gingen App-Group, WeatherKit und die TCC-Berechtigungen
verloren.

Mit deklarierten outputFiles übersprang Xcode den Schritt, obwohl sich das
Programm geändert hatte.

Geprüft: App-Siegel gültig (deep), beide Signaturanforderungen erfüllt,
alle sieben Entitlements erhalten. 162 Tests grün.

project.yml

@@ -29,14 +29,43 @@ packages:
     path: Packages/OnyxKit
 
 targets:
+  # Der privilegierte Helfer. Läuft als root und tut genau eine Sache:
+  # Lüfterdrehzahlen setzen. Kein Netzwerk, keine Oberfläche, kein
+  # Dateizugriff — je weniger hier steht, desto kleiner die Angriffsfläche.
+  OnyxHelper:
+    type: tool
+    platform: macOS
+    sources:
+      - path: OnyxHelper
+        excludes:
+          - "*.plist"
+    dependencies:
+      - package: OnyxKit
+        product: OnyxHelperProtocol
+    settings:
+      base:
+        PRODUCT_BUNDLE_IDENTIFIER: com.scarriffleservices.onyx.helper
+        PRODUCT_NAME: OnyxHelper
+        CODE_SIGN_STYLE: Automatic
+        SKIP_INSTALL: YES
+        # Kommandozeilenprogramme haben kein Bundle. Die Kennung muss deshalb
+        # in die Binary selbst — sonst signiert codesign sie unter dem
+        # Dateinamen und die Signaturprüfung zwischen App und Helfer scheitert.
+        INFOPLIST_FILE: OnyxHelper/Info.plist
+        CREATE_INFOPLIST_SECTION_IN_BINARY: YES
+
   Onyx:
     type: application
     platform: macOS
     sources:
       - path: Onyx
     dependencies:
+      - target: OnyxHelper
+        embed: false
       - package: OnyxKit
         product: OnyxCore
+      - package: OnyxKit
+        product: OnyxHelperProtocol
       - package: OnyxKit
         product: OnyxDesign
       - package: OnyxKit
@@ -56,6 +85,39 @@ targets:
       - package: OnyxKit
         product: NetworkProvider
     postBuildScripts:
+      # Der Helfer und seine Plist müssen an genau diese Stellen: SMAppService
+      # sucht die Plist unter Contents/Library/LaunchDaemons und liest von dort
+      # den Pfad zum Programm.
+      - name: Helfer und Launchd-Plist einbetten
+        script: |
+          APP="$BUILT_PRODUCTS_DIR/$CONTENTS_FOLDER_PATH"
+          mkdir -p "$APP/MacOS" "$APP/Library/LaunchDaemons"
+          cp "$BUILT_PRODUCTS_DIR/OnyxHelper" "$APP/MacOS/OnyxHelper"
+          cp "$SRCROOT/OnyxHelper/com.scarriffleservices.onyx.helper.plist" \
+             "$APP/Library/LaunchDaemons/"
+          # Der Helfer wird eigenständig signiert — die Signatur der App deckt
+          # ihn nicht ab, und ohne gültige eigene Signatur lehnt launchd ihn ab.
+          #
+          # `-i` ist Pflicht: Xcode signiert Kommandozeilenprogramme sonst mit
+          # dem Produktnamen ("OnyxHelper") als Bezeichner. Die App prüft aber
+          # auf com.scarriffleservices.onyx.helper und würde ihren eigenen
+          # Helfer ablehnen.
+          codesign --force --options runtime --timestamp=none \
+            -i com.scarriffleservices.onyx.helper \
+            --sign "$EXPANDED_CODE_SIGN_IDENTITY" "$APP/MacOS/OnyxHelper"
+
+          # Das Kopieren passiert nach Xcodes Signatur und bricht damit das
+          # Siegel des App-Bundles ("nested code is modified or invalid").
+          # Deshalb zum Schluss die App selbst neu signieren — mit denselben
+          # Entitlements, sonst verliert sie App-Group, WeatherKit und die
+          # TCC-Berechtigungen.
+          codesign --force --options runtime --timestamp=none \
+            --entitlements "$SRCROOT/Onyx/Onyx.entitlements" \
+            --sign "$EXPANDED_CODE_SIGN_IDENTITY" \
+            "$BUILT_PRODUCTS_DIR/$WRAPPER_NAME"
+        # Bewusst ohne outputFiles: mit ihnen überspringt Xcode den Schritt,
+        # solange die Plist unverändert ist — auch wenn sich das Programm oder
+        # die Signaturvorgaben geändert haben.
       # Der MediaRemote-Adapter wird aus dem mitgelieferten Quellcode gebaut,
       # nicht als fertige Binary eingecheckt: so ist nachvollziehbar, was da
       # läuft, und die Ad-hoc-Signatur passt zum restlichen Bundle.