¿Cómo sabes que funcionó?

Una herramienta de desplazamiento del tiempo que se deja un canal no se cuelga ni avisa. La aplicación simplemente lee la fecha real por la única función que nadie interceptó, y se comporta exactamente como lo habría hecho en cualquier tarde normal. La prueba se pone en verde. El error se publica.

RunAsDate es honesto sobre esto en su propia documentación - dice que «no afectará a las aplicaciones que toman la fecha y hora actuales de otra fuente» - y luego te deja averiguar si la tuya es una de ellas. Esta herramienta trata esa misma frase como algo que medir.

Salida real, de ejecutar la herramienta contra una de las sondas de prueba de este proyecto - una que abre deliberadamente una conexión de red:

Los dos últimos bloques son lo importante. Aquí nada falló - el veredicto es funciona - y el informe dice aun así, sin que se lo pidan, que esta aplicación habló con la red antes de terminar, de modo que un hook local puede no ser toda la historia. Esa frase es la diferencia entre una prueba en la que puedes confiar y una en la que no.

El veredicto se alcanza desde dentro del proceso en ejecución, antes de que empieces a trabajar, y es el propio código de salida de la herramienta, de modo que un pipeline puede bifurcar según él.

Cuando el veredicto es «no funciona», el proceso se detiene de inmediato, antes de que puedas interactuar con él. El veredicto no puede preceder al lanzamiento, porque la única fuente de verdad es una lectura tomada desde dentro del proceso en ejecución. Lo que se garantiza es que conoces la verdad antes de empezar a trabajar - no que un lanzamiento condenado nunca ocurra. Puedes forzar y seguir adelante, y la sesión queda entonces marcada como no fiable en todos los sitios donde aparece, incluida cualquier evidencia que exportes.

Otros códigos dicen que falló la propia ejecución y no la sustitución - un error de uso, un objetivo que no se pudo iniciar, una ejecución cortada, otra sesión ya en marcha - y ninguno es un veredicto. La tabla completa está en la referencia de la línea de comandos.

Los canales se dividen en tres grupos, y el del medio es el interesante.

• Cubiertos - interceptados y sustituidos. La aplicación preguntó y recibió el reloj de la sesión. El recuento de llamadas dice cuántas veces.
• Observados - interceptados, contados y dejados a propósito diciendo la verdad. Aquí están las esperas sobre objetos, porque acortar su tiempo límite podría simular un tiempo agotado en un handle real, y el temporizador multimedia, porque escalarlo desplazaría el audio y el MIDI - ambos vigilados cuando la sesión escala el eje del tiempo transcurrido. Las conexiones de red y una vía de creación de procesos están aquí en cada sesión, porque son pruebas, no relojes. El contador de alta resolución no está en este grupo: se deja intacto salvo que lo pidas con --scale-qpc, y entonces queda cubierto.
• Sin cubrir - un canal que la aplicación leyó y al que la sustitución no llegó. Es lo que convierte un veredicto en funciona parcialmente, y se enumera por su nombre en lugar de resumirse.

Un recuento de cero también es información: el canal estaba interceptado y la aplicación nunca preguntó. Por eso el informe los enumera en lugar de ocultarlos.

El informe es honesto sobre la cobertura, lo que implica ser honesto sobre sus propios límites. Esto se lee sin ninguna llamada de función que interceptar, o por completo fuera del proceso:

• lecturas directas de la página de datos compartida en modo usuario - el valor está en memoria, así que no hay nada que interceptar. Raro en aplicaciones corrientes, común en el código de licencias y antimanipulación
• llamadas directas al sistema que se saltan las exportaciones estándar - el mismo patrón
• hora obtenida fuera del proceso, mediante WMI, un servidor COM fuera de proceso o RPC
• hora de la red - una cabecera HTTP Date, NTP, una respuesta de API o el propio reloj de un servidor de base de datos
• hora procedente de controladores del kernel

El caso de la red es el que la auditoría al menos puede notar, que es por lo que existe el aviso del informe de arriba. Para el resto, un veredicto funciona significa que se cubrieron los canales que esta herramienta puede ver - no que no exista ninguna otra vía.

--json emite los mismos hechos en formato para máquinas, --report escribe la versión para personas en un archivo, y una sesión cuyo veredicto sea cualquier cosa menos funciona abre ese archivo con un aviso de evidencia poco fiable en lugar de enterrarlo al final.