Qu’est-ce que trustd sur Mac ? Le daemon de confiance des certificats expliqué

trustd est le démon d'évaluation de la confiance des certificats intégré à macOS. C'est un processus système livré et signé par Apple, dont le rôle est de décider si les certificats numériques présentés par les serveurs auxquels votre Mac se connecte doivent être considérés comme fiables.

Chaque fois qu'une application sur votre Mac établit une connexion HTTPS ou TLS, le serveur présente une chaîne de certificats : son propre certificat, généralement un ou plusieurs intermédiaires, et finalement un certificat racine censé être déjà approuvé par votre système. Quelqu'un doit vérifier cette chaîne. Cette tâche incombe à trustd. Il évalue si le certificat est signé de manière valide, s'il a expiré, s'il a été révoqué, et si la chaîne se termine à une racine que votre Mac fait réellement confiance.

Ce travail n'est pas effectué par chaque application individuellement. Plutôt que chaque navigateur, client mail, mise à jour ou application Electron implémente sa propre logique de certificats et risque de la faire de manière incorrecte, macOS centralise l'évaluation de la confiance dans un service système. C'est pourquoi trustd semble occupé : il travaille pour le compte de pratiquement tous les processus capables de se connecter à un réseau en même temps. Un chargement de page dans Safari, une vérification de mail, une synchronisation de fichiers ou une mise à jour en arrière-plan peuvent tous déclencher des évaluations de confiance dans la même seconde.

Vous le verrez généralement fonctionner en tant que processus trustd s'exécutant au niveau système, parfois accompagné d'une instance spécifique à l'utilisateur. Les deux sont normaux. Ce n'est pas quelque chose que vous avez installé, ni quelque chose que vous pouvez supprimer de manière significative.

C'est la partie qui inquiète les gens, il est donc utile de l'expliquer simplement. Vérifier si un certificat est signé de manière valide peut être fait hors ligne, en utilisant uniquement des calculs mathématiques. Vérifier si un certificat est encore valide en ce moment ne peut pas l'être.

Les certificats sont révoqués. La clé privée d'un serveur est volée, une autorité de certification émet une chose par erreur, une entreprise perd le contrôle d'un domaine. Dans tous ces cas, le certificat est toujours cryptographiquement bien formé et reste dans ses dates de validité déclarées, mais il ne doit plus être considéré comme fiable. La seule façon pour votre Mac de le savoir est de consulter des données publiées ailleurs, ce qui nécessite une requête réseau.

Ainsi, trustd contacte l'infrastructure d'Apple pour obtenir des informations sur la révocation et la validité des certificats, dans le cadre général de la vérification du statut de type OCSP, ainsi que les propres services de validation d'Apple et les données liées à la transparence des certificats utilisées pour détecter des certificats émis alors qu'ils n'auraient jamais dû l'être. Lorsque vous voyez trustd se connecter fréquemment à des domaines Apple, c'est ce que ces connexions signifient. Il s'agit d'une recherche de sécurité, pas d'un rapport vous concernant.

Apple met également ces données en cache, ce qui explique pourquoi le comportement est par rafales plutôt que parfaitement proportionnel à votre navigation. Attendez-vous à un regroupement de connexions après un redémarrage, après une longue période d'inactivité, ou lorsque vous visitez des sites que vous n'avez pas vus récemment, et relativement peu entre-temps. La même pile de confiance et de validation sous-jacente prend également en charge d'autres vérifications de macOS concernant les logiciels signés et notarisés, bien que les détails de l'interaction de ces éléments soient à la discrétion d'Apple.

Non. trustd est un daemon système Apple de première partie et une partie documentée de la sécurité de macOS. Il n’existe aucune version d’un Mac sain qui en soit dépourvue.

Cela dit, se fier à la parole d’un article est exactement le raisonnement sur lequel repose un logiciel malveillant, il est donc raisonnable de vérifier par vous-même sur votre machine. Deux choses valent la peine d’être confirmées, et aucune ne nécessite d’outils spéciaux.

La première est l’emplacement. Les daemons système d’Apple résident dans des chemins protégés du système ; l’exécutable de trustd se trouve dans la zone usr/libexec du système, qui sur macOS moderne est sur le volume système signé en lecture seule auquel le logiciel malveillant ne peut pas écrire. Dans Activity Monitor, sélectionnez le processus et ouvrez l’inspecteur pour voir son chemin rapporté. Quelque chose nommé trustd s’exécutant depuis votre dossier personnel, un répertoire de téléchargements ou un bundle d’application inconnu serait un vrai signal d’alarme. S’exécutant depuis le volume système, c’est le vrai.

La seconde est la signature. macOS peut vous indiquer qui a signé un binaire en cours d’exécution, et les daemons d’Apple sont signés par Apple avec des entitlements système. Le bon chemin plus la signature Apple signifient que vous regardez le système d’exploitation. Il est également utile de lire attentivement le nom du processus plutôt que de le survoler, car les imposteurs choisissent généralement des noms proches mais pas identiques.

Une autre assurance : une activité CPU élevée ou un trafic réseau constant de trustd n’est pas une preuve de compromission. Cela signifie que de nombreuses connexions TLS sont évaluées, ce qui sur un Mac normal est simplement ce qui se passe.

Vous pouvez techniquement bloquer trustd avec un pare-feu. Vous ne devriez pas. Parmi tous les processus en arrière-plan de macOS que les gens tentent de faire taire, c’est l’un des rares où le blocage rend votre Mac moins sûr plutôt que plus privé.

La validation des certificats est un contrôle de sécurité essentiel. C’est le mécanisme qui empêche votre Mac d’accepter silencieusement un certificat révoqué ou une chaîne qui ne mène nulle part digne de confiance. Le dégrader, c’est dégrader la garantie que la connexion chiffrée que vous pensez avoir avec un serveur l’est réellement avec ce serveur.

Les conséquences pratiques arrivent rapidement : des connexions HTTPS qui échouent immédiatement, des connexions qui se figent en attendant une vérification qui ne viendra jamais, des erreurs de certificat vagues dans des applications non liées, des flux de connexion qui cessent de fonctionner. Parce que trustd se trouve en dessous de presque tout, les symptômes pointent rarement directement vers la cause. Vous obtenez un Mac qui semble cassé de manière dispersée plutôt qu’un avertissement évident.

La nuance d’intimité honnête est la suivante : la révocation et la vérification de validité indiquent intrinsèquement au service effectuant la vérification qu’un certificat a été validé à un moment donné. C’est une propriété réelle de ce mécanisme, pas une cachoterie. Apple a publié des informations sur la gestion de ce trafic, et cette documentation est la source fiable pour les détails plutôt que la spéculation. Il est également utile de noter que la vérification des certificats et de notarisation sur macOS a attiré l’attention du public il y a quelques années lorsqu’un problème de service Apple a causé des ralentissements visibles lors du lancement d’applications, après quoi Apple a modifié certains aspects du fonctionnement de ces vérifications. La conclusion n’est pas que le mécanisme est sinistre, mais qu’il est suffisamment essentiel pour que tout le monde le remarque lorsqu’il rencontre des difficultés.

Surveillez donc trustd si vous souhaitez comprendre votre machine. Ne le bloquez pas.

L'anxiété que génère trustd a très peu à voir avec trustd. C'est qu'un journal de connexion brut est presque illisible. Un processus que vous n'avez pas lancé contacte un domaine que vous ne reconnaissez pas à une fréquence que vous ne pouvez pas expliquer, et cette description correspond tout aussi bien à la validation de certificat, au rapport de crash, à la vérification des mises à jour et aux SDK d'analyse.

Donc, les gens ignorent tout, ce qui signifie que le vrai suivi passe inaperçu, ou bloquent instinctivement, ce qui est la raison pour laquelle les machines finissent par avoir des échecs HTTPS mystérieux. Les deux proviennent de la même pièce manquante : le contexte sur quel processus parle, où, et si cette destination est une infrastructure connue ou un tracker connu.

Ce contexte est ce que NetMute fournit. Il affiche le trafic en temps réel par application et par processus, de sorte qu'une connexion est attribuable à trustd plutôt qu'anonyme. La journalisation au niveau du domaine enregistre quels domaines un processus a contactés, quand, et combien de données ont été transférées, transformant "quelque chose parle à Apple" en un enregistrement vérifiable. Tracker Shield maintient une liste catégorisée de plus de 1 100 domaines de trackers connus, de sorte que le suivi réel est distinguable du trafic système ordinaire plutôt que d'être enfoui dedans. Et lorsque vous trouvez quelque chose qui ne devrait pas parler, le pare-feu par application offre un blocage en un clic plus des règles temporaires à expiration automatique, pour que vous puissiez tester si le blocage casse quelque chose avant de vous engager.

Appliqué ici, le flux de travail est simple. Regardez trustd, voyez-le contacter l'infrastructure de validation d'Apple, confirmez qu'il n'est pas sur la liste des trackers, laissez-le tranquille. Ensuite, pointez la même vue vers l'application sur laquelle vous aviez une question, car ce n'est que rarement le daemon système.