Cos'è rapportd su Mac? Perché il tuo firewall ti chiede di lui

rapportd è un demone di sistema legittimo di Apple che viene fornito con macOS. Non è malware, non adware, e non è qualcosa che hai installato per errore. Nelle versioni attuali di macOS, il binario si trova in /usr/libexec/rapportd, è firmato digitalmente da Apple, e viene avviato automaticamente dal sistema piuttosto che da te.

Il suo compito è Continuity, la famiglia di funzionalità che permette al tuo Mac, iPhone, iPad e Apple Watch di comportarsi come un insieme di dispositivi. Questo include tipicamente Handoff (inizia un'email sul tuo iPhone, termina sul tuo Mac), Universal Clipboard (copia su un dispositivo, incolla su un altro), relè di chiamate e SMS, Hotspot istantaneo, Continuity Camera, Continuity Markup e Sketch, e Auto Unlock con un Apple Watch. Non tutti questi percorsi passano esclusivamente attraverso rapportd, ma tutti dipendono dalla stessa idea di base: i tuoi dispositivi devono sapere che gli altri sono vicini e attivi.

Questa è la funzione che gestisce rapportd. Annuncia la presenza del tuo Mac ai dispositivi Apple vicini connessi allo stesso Apple Account, e ascolta le loro pubblicità in cambio, usando Bluetooth Low Energy e Wi-Fi peer-to-peer (Apple Wireless Direct Link, o AWDL). Le connessioni che stabilisce sono locali e tra i tuoi dispositivi, non verso un server remoto gestito da qualcun altro.

Poiché la scoperta deve funzionare in entrambe le direzioni, rapportd non si limita a cercare. Attende anche di essere raggiunto. Questo dettaglio è la ragione per cui compare molto più spesso in una finestra di dialogo del firewall rispetto a qualsiasi altro demone Apple.

Il trigger più comune è attivare il firewall integrato di macOS. Il firewall di macOS filtra le connessioni in entrata, quindi quando lo attivi, il sistema inizia a chiedere di ogni processo che vuole ascoltarle. rapportd è quasi sempre uno dei primi a alzare la mano, producendo la finestra di dialogo che le persone cercano: vuoi che l'applicazione rapportd accetti connessioni di rete in entrata?

Nulla è andato storto quando appare. rapportd stava facendo esattamente la stessa cosa il giorno prima. Quello che è cambiato è che il firewall ora si interpone tra lui e gli altri tuoi dispositivi e ti chiede di prendere una decisione che in precedenza faceva silenziosamente macOS. La stessa richiesta può riapparire dopo un aggiornamento di macOS, poiché un binario aggiornato è di fatto un nuovo binario per quanto riguarda la lista delle app consentite del firewall.

Il secondo modo in cui le persone lo trovano è Activity Monitor. rapportd compare nella lista dei processi sotto il tuo account utente, normalmente con un utilizzo CPU trascurabile e un piccolo, costante flusso di traffico di rete. Nella scheda Rete vedrai di solito conteggi di pacchetti che crescono lentamente e volumi di dati misurati in kilobyte piuttosto che megabyte, perché il traffico di scoperta è di piccole dimensioni per progettazione.

Il terzo modo è un monitor di rete di terze parti o un firewall in uscita, che mostrerà rapportd che effettua connessioni locali sulla tua rete. Anche questo è comportamento previsto per un servizio di scoperta dei dispositivi.

Non lo è. rapportd è il codice di Apple e fa parte di un'installazione standard di macOS. Il motivo per cui vale ancora la pena sapere come verificarlo è che nominare un binario dannoso con il nome di un processo di sistema familiare è una tecnica autentica e ben collaudata, quindi l'abitudine di controllare è buona anche quando la risposta è rassicurante.

Il primo controllo è la posizione. Il daemon di Apple si trova in /usr/libexec, una directory di sistema protetta da System Integrity Protection, il che significa che il software ordinario non può scrivere una sostituzione lì. In Activity Monitor puoi fare doppio clic sul processo e ispezionare i file aperti e le porte per vedere da dove viene eseguito. Un processo che si chiama rapportd dalla tua cartella Home, da una directory Download o da una cartella di supporto privata di qualche applicazione non è il daemon di Apple e merita attenzione.

Il secondo controllo è la firma del codice. macOS include uno strumento da riga di comando chiamato codesign, e chiedendogli di mostrare le informazioni di firma per il binario in /usr/libexec/rapportd si otterrà l'autorità di firma. Per un componente di sistema Apple genuino dovresti vedere l'autorità di firma di Apple stessa e il certificato radice di Apple in quella catena, non un nome di sviluppatore di terze parti e non una firma ad hoc o mancante. Se preferisci non usare il Terminale, la combinazione del percorso corretto più un processo che Activity Monitor mostra come minimo e inattivo è già una forte prova.

Il terzo controllo è il comportamento. Un rapportd reale è silenzioso. Un utilizzo elevato e continuo della CPU, o un trasferimento di dati intenso e prolungato, sono insoliti e vale la pena approfondire, anche se, come spiega la sezione successiva, di solito hanno una causa banale piuttosto che sinistra.

Il compromesso onesto è ristretto. Se neghi le connessioni in entrata di rapportd, perdi le funzionalità di Continuity che dipendono dal fatto che i tuoi dispositivi si trovino tra loro, e non perdi nient'altro. Il tuo Mac si avvia, naviga, sincronizza iCloud, riceve email e esegue applicazioni esattamente come prima. Non c'è alcun problema di sicurezza nel negarlo e nessun problema di stabilità.

Quindi la decisione è semplicemente se usare o meno quelle funzionalità. Se Handoff, Universal Clipboard, Hotspot istantaneo o lo sblocco del Mac con un Apple Watch fanno parte del tuo modo di lavorare, permettiglielo. Se non hai mai usato consapevolmente nessuna di queste, o possiedi solo un dispositivo Apple, negarlo non ti costa nulla che noteresti.

C'è però una strada più pulita rispetto a negarlo tramite firewall. Bloccare al firewall lascia le funzionalità attive mentre silenziosamente interrompe il meccanismo su cui si basano, il che tende a produrre stati di funzionamento a metà confusi in seguito. Disattivare la funzionalità alla sorgente è più ordinato: nelle versioni recenti di macOS, l'interruttore di Handoff si trova in Impostazioni di Sistema sotto Generali, nella sezione AirDrop e Handoff. Disattiva quello e il sistema smette di chiedere a rapportd di fare il lavoro fin dall'inizio.

Un'attività elevata della CPU o un'attività di rete insolitamente costante da rapportd è un problema a parte e di solito è un ciclo di scoperta del dispositivo piuttosto che una compromissione. Di solito si risolve spegnendo e riaccendendo Bluetooth e Wi-Fi, riavviando il Mac, disconnettendosi e riconnettendosi al proprio Apple Account, o disattivando Handoff per interrompere completamente il ciclo di scoperta.

rapportd viene isolato per una ragione accidentale: ascolta, quindi il firewall integrato deve chiedere di lui. Le dozzine di altri processi in background sul tuo Mac fanno solo connessioni in uscita, che il firewall di macOS non filtra e su cui non chiede mai conferma. Non sono più affidabili di rapportd. Sono semplicemente più silenziosi.

Questa è la lacuna scomoda. Un Mac tipico esegue daemon di sistema che gestiscono controlli di certificati, notifiche push, sincronizzazione iCloud, suggerimenti Spotlight, aggiornamenti software e telemetria, insieme a ogni app di terze parti installata, ognuna con il proprio comportamento di rete. Activity Monitor ti dirà che un processo ha spostato dei dati. Non ti dirà quali domini ha contattato, quando, o quanto è stato inviato a ciascuno, e questa è esattamente l'informazione di cui hai bisogno per decidere se qualcosa è normale.

Questo è il livello per cui è stato costruito NetMute. Mostra traffico in tempo reale per-app e per-processo, e registra a livello di dominio, così puoi vedere quali domini un dato processo ha effettivamente contattato, a che ora e con quanti dati. Quando qualcosa sembra sbagliato, il firewall per-app blocca quell'app con un clic, e le regole temporanee scadono da sole, così un test rapido non si trasforma in un'app permanentemente rotta di cui ti sei dimenticato. I profili di rete permettono alle regole di differire tra la rete domestica e un hotspot, e Tracker Shield blocca più di 1.100 domini di tracker noti in modo diretto.

L'obiettivo non è bloccare i daemon di Apple. La maggior parte di essi, rapportd incluso, fa esattamente quello che afferma di fare. L'obiettivo è poter rispondere alla domanda la prossima volta che si presenta, senza dover cercare il nome del processo.