Cos'è trustd su Mac? Il daemon di fiducia del certificato spiegato

trustd è il demone di valutazione della fiducia dei certificati integrato in macOS. È un processo di sistema fornito e firmato da Apple, e il suo compito è decidere se i certificati digitali presentati dai server a cui il tuo Mac si connette devono essere considerati affidabili.

Ogni volta che qualcosa sul tuo Mac stabilisce una connessione HTTPS o TLS, il server presenta una catena di certificati: il suo certificato, di solito uno o più intermedi, e infine un certificato root che si suppone il sistema già consideri affidabile. Qualcuno deve verificare questa catena. Quel qualcuno è trustd. Valuta se il certificato è firmato correttamente, se è scaduto, se è stato revocato e se la catena termina in un root che il tuo Mac considera genuinamente affidabile.

Questo lavoro non viene svolto per singola app. Piuttosto che ogni browser, client di posta, aggiornamento e app Electron implementino una propria logica di certificati e commettano errori sottili, macOS centralizza la valutazione della fiducia in un servizio di sistema. Per questo motivo trustd sembra impegnato: lavora per conto di praticamente ogni processo in grado di connettersi in rete contemporaneamente. Il caricamento di una pagina in Safari, un controllo di Mail, una sincronizzazione di file e un aggiornamento in background possono tutti attivare valutazioni di fiducia nello stesso secondo.

Di solito lo vedrai come trustd in esecuzione come processo a livello di sistema, talvolta affiancato da un'istanza per utente. Entrambi sono normali. Non è qualcosa che hai installato tu e non è qualcosa che puoi rimuovere in modo significativo.

Questa è la parte che allarma le persone, quindi vale la pena spiegarla chiaramente. Verificare se un certificato è firmato validamente può essere fatto offline, usando solo matematica. Verificare se un certificato è ancora valido in questo momento non può.

I certificati vengono revocati. La chiave privata di un server viene rubata, un'autorità di certificazione rilascia qualcosa per errore, un'azienda perde il controllo di un dominio. In tutti questi casi il certificato è ancora formalmente ben formato e ancora all’interno delle date di validità dichiarate, ma non dovrebbe più essere considerato affidabile. L’unico modo in cui il tuo Mac può saperlo è consultare dati pubblicati altrove, e questo richiede una richiesta di rete.

Quindi trustd contatta l’infrastruttura di Apple per informazioni sulla revoca e validità dei certificati, nel contesto generale del controllo dello stato in stile OCSP, insieme ai servizi di validazione di Apple e ai dati relativi alla trasparenza dei certificati usati per rilevare certificati emessi ma che non avrebbero dovuto esserlo. Quando vedi trustd connettersi ripetutamente a domini Apple, è questo che stanno facendo. È una ricerca di sicurezza, non un rapporto su di te.

Apple memorizza anche nella cache questi dati, motivo per cui il pattern è a scoppio piuttosto che perfettamente proporzionale alla tua navigazione. Puoi aspettarti un gruppo di connessioni dopo un riavvio, dopo un lungo periodo di inattività, o quando visiti siti che non hai visto di recente, e relativamente poco in mezzo. La stessa pila di fiducia e validazione supporta anche altri controlli di macOS su software firmato e notarizzato, anche se i dettagli di come queste parti interagiscono sono documentati da Apple.

No. trustd è un daemon di sistema di prima parte di Apple e una parte documentata della sicurezza di macOS. Non esiste una versione di un Mac sano che ne sia priva.

Detto questo, fidarsi ciecamente di un articolo è esattamente il ragionamento su cui si basa il malware, quindi è ragionevole verificare sul tuo Mac. Due cose vale la pena confermare, e nessuna richiede strumenti speciali.

La prima è la posizione. I daemon di sistema di Apple vivono all’interno di percorsi di sistema protetti; l’eseguibile di trustd si trova nell’area /usr/libexec del sistema, che su macOS moderno si trova sul volume di sistema firmato in sola lettura, a cui il malware non può scrivere. In Activity Monitor, seleziona il processo e apri l’inspector per vedere il percorso riportato. Qualcosa chiamato trustd in esecuzione dalla tua cartella home, da una directory di download o da un bundle di app sconosciuto sarebbe un segnale di allarme reale. In esecuzione dal volume di sistema, è quello autentico.

La seconda è la firma. macOS può dirti chi ha firmato un binario in esecuzione, e i daemon di Apple sono firmati da Apple con i privilegi di sistema. Percorso corretto più firma Apple significa che stai guardando il sistema operativo. È anche utile leggere attentamente il nome del processo piuttosto che guardarlo superficialmente, poiché gli impostori di solito scelgono nomi simili ma non identici.

Un’altra rassicurazione: un alto utilizzo della CPU o un’attività di rete costante da trustd non sono prove di compromissione. Significa che molte connessioni TLS vengono valutate, cosa che su un Mac normale è semplicemente normale.

Puoi tecnicamente bloccare trustd con un firewall. Non dovresti farlo. Di tutti i processi di background di macOS che le persone sono tentate di silenziare, questo è uno dei pochi in cui il blocco rende il tuo Mac meno sicuro piuttosto che più privato.

La convalida dei certificati è un controllo di sicurezza fondamentale. È il meccanismo che impedisce al tuo Mac di accettare silenziosamente un certificato revocato o una catena che non porta da nessuna parte affidabile. Deteriorarlo significa compromettere la garanzia che la connessione crittografata che pensi di avere con un server sia effettivamente con quel server.

Le conseguenze pratiche arrivano rapidamente: connessioni HTTPS che falliscono immediatamente, connessioni che si bloccano mentre il sistema attende una verifica che non arriverà mai, errori di certificato vaghi in app non correlate, flussi di accesso che smettono di funzionare. Poiché trustd si trova sotto quasi tutto, i sintomi raramente puntano direttamente alla causa. Otterrai un Mac che sembra rotto in modi sparsi piuttosto che un avviso evidente.

La vera sfumatura sulla privacy è questa: la revoca e il controllo di validità dicono intrinsecamente al servizio che esegue la verifica che un certificato è stato validato in un certo momento. Questa è una proprietà reale di come funziona questa classe di meccanismi, non una caratteristica nascosta. Apple ha pubblicato informazioni su come gestisce questo traffico, e quella documentazione è la fonte corretta per i dettagli piuttosto che per speculazioni. È anche importante notare che il controllo dei certificati e della notarizzazione su macOS ha attirato l’attenzione pubblica alcuni anni fa, quando un problema di servizio Apple ha causato rallentamenti evidenti durante il lancio delle app, dopo i quali Apple ha modificato alcuni aspetti di come operano questi controlli. Il messaggio da portare a casa è che il meccanismo non è sinistro, ma è abbastanza importante da essere notato quando ha problemi.

Quindi monitora trustd se vuoi capire come funziona il tuo Mac. Non bloccarlo.

L'ansia che genera trustd ha poco a che fare con trustd. È che un log di connessione grezzo è quasi illeggibile. Un processo che non hai avviato contatta un dominio che non riconosci a una frequenza che non puoi spiegare, e questa descrizione si adatta ugualmente alla convalida dei certificati, alla segnalazione di crash, ai controlli di aggiornamento e agli SDK di analisi.

Quindi le persone ignorano tutto, il che significa che il vero tracciamento passa inosservato, oppure bloccano d'istinto, ed è così che le macchine finiscono con fallimenti HTTPS misteriosi. Entrambe derivano dallo stesso pezzo mancante: il contesto su quale processo sta parlando, dove e se quella destinazione è un'infrastruttura nota o un tracker conosciuto.

Quel contesto è ciò che NetMute fornisce. Mostra traffico in tempo reale per app e processo, quindi una connessione è attribuibile a trustd piuttosto che anonima. Il logging a livello di dominio registra quali domini un processo ha contattato, quando e quanta dati sono stati trasferiti, trasformando "qualcosa sta parlando con Apple" in un record verificabile. Tracker Shield mantiene un elenco categorizzato di oltre 1.100 domini tracker noti, così il vero tracciamento è distinguibile dal traffico di sistema ordinario invece di essere sepolto in esso. E quando trovi qualcosa che non dovrebbe parlare, il firewall per app offre blocco con un clic più regole temporanee a scadenza automatica, così puoi testare se il blocco interrompe qualcosa prima di applicarlo.

Applicato qui, il flusso di lavoro è breve. Guarda trustd, verifica che stia contattando l'infrastruttura di convalida di Apple, conferma che non sia in nessun elenco di tracker, lascialo stare. Poi punta la stessa visuale all'app di cui avevi domande, perché raramente è il daemon di sistema.