Что такое webfilterproxyd на Mac? Объяснение фильтра Screen Time

webfilterproxyd, это системный демон, который поставляется как часть macOS и подписан Apple. Он отвечает за фильтрацию веб-контента, что на личном Mac означает ограничения Screen Time, такие как Limit Adult Websites или пользовательский список разрешённых и заблокированных сайтов.

Когда фильтр активен, веб-запросы проходят проверку, прежде чем им будет разрешено завершиться. webfilterproxyd выполняет эту проверку, сравнивает запрос с действующей политикой и либо пропускает его, либо останавливает и показывает в браузере знакомую страницу ограничения.

У демона нет собственного интерфейса, ни приложения, ни пункта в строке меню, ни панели настроек с его именем. Всё, что можно настроить, находится в System Settings в разделе Screen Time, или, на рабочем или учебном Mac, в профиле, отправленном системой управления устройством. Именно из-за этой непрямой связи процесс и кажется загадочным.

Большинство людей сталкиваются с webfilterproxyd не из-за угрозы безопасности, а из-за настройки, которую они изменили и забыли, или кто-то другой в доме её изменил.

На Mac без настроенного фильтра контента демон работает практически без дела и не привлекает внимания. Включите ограничение контента Screen Time, для себя или для учётной записи ребёнка, и он станет активным, потому что появилась политика для его применения. То же самое происходит после новой установки macOS, когда во время начальной настройки активируется Screen Time, после восстановления из резервной копии с сохранёнными настройками Screen Time или когда член семьи включает ограничения с другого устройства на той же учётной записи.

Другой распространённый источник, управляемые Mac. Если ваш компьютер зарегистрирован в управлении устройствами, администратор может развернуть фильтр веб-контента как политику, а настройки за ним обычно заблокированы.

Если ничего из этого не подходит, откройте System Settings и проверьте Screen Time напрямую. Чаще всего вы обнаружите ограничение, которое кто-то включил, и с тех пор никто не проверял его.

Это не вредоносное ПО. webfilterproxyd это бинарный файл Apple, который поставляется вместе с операционной системой, и собственная функция фильтрации Apple зависит от него. Не стоит принимать это на веру со страницы в браузере, поэтому вот как проверить это самостоятельно.

Начните в Activity Monitor. Найдите процесс, выберите его и откройте инспектор, который показывает полный путь к исполняемому файлу на диске. Настоящий системный демон Apple находится внутри защищённых системных областей macOS, которые в текущих версиях расположены на запечатанном, только для чтения томе, куда обычное ПО не может записывать. Вредоносная программа, выдающая себя за системный процесс, редко справляется с этим, она прячется где-нибудь в доступной для записи области, и путь её выдаёт.

Более надёжная проверка, это подпись кода. Каждый системный бинарный файл Apple подписан Apple, и macOS может проверить эту подпись по файлу на диске. В Terminal команда codesign, запущенная для пути к исполняемому файлу, показывает издателя подписи: у настоящего системного демона она укажет на Apple, и проверка пройдёт успешно. Неподписанный бинарный файл или файл, подписанный неизвестным разработчиком, под системным именем, это и есть настоящий тревожный признак.

Честный ответ зависит от того, используешь ли ты фильтрацию веб-контента в Screen Time.

Если да, то блокировка или завершение webfilterproxyd нарушит её работу. Это прямой результат, а не побочный эффект: процесс, обеспечивающий ограничение, перестает его обеспечивать. Именно поэтому демон в домохозяйствах, где всё работает отлично, может быть помечен как подозрительный. Кто-то, читающий тему на форуме о том, какой процесс заблокировать, чтобы убрать страницу ограничения, описывает именно это, что со стороны родителя выглядит как сбой, а не обходной путь.

Если ты не используешь фильтрацию контента, демон в основном бездействует, и его блокировка дает очень мало пользы.

В любом случае, правило брандмауэра, не лучший инструмент. Чистый способ остановить webfilterproxyd от фильтрации, отключить ограничение контента в Screen Time, которое его активировало. Измени политику, и демон сам станет тихим, без оставшихся правил, которые запутывали бы тебя через несколько месяцев. На управляемом Mac это обычно недоступно, и решение, поговорить с тем, кто администрирует устройство.

Один важный момент о конфиденциальности. Поскольку это фильтр контента, он видит метаданные веб-запросов, чтобы решить, что разрешить. Эта проверка происходит на твоём устройстве, как часть механизма, работающего по задумке, и это та же схема, которую используют сторонние фильтры и брандмауэры, поскольку macOS предоставляет один поддерживаемый интерфейс фильтрации контента. Фильтр, анализирующий запросы, не означает, что что-то уходит с твоего Mac.

webfilterproxyd это один процесс. Типичный Mac запускает несколько сотен процессов, многие из них, это системные демоны Apple с такими же неясными именами, и немало из них выходят в сеть. То, что именно этот процесс показался тревожным, не так уж необычно. Необычно то, что вы на него обратили внимание, а macOS не дала вам способа ответить на очевидный следующий вопрос: к чему он подключается прямо сейчас.

Activity Monitor показывает входящие и исходящие байты по каждому процессу и на этом останавливается. Он не скажет, к каким доменам обращался процесс, когда или как часто. Каждое незнакомое имя процесса превращается в исследование, ответ на которое, это либо форумный пост, либо акт доверия.

NetMute закрывает этот пробел, показывая видимую сетевую историю для каждого процесса. Он отслеживает трафик по приложению и по процессу в реальном времени и ведёт журнал на уровне доменов, так что вы видите, к каким доменам обращался процесс, когда и сколько данных передавалось. Если что-то не должно общаться с интернетом, брандмауэр для приложения блокирует это в один клик, а временные правила сами истекают. Профили сети позволяют по-разному применять правила в доверенных и недоверенных сетях, а Tracker Shield блокирует более 1 100 известных доменов трекеров сразу для всех приложений.

Одна оговорка по поводу процесса из этой статьи, не используйте ничего из этого, чтобы блокировать webfilterproxyd, если вы полагаетесь на Screen Time. Вместо этого отключите ограничение. Ценность видимости по процессам не в том, чтобы блокировать системные демоны Apple, а в том, чтобы перестать гадать о них.