Artigo sobre arquitetura e segurança do RoamSwitch

§1

RoamSwitch é um aplicativo de barra de menu para Mac. Dependendo do quanto você confia na rede que você está atualmente conectado, ele alterna automaticamente o firewall do macOS, serviços de compartilhamento, AirDrop, e DNS. Ele também observa falsificação de ARP, portas abertas para o exterior, armazenamento USB e atividade de criptografia semelhante a ransomware e, quando detecta algo perigoso, irá tão longe quanto cortando o tráfego com o filtro de pacotes (pf) — um air-gap de emergência.

Em outras palavras, o RoamSwitch instala um daemon com privilégios de root e, se quisesse, poderia parar todos tráfego de rede no Mac. É construído por uma pessoa e "por favor, confie em mim" não é suficiente para justificar esse privilégio. Em vez disso, este documento explica o design de uma forma que você pode verificar.

Para quem é isso

• Engenheiros decidindo se devem instalá-lo
• Pesquisadores de segurança e jornalistas que desejam entender os detalhes internos antes de uma revisão ou artigo
• Equipe de segurança em empresas parceiras avaliando uma implementação interna ou pacote OEM

O que este documento não cobre

Ele não entra no ajuste do limite de detecção, nas estatísticas de falsos positivos ou nas orientações da interface do usuário. O que isso explica são quatro coisas: privilégios , limites do processo, fluxo de dados e criptografia. As próprias especificações do recurso estão no pacote de recursos MCP roamswitch://docs/features e na ajuda do aplicativo.

O que é divulgado e até que ponto (política de divulgação)

Este documento foi escrito partindo do pressuposto de que um invasor já possui o binário distribuído. Cada URL de endpoint, identificador, caminho de arquivo, protocolo XPC e chave pública incorporada que aparece aqui pode ser retirado da remessa RoamSwitch.app em alguns minutos com strings, codesign -d ou um proxy de tráfego. Escrevendo-os aqui, portanto não dá nada de novo ao invasor. A única coisa que avança é a compreensão do revisor.

Por outro lado, a implementação do lado do servidor que não pode ser vista no binário — limite de taxa limites, chaves, endpoints administrativos, o esquema de banco de dados, o layout do projeto Firebase – não estão incluídos. O projeto de integração de OEM e parceiros também está fora do escopo aqui e é abordado em um tópico separado documento interno. “O que você pode aprender observando o cliente” é a linha de divulgação para isso documento.

§2

RoamSwitch.app é composto por três executáveis. Apenas um deles é privilegiado; o outros dois são executados com direitos de usuário de login. Todos os três são fornecidos com Hardened Runtime habilitado, ID do desenvolvedor assinado e autenticado em cartório.

Direitos e assinatura

• Todos os três alvos têm ENABLE_HARDENED_RUNTIME = true.
• O Sandbox do aplicativo está desativado (com.apple.security.app-sandbox = false). Os direitos do auxiliar e do MCPServer são dicionários vazios.
• As compilações de distribuição são assinadas pelo aplicativo de ID do desenvolvedor, autenticadas pela Apple e grampeadas (§10).

§3

Como é registrado

O auxiliar é registrado como LaunchDaemon usando SMAppService.daemon(plistName:). O plist incorporado no aplicativo (Contents/Library/LaunchDaemons/com.tetsuharu.RoamSwitch.Helper.plist) declara apenas Label, BundleProgram, uma única entrada MachServices e AssociatedBundleIdentifiers. Por causa de como SMAppService funciona, o registro nem é possível, a menos que o aplicativo esteja em /Applications. No primeiro registro, o auxiliar não se torna ativo até que o usuário o aprove manualmente no Sistema Configurações.

Cujas conexões ele aceita (ClientValidator)

O auxiliar inspeciona o processo de conexão em NSXPCListener's shouldAcceptNewConnection e distribui HelperProtocol apenas para aqueles que passar. A inspeção usa o audit_token em vez do PID, para evite a reutilização de PID e TOCTOU.

# Requisitos de assinatura de código exigidos pela build Release dos clientes que se conectam
identifier "com.tetsuharu.RoamSwitch"
  and anchor apple generic
  and certificate leaf[subject.OU] = "GV76B6G4YU"

Este requisito é verificado com SecCodeCopyGuestWithAttributes e SecStaticCodeCheckValidity, e a conexão será interrompida se não passar. Somente As compilações DEBUG eliminam o pino de ID da equipe, para conveniência do desenvolvimento. O que realmente envia é sempre um Versão de lançamento.

O que o ajudante pode fazer (a lista completa)

As operações privilegiadas definidas em Shared/HelperProtocol.swift são todas elas. Não há API privilegiada que não esteja listada aqui.

Estado dentro do ajudante

• HelperTool.shared é uma única instância compartilhada entre conexões. Costumava ser uma instância separada por conexão, portanto, uma contenção de emergência que abrisse uma nova conexão poderia atingir uma corrida que perderia a noção de “quais serviços trazer de volta”.
• O serviço de compartilhamento e os backups de DNS são modificados apenas em uma fila serial (stateQueue).

Separação de privilégios dentro do assistente e a exceção para ler o registo SSH

Logo após arrancar, o assistente impõe a si próprio um teto aplicado pelo kernel (uma sandbox em tempo de execução, distinta do entitlement de App Sandbox referido acima), que os processos filhos que inicia herdam. Esse teto impede substituir programas do sistema, registar um LaunchDaemon ou LaunchAgent, reescrever a configuração de sudoers, PAM ou sshd, escrever diretamente no armazenamento de diretórios local e executar programas em locais onde os utilizadores, os volumes externos ou as pastas temporárias podem escrever. Não impede as alterações de contas feitas através do Open Directory (dscl) e não restringe o tráfego de rede (não é para isso).

Sob este teto, o /usr/bin/log não é executado. No macOS 26, o log recusa-se a funcionar dentro de uma sandbox (log: Cannot run while sandboxed) e também como nobody (Must be admin). Assim, nem a app do utilizador com sessão iniciada nem o assistente root dentro da sua sandbox conseguem ler o registo do sshd (o registo unificado). A deteção de força bruta SSH tem de ler esse registo, pelo que a separação de privilégios tem uma exceção.

A exceção é um pequeno processo root: antes de entrar na sua sandbox, o assistente inicia o mesmo binário com --ssh-log-reader. Esse processo só aceita um comando de um byte (iniciar ou parar) e não faz mais do que lançar /usr/bin/log com argumentos fixos (log stream --style ndjson --level info e um filtro fixo que deixa passar apenas linhas do sshd). Não passa variáveis de ambiente e quem chama não tem forma de escolher argumentos nem um comando. Não lê nem interpreta o registo; a saída vai para um pipe entregue pelo assistente.

As linhas do registo contêm cadeias que um atacante pode escrever, como o nome de utilizador, pelo que o assistente root não as interpreta. Entrega cada linha a um processo de análise que corre como nobody dentro de uma sandbox que proíbe o acesso à rede, a escrita de ficheiros e o arranque ou a bifurcação de processos, e o endereço de origem é tirado do fim da linha (IP port N), sobre o qual o nome de utilizador não tem influência. Num Mac com o início de sessão remoto desativado, este processo não inicia o log e não lê nada. As operações SSH que podem ser chamadas pelo XPC do assistente são cinco: aplicar as definições, obter o estado, os registos e os inícios de sessão, e levantar um bloqueio. Nenhuma aceita um comando.

§4

Quatro recursos tocam no PF: o air-gap de emergência, a proteção da porta do servidor de desenvolvimento, o túnel VPN Kill-switch WireGuard (§5, 1.7.6+) e seu kill-switch Tailscale (§5, 1.8.0+ — apenas o back-end selecionado). Todos eles sempre vão através de um único ponto de entrada, PFRulesetCoordinator, e nunca execute pfctl -f eles mesmos.

Por que existe um único ponto de entrada

Anteriormente, cada um dos dois recursos carregava regras com pfctl -f independentemente, competindo sobre o único conjunto de regras principal do PF. Se a regra restrita da guarda portuária block ... port {…} fosse carregado após o block drop all do entreferro, você pode acabar em um estado em que a tela disse "isolado", mas o Mac ainda estava acessível. Este bug foi encontrado atacando o máquina de outro host, e foi corrigido em 1.4.3 (a história está escrita em docs/marketing/zenn/03_lan_side_attack_test.md).

Como funciona agora

• Reconstruído totalmente sempre. Todo o conjunto de regras necessário é reconstruído a partir do estado atual e aplicado de uma só vez. Nunca é aplicado como um diferencial.
• Uma fila serial. Cada alteração de PF é executada no mesmo DispatchQueue, portanto, quer tenha vindo de uma conexão XPC, da inicialização do auxiliar ou do temporizador à prova de falhas, as alterações são processadas em ordem.
• A ordem de prioridade é a seguinte (os itens mais acima têm precedência).
  1. Entreferro de emergência → set skip on lo0 e block drop all (nada mais é considerado)
  2. Kill-switch VPN → block drop all mais pass quick apenas para: lo, a interface do túnel (utunN), o handshake UDP para o(s) IP(s) do endpoint fixado(s), DHCP e ICMP
  3. Proteção do servidor de desenvolvimento → block drop in quick proto tcp ... port { … }
  4. Nenhum → recarregar /etc/pf.conf e retornar pf ao seu estado original
• Leia novamente após a aplicação. pfctl -sr lê as regras para confirmar se block drop all, ou a regra de cada porta, está realmente carregada. Um caso em que pfctl -f foi ignorado silenciosamente não é tratado como sucesso.
• O arquivo temporário é gravado em um caminho contendo um UUID e excluído uma vez aplicado (v1.4.5 abandonou o caminho fixo em favor de um caminho difícil de adivinhar). O diretório de estado é /Library/Application Support/RoamSwitch.

§5

Os tipos de bloco são diferentes

Como o Air-Gap nem se prolonga nem pode ser esperado

• A forma como termina depende do que o desencadeou (desde 1.9.52). Uma isca de ransomware adulterada, uma deteção confirmada do XProtect e um isolamento manual escolhido a partir de um aviso ARP são de «confiança alta»; ClickFix, anomalias de portas e semelhantes são de «confiança baixa». Um isolamento de confiança baixa continua a levantar-se sozinho, no máximo aos 10 minutos. Um de confiança alta não se levanta aos 10 minutos: levantar por completo apenas pelo tempo permitiria a um atacante limitar-se a esperar.
• Um isolamento de confiança alta mantém-se totalmente fechado até um limite (1 hora por predefinição, de 5 minutos a 24 horas nas definições) e aí verifica a causa. No caso do ransomware, só dá a causa por desaparecida se o processo suspeito tiver sido identificado e terminado e as iscas não tiverem mudado desde a deteção. Se não for possível confirmá-lo, passa ao «modo degradado»: as novas ligações continuam bloqueadas (exceto loopback e DHCP) e apenas o rádio Wi-Fi é reposto, para que possa ver o que se passa. Nunca abre apenas por passar o tempo. Só abre se o levantar ou se a causa for confirmada como desaparecida.
• Quando um isolamento começa, as ligações de saída que já estavam abertas também são cortadas. A tabela de estados do pf é esvaziada (pfctl -F states), o que pára o tráfego anterior ao isolamento. O mesmo acontece ao passar ao modo degradado.
• Um isolamento causado por falsificação ARP só é levantado automaticamente quando se confirma, sem qualquer tráfego, que a causa desapareceu. A verificação apenas lê a cache ARP (não envia pacotes) e dá a causa por desaparecida quando o MAC de confiança do gateway é visto em 3 verificações consecutivas que abrangem pelo menos 60 segundos. Durante o isolamento, porém, a entrada ARP do gateway pode desaparecer da tabela de vizinhos (confirmado num Mac real) e, nesse caso, a causa não pode ser confirmada. Nesse caso permanece em modo degradado até o levantar.
• Mesmo que o helper falhe, a verificação de levantamento não pára. Um LaunchDaemon dedicado, sem qualquer KeepAlive (AirGapFailsafe), arranca sozinho de 3 em 3 minutos e toma a mesma decisão do helper (confiança baixa: levantar aos 10 minutos; confiança alta: verificar a causa no limite e passar a degradado). Se o próprio helper falhar e perder o seu temporizador de levantamento, esta rede de segurança não é afetada (desde 1.8.6; a decisão por confiança desde 1.9.52).
• Esse daemon dedicado nunca toca na própria configuração de inicialização do helper interativo. Uma tentativa anterior (1.8.5) usava o próprio KeepAlive.PathState do helper para essa recuperação, mas ocasionalmente interferia em um encerramento normal do app, causando um reinício indesejado, por isso foi revertida em favor do daemon atual, totalmente independente.
• A verificação do timestamp usa uma combinação híbrida de tempo de atividade monotônico (ProcessInfo.systemUptime) e hora do relógio. Normalmente prioriza o tempo de atividade monotônico, de modo que correções de NTP e alterações manuais de hora não o afetam. Só recorre à hora do relógio quando o tempo de atividade não é confiável — logo após uma reinicialização, detectada quando o valor atual é menor que o valor armazenado.
• É reaplicado após um reinício ou quando o daemon é recriado. Ao arrancar, o helper lê o estado do disco com reapplyFromDisk() e repõe por si o Air-Gap, a proteção de portas e as predefinições do sistema, por essa ordem. Também mantém o estado do isolamento (confiança, completo ou degradado) e o tempo decorrido; a contagem continua desde a primeira ativação (confirmado num Mac real ao reiniciar o helper).
• Um levantamento com falha é tratado como uma falha. Se block drop all não puder ser realmente removido, o carimbo de data/hora será gravado de volta para que o temporizador à prova de falhas e a nova tentativa tenham algo para convergir. A tela nunca mostra falsamente "levantada".
• Pode retomar o controlo a qualquer momento: com «Levantar isolamento Air-Gap» na barra de menus, com o botão de levantar do modal, ou simplesmente desligando o Wi-Fi. Levantar não exige Pro (funciona mesmo que o Pro expire a meio de um isolamento).

Como um falso positivo da guarda portuária é recuperado

O bloqueio automático de porta desconhecida (Pro, ativado por padrão quando o Pro é ativado) pode impedir um login legítimo. Receptor LAN — LocalSend, Syncthing, qualquer coisa iniciada após a ativação da proteção. Quando isso acontecer, permita-o no botão "Permitir" no banner de notificação ou na linha correspondente em a tela "Portas expostas". Um executável permitido uma vez é registrado como conhecido e não é bloqueado novamente (PortAnomalyGuard.allowPort(_:)). Observe que os intérpretes de script genéricos (Python, Node.js, Netcat, etc.) têm escopo estritamente definido por path:port em vez de binário sozinho para evitar ataques de pessoas que vivem fora da terra. Daemons de sistema Apple que satisfazem anchor apple (rapportd, que apoia Handoff e similares) não são assisti em primeiro lugar.

Isca canário de ransomware autocurável e supressão de contenção

Se os arquivos do chamariz canário forem adulterados ou renomeados e acionarem o entreferro de emergência, liberando a contenção após a verificação da segurança regenera automaticamente arquivos canary ausentes ou corrompidos de volta ao seu hash de linha de base autêntico gerado a partir de modelos incorporados, restaurando imediatamente a vigilância ininterrupta do kqueue (evitando a contaminação da linha de base do adversário). Além disso, durante a contenção ativa (enquanto o modo de emergência é exibido), alertas de notificação redundantes e eventos de reativação de pesquisas periódicas de integridade em segundo plano são automaticamente suprimidos para evitar distrair o usuário durante a resposta a incidentes.

Deteção genérica de ransomware baseada em entropia — 1.10.0, Pro, ativada por predefinição

Monitoriza as pastas Documentos, Ambiente de Trabalho, Transferências e Fotografias via FSEvents, e é acionado quando escritas com entropia de Shannon acima do limiar (7,92) chegam numa rajada de 20 ou mais ficheiros em 5 segundos. Ao contrário da abordagem canary (ficheiro-isco), não depende da adulteração de um ficheiro-isco, pelo que também deteta encriptação em locais sem ficheiro canary. Só ao atingir o limiar é que usa lsof para identificar o processo e verificá-lo numa lista de permissões (cp, mv, ditto, tar, ffmpeg, Xcode, Time Machine, principais navegadores, etc.). Ao detetar, aciona o mesmo bloqueio automático de rede, via RansomwareContainmentManager, usado pela proteção canary.

A edição Linux consegue rastrear rajadas por processo porque o fanotify associa um PID a cada evento de escrita. O macOS não tem fanotify nem (por opção de design) EndpointSecurity, pelo que esta implementação lê apenas o caminho via FSEvents e conta a rajada globalmente, independentemente do processo. Limitação: quando vários processos legítimos escrevem simultaneamente grandes quantidades de ficheiros de alta entropia (por exemplo, tarefas de compressão ou encriptação concorrentes), um falso positivo é mais provável aqui do que na edição Linux.

Snapshots anteriores ao dano para recuperação de ransomware (Mac)

Um snapshot feito no momento da deteção já contém os ficheiros cifrados antes dela, por isso não é um caminho de volta. O RoamSwitch faz por isso snapshots locais APFS de forma periódica, independentemente da deteção (a cada 6 horas por predefinição; desativado, 1, 3, 6, 12 ou 24 horas). Quando ocorre uma deteção, os novos snapshots anteriores ao dano e a limpeza param até 7 dias (modo de retenção), para que o estado cifrado não substitua a última geração anterior à cifragem. A recuperação é sempre manual: só os ficheiros escolhidos são copiados para ~/RoamSwitch-Recovered/. Os ficheiros atuais nunca são substituídos e não é oferecida a restauração do volume inteiro. Copiar exige montar o snapshot, por isso o helper com privilégios precisa de Acesso Total ao Disco (os snapshots continuam a ser criados sem ele). O macOS pode remover sozinho os snapshots locais, por exemplo com pouco espaço livre, e não há garantia de que durem mais de cerca de 24 horas. A janela de recuperação é uma funcionalidade Pro (a criação dos snapshots em si funciona também sem Pro).

Pacote de evidências forenses — 1.10.0

Quando um Air-Gap de emergência começa — acionado pela proteção canary, pela proteção de ransomware baseada em entropia ou semelhante — uma fila em segundo plano que não bloqueia a própria contenção guarda uma captura da lista de processos (ps), das ligações de rede (lsof -i), dos ficheiros modificados nos últimos cinco minutos e dos ficheiros abertos pelo processo suspeito, em ~/Library/Application Support/RoamSwitch/incident-evidence/<carimbo temporal>/manifest.json. O manifesto regista o SHA-256 de cada artefacto para que uma adulteração posterior possa ser detetada. A lista de pacotes está disponível na ferramenta MCP get_forensic_evidence_bundles. Limitação: por ser construído sem a entitlement EndpointSecurity, não captura traços de pacotes nem capturas de memória/descritores de ficheiro do processo.

Registo de execução de processos (Mac, Pro, desativado por predefinição)

O helper privilegiado lança o /usr/bin/eslogger do próprio macOS (exec, fork, exit) como processo filho e regista os arranques de processos apenas neste Mac. Não pede o entitlement EndpointSecurity (nunca chama es_new_client) e o RoamSwitch tem de estar permitido em Acesso total ao disco (Definições do Sistema; se não constar, adicione /Applications/RoamSwitch.app com «+»). Enquanto faltar a permissão, mostra o estado «indisponível», espera e volta a verificar de 60 em 60 segundos (não passa a um polling pesado). Apenas notifica. Nunca bloqueia a execução nem a comunicação, nem isola.

Notifica estes dez comportamentos: um navegador, uma aplicação Office ou de correio eletrónico a iniciar diretamente uma shell; a execução de um binário não assinado a partir de uma pasta temporária ou de um local em quarentena; um comando de uma linha que transfere e canaliza para uma shell (combinado com um URL de IP em bruto, base64, eval ou verificação TLS desativada); osascript a usar base64 ou eval; a execução de um ficheiro logo após a remoção do seu atributo de quarentena; o lançamento de um binário não assinado a partir de um registo de arranque automático recém-escrito (LaunchAgent ou LaunchDaemon); um processo-pai não assinado pela Apple a ler um segredo do chaveiro (como security find-generic-password -w); uma linha única de python3, perl, ruby, php ou pwsh com -c/-e/-Command, em que uma descodificação base64/eval e uma chamada a curl, wget, exec ou system surgem ambas na mesma linha (a partir de 1.10.0 — usar apenas base64 ou apenas eval não aciona isto); e o lançamento de um processo com a variável de ambiente DYLD_INSERT_LIBRARIES definida (a partir de 1.10.0 — para evitar fugas de segredos, é lido apenas o valor desta única variável; processos assinados pela Apple são excluídos); e uma linha de comandos que indica diretamente um ficheiro de credenciais isco colocado pelo RoamSwitch (como ~/.aws/credentials ou ~/.env.backup, reconhecido pela marca no conteúdo), por exemplo cat, tar ou curl -F; os ficheiros reais nunca correspondem e as leituras através de uma biblioteca ficam para a vigilância de honeytokens. Cada deteção transporta um ID de técnica MITRE ATT&CK.

Só as deteções de gravidade alta se tornam banners, e as do mesmo tipo são agrupadas numa por 10 minutos (cada evento fica no registo). As ferramentas de desenvolvimento como o Claude Code e a CLI do GitHub que leem as suas próprias credenciais não são notificadas por predefinição. Se outro programa as ler, a ação «Permitir este programa» da notificação permite apenas esse item (por Team ID se estiver assinado; caso contrário, pelo nome do executável, em par com o nome do item).

O registo é guardado legível apenas por root (diretório 0700, ficheiros 0600) e mantém 200 MB e 14 dias por predefinição. As variáveis de ambiente não são guardadas, mas os argumentos da linha de comandos podem conter segredos. Cada segmento é selado numa cadeia de hashes ligada ao hash do segmento anterior, e «Verificar cadeia» deteta edições, segmentos em falta e selos removidos (cada um confirmado num Mac real). Isto deteta a adulteração, não a impede. Apagar ou reverter o segmento mais recente não é detetável. A leitura passa pelo XPC do helper, e o MCP passa pela app (com nova verificação de Pro).

Limites: as execuções anteriores ao arranque do helper ou à ativação do registo não são registadas. O eslogger observa a posteriori e não pode bloquear. Com cargas como milhares de arranques de processo por segundo perdem-se eventos (a contagem é mostrada no ecrã e o funcionamento continua). Este registo não substitui um EDR (deteção e resposta em endpoints).

Honeytokens de credenciais — 1.10.0, Pro, ativados por predefinição

Coloca um ficheiro de credenciais-isco, marcado com um valor sentinela, em cada um destes três locais: ~/.aws/credentials, ~/.ssh/id_rsa_backup e ~/.docker/config.json. Nunca substitui um ficheiro real já presente nesse caminho. A deteção de acesso combina o mesmo mecanismo kqueue (DispatchSource.makeFileSystemObjectSource) usado pela proteção canary com uma sondagem da hora de acesso a cada 30 segundos, uma vez que sem EndpointSecurity um evento open() não pode ser capturado de forma fiável. A deteção limita-se a notificar; nunca bloqueia nada nem aciona o isolamento. A isca ssh usa um nome que o ssh não procura por predefinição (não id_rsa), por isso uma execução normal do ssh nem é quebrada nem sinalizada por engano. A isca AWS usa um nome de perfil distinto em vez de [default], a do Docker aponta para um registo interno inexistente e todas são criadas com modo 0600 (desde a 1.10.3). Além destes três, são colocados iscos também em ~/.pypirc e ~/.env.backup (para pesquisas de tokens PyPI, ficheiros .env e chaves de API de IA). Não se usa ~/.npmrc porque o npm o lê em cada execução, nem as credenciais GCP porque um ficheiro falso quebraria a autenticação real. Quando um isco é realmente acedido, é colocado adicionalmente exatamente um isco relacionado (~/.aws/config, ~/.ssh/config ou ~/.kube/config), também vigiado; a cadeia termina após um passo e nenhum ficheiro existente é sobrescrito.

Monitorização de acesso a credenciais do navegador — 1.10.0, opt-in mesmo no Pro, desativada por predefinição

Monitoriza, via FSEvents, as escritas nas bases de dados de palavras-passe/cookies guardados do Chrome, Brave, Edge, Vivaldi, Chromium e Firefox. Quando ocorre uma rajada, o lsof identifica o processo; tudo o que não seja o próprio navegador, um indexador como o Spotlight ou um daemon de cópia de segurança conta como deteção. Ao contrário das outras novas proteções, ativar o Pro não a ativa automaticamente — uma extensão do navegador ou a função de importação de um gestor de palavras-passe podem acioná-la, pelo que o risco de falso positivo é suficientemente inerente para que seja lançada como opt-in.

Comunicação com o Sensor (TLS e assinaturas)

O emparelhamento, os pedidos de auditoria e a obtenção de resultados com um RoamSwitch Sensor (um produto à parte) na mesma LAN usam TLS 1.3 com a impressão digital do certificado (SHA-256) fixada (Sensor 0.3.9 e posteriores). A impressão digital não é obtida pela rede; o utilizador escreve o valor mostrado no ecrã do Sensor. Não são validados a autoridade certificadora, o nome do anfitrião nem a validade, e só se confia no valor fixado. Se o TLS falhar, não se recorre a texto simples (recorrer a ele permitiria a um intermediário fazer o downgrade da ligação). As assinaturas dos pedidos incluem carimbo temporal e nonce (v2) para impedir a repetição. Só um emparelhamento antigo sem impressão digital continua a ligar-se em texto simples como antes, com um aviso.

Se o certificado mudar, a ligação é recusada. A atualização da impressão fixada nunca é automática: só é guardada quando o utilizador escreve e confirma o novo valor e uma sonda assinada tem realmente êxito por TLS. Limite: esta sonda não verifica por chave que o Sensor é o mesmo que foi emparelhado antes. Depende de o utilizador escrever o valor que confirmou no ecrã do Sensor.

Detecção multicamada de downloads (assinaturas estáticas + ClamAV) — camada de assinaturas estáticas adicionada na 1.8.7

Arquivos recém-colocados nas pastas Downloads, Área de Trabalho ou Documentos passam primeiro por uma verificação leve de assinaturas estáticas via StaticSignatureScanner (apenas os primeiros 4 MB, com correspondência simples de padrões de bytes AND/OR — sem expressões regulares nem cálculos de entropia). Não requer o entitlement EndpointSecurity e continua funcionando mesmo onde o ClamAV não está instalado. A detecção é deliberadamente limitada ao que pode ser afirmado como fato sem um corpus real de malware: a assinatura de teste EICAR, padrão do setor, e cinco reverse shells clássicas de uma linha documentadas em referências públicas de segurança ofensiva (por exemplo, PayloadsAllTheThings) — /dev/tcp/ do bash/sh, -e do netcat, pty.spawn do Python, Socket do Perl e fsockopen do PHP. Não escrevemos «assinaturas» em nível de byte para famílias de malware nomeadas sem dispor de uma amostra real da qual extraí-las — isso seria apenas uma falsa sensação de segurança. Os próprios padrões são armazenados ofuscados com XOR 0x5A, para que o binário do RoamSwitch nunca contenha literalmente uma string EICAR ou uma reverse shell pela qual o próprio ClamAV poderia sinalizá-lo.

Somente os arquivos que a camada de assinaturas estáticas classifica como «limpos» seguem para a verificação do ClamAV. Arquivos recém-colocados nas pastas Downloads, Área de Trabalho ou Documentos são verificados imediatamente pelo ClamAV, independentemente de terem extensão .tmp ou atributo com.apple.quarantine (por exemplo, uma cópia feita pelo Terminal). O EICAR e outras assinaturas de teste padrão do setor são tratados como inofensivos: nenhuma notificação é exibida, apenas um registro é feito no histórico de notificações — e nunca são colocados em quarentena nem bloqueados (somente amostras reais de malware são colocadas em quarentena). E se já existia anteriormente um arquivo de mesmo nome em quarentena, a nova ameaça ainda assim é movida para a pasta de quarentena com um nome exclusivo e com timestamp, de modo que uma ameaça nunca pode permanecer em seu local original por causa de uma colisão de nomes.

Deteção de web shells nas pastas web de desenvolvimento (Web Rules)

Os ficheiros do desenvolvimento web local (~/Sites, MAMP, Herd, Local, /Library/WebServer/Documents e as pastas de projeto registadas para a comparação de CVE de pacotes) são verificados com as mesmas 18 regras de deteção da edição Linux: PHP, JavaScript, JSP e ASP. As regras descrevem apenas técnicas documentadas publicamente e não contêm qualquer assinatura extraída de uma amostra real. Há três camadas: integradas na app, uma atualização assinada só de receção uma vez por dia (incluída na obtenção única existente) e as suas próprias regras em ~/Library/Application Support/RoamSwitch/rules.d (só são lidos ficheiros pertencentes a root ou a si que nem o grupo nem outros possam escrever). As pastas que a app já vigia, como Transferências, são verificadas logo após uma escrita; as pastas web de desenvolvimento, uma vez por dia e a pedido (a verificação diária não entra em node_modules nem .git; a de uma pasta escolhida entra em node_modules). Como o EndpointSecurity não é usado, nada pode ser parado antes de executar: toda a deteção é posterior.

Por predefinição, só critical é posto em quarentena automaticamente. Um resultado high não toca no ficheiro e aparece como notificação e numa lista nas Definições, onde pode escolher «não detetar novamente» (o nível de quarentena altera-se nas Definições). O hook posterior à deteção (~/Library/Application Support/RoamSwitch/hooks/post-detection) só é executado se pertencer a root ou a si e mais ninguém o puder escrever, e é parado aos 30 segundos. A resposta sobre contas (desativada por predefinição; ativá-la exige a palavra-passe de administrador) revoga a shell de início de sessão do dono de um ficheiro em quarentena, mas não toca em root, UID inferiores a 501 nem utilizadores com sessão iniciada (incluindo si, que usa este Mac). Executado como root sob a própria sandbox do auxiliar numa máquina virtual com macOS 26, foram verificadas a alteração real da shell com dscl e a sua reposição (a sandbox bloqueia escritas diretas em dslocal, mas não alterações feitas através de dscl). A confirmação com a palavra-passe de administrador e o caminho de chamada da app para o auxiliar ainda não foram verificados num equipamento real. Houve 0 resultados em 114 501 ficheiros de uma pasta de desenvolvimento.

Monitoramento de nova persistência de inicialização (LaunchAgent/LaunchDaemon) — 1.8.7

Novos arquivos .plist colocados em ~/Library/LaunchAgents, /Library/LaunchAgents ou /Library/LaunchDaemons são detectados em tempo real via FSEvents (PersistenceMonitorGuard). Sem o ES_EVENT_TYPE_AUTH_CREATE do EndpointSecurity, a própria gravação não pode ser bloqueada. O que é possível é perceber em questão de segundos e avaliar o conteúdo.

A avaliação se baseia no que está sendo iniciado diretamente, não na assinatura do próprio executável. Técnicas reais observadas em 2026 — um LaunchAgent disfarçado de Google Update escondendo um script bash decodificado em base64, ou um LaunchDaemon com privilégios de root reexecutando a cada inicialização um payload de AppleScript decodificado em base64 — escondem ambas o código malicioso no próprio script, enquanto chamam normalmente um /bin/bash ou /usr/bin/osascript validamente assinado. Uma verificação que olhasse apenas para a assinatura do executável deixaria passar os dois casos. Por isso, qualquer LaunchAgent/LaunchDaemon recém-registrado que invoque diretamente um interpretador de script bruto (bash, sh, zsh, osascript, python3, perl, ruby, php e similares) é sinalizado incondicionalmente, independentemente de a assinatura do próprio interpretador ser válida. Os argumentos passados a ele também são submetidos ao StaticSignatureScanner, e qualquer padrão conhecido como malicioso é incluído na notificação. Entradas registradas via BundleProgram (apontando para um binário compilado e assinado dentro de um bundle de aplicativo — incluindo o próprio Helper do RoamSwitch) são simplesmente verificadas da forma habitual, com codesign --verify --strict.

Detecção de ClickFix e bloqueio de emergência — 1.8.7, desativado por padrão

«ClickFix» é uma técnica de engenharia social em que uma falsa tela de CAPTCHA ou erro instrui você a abrir o Terminal e colar um comando «para verificação». As detecções aumentaram mais de 500% entre 2024 e 2025, e até 2026 é considerada um dos vetores de ataque mais prevalentes no macOS. Como é o próprio shell legítimo do usuário executando exatamente o que foi digitado, ela escapa completamente da verificação de assinatura do Gatekeeper.

Barra de menu → Proteção contra malware → Defesa ClickFix (Pro, desativada por padrão). Monitora via FSEvents novas linhas anexadas a ~/.zsh_history/~/.bash_history (somente linhas adicionadas após o início da proteção — nunca examina o histórico já existente), e corresponde apenas às reverse shells clássicas que compartilha com o StaticSignatureScanner, além da combinação específica de decodificar base64 diretamente para um shell ou para o osascript. Um simples curl | bash — extremamente comum em instaladores legítimos — é deliberadamente excluído, pois é indistinguível das instruções oficiais de instalação do Homebrew, rustup, nvm e similares. Assim que uma correspondência é encontrada, ela aciona o mesmo air-gap de emergência descrito acima. Como o comando já foi executado, isso é necessariamente reativo, mas ainda pode interromper um download de segundo estágio ou uma exfiltração de credenciais em andamento. Como qualquer outro gatilho de air-gap, ele é liberado sozinho em no máximo 10 minutos (veja o início desta seção).

Uma limitação conhecida. Como a detecção depende de uma gravação no histórico do shell, ela não consegue detectar a variante sem arquivo que evita totalmente o Terminal invocando diretamente o Editor de Script pelo esquema de URL applescript://, sem gravar nada em disco. A Apple já introduziu alguma mitigação para isso (uma caixa de diálogo de confirmação para scripts não identificados), mas foram relatadas variantes que a contornam. Testamos esse caminho em hardware real usando o log unificado do macOS (log show/log stream) e não encontramos nenhum sinal de log distintivo no qual basear a detecção. Preferimos declarar essa limitação com clareza a alegar uma cobertura que não temos.

Deteção de Riscos do Docker — 1.8.9, Pro, desativado por predefinição

Barra de menus → "Proteção contra Malware" → "Detetar Contentores Docker Privilegiados e Montagens docker.sock" (DockerEventGuard). Como esta base de código não tem precedente de uma ligação de streaming persistente como docker events, utiliza a mesma abordagem de sondagem por temporizador que o PortAnomalyGuard. A cada 20 segundos obtém o conjunto de IDs de contentores com um docker ps -q leve, executando depois docker inspect --format apenas sobre a diferença (contentores recém-iniciados) para uma inspeção detalhada. A cadeia de formato utilizada para deteção é deliberadamente idêntica à da edição Linux (roamswitch_core::health::LinuxHealthChecker::DOCKER_INSPECT_RISK_FORMAT), pelo que ambas as plataformas assinalam exatamente as mesmas condições (arranque em modo --privileged, ou uma montagem vinculada de /var/run/docker.sock).

Não é tomada qualquer ação automática ao detetar. Um contentor privilegiado ou uma montagem docker.sock é uma "configuração" de risco que pode permitir uma fuga de contentor, mas não é um comprometimento confirmado — também há usos legítimos, como executar deliberadamente um agente de monitorização em modo privilegiado. Como a maioria dos utilizadores não usa Docker de todo, esta funcionalidade permanece desativada por predefinição mesmo com uma licença Pro. Não utiliza o entitlement EndpointSecurity; a CLI docker é localizada verificando primeiro o caminho de instalação predefinido do Docker Desktop, depois o Homebrew, depois o which. Verificada numa instalação real do Docker Desktop (29.7.2) em três cenários — um contentor privilegiado, um contentor com montagem docker.sock e um contentor normal — sem falsos positivos nem deteções em falta.

Auditoria de Fugas de Segredos/Chaves API — adicionada em 1.8.4, análise de pastas adicionada em 1.8.9

Barra de menus → "Proteção contra Malware" → "Auditoria de Fugas de Segredos/Chaves API". Cole texto e é imediatamente verificado em busca de chaves API e tokens expostos, mostrando o número da linha, uma cadeia mascarada e uma recomendação para cada ocorrência (SecretLeakAuditor, inteiramente no dispositivo). A versão 1.8.9 adicionou a opção "Escolher Pasta para Analisar", permitindo ao mesmo motor de deteção auditar recursivamente um diretório — como um checkout de código-fonte — através de auditDirectory(at:). .git, node_modules, target, vendor, dist, build, __pycache__ e venv são automaticamente excluídos, tal como ficheiros com mais de 2 MB ou detetados como binários. O processamento é executado fora da thread principal para não bloquear a interface, e nada é jamais enviado para o exterior.

Link Guard (bloqueio de conexões de phishing) — 1.7.2 e posterior, reforçado em 1.8.0

Barra de menu → "Proteção contra malware" → "Link Guard" (Pro). Bloqueia conexões com sites de phishing/fraude no dispositivo, em todos os navegadores e aplicativos. Existem dois pontos de aplicação, usados ​​em conjunto em ordem de prioridade.

• ① Extensão do sistema de filtro de conteúdo (RoamSwitchLinkFilter, 1.8.0+, preferencial após aprovação). Uma extensão do sistema NEFilterDataProvider — sem revisão da Apple (os provedores de filtro de conteúdo são de autoatendimento, sem fila de aprovação). Ele inspeciona a resolução de nomes do fluxo TCP de saída real after. O nome de destino vem do nome do host resolvido pelo sistema operacional ou, na falta disso, o TLS SNI analisado a partir dos primeiros bytes do fluxo - portanto, um navegador que faz seu próprio DoH/DoT e se conecta a um IP vazio ainda está bloqueado. Nunca reescreve /etc/hosts e atribui cada fluxo a um processo. QUIC (UDP/443) não tem SNI legível, portanto, no modo block ele é descartado, forçando o navegador a voltar para HTTP/2 sobre TCP. Precisa de uma aprovação única nas configurações do sistema.
• ② /etc/hosts sinkhole (fallback, enquanto a extensão não é aprovada/recusada). O auxiliar privilegiado grava os domínios de destino em uma seção gerenciada delimitada de /etc/hosts como 0.0.0.0 e libera o cache. Limite de 60.000. Assim que a extensão estiver ativa, esta seção será removida.
• Três modos. "Desligado" desativa-o. "Avisar apenas" pausa a conexão correspondente e pergunta ao usuário (veja Real warn abaixo). "Bloquear automaticamente sites fraudulentos óbvios (recomendado)" cai imediatamente. O padrão é bloquear a partir de 1.7.2.
• Real warn (1.8.0+, extensão apenas). Em um warn, a extensão do sistema holds o fluxo (tanto o nome do sistema operacional quanto o caminho SNI) com .pause() e o aplicativo gera uma notificação "Permitir/Bloquear". No momento em que o toque do usuário atinge allowlist.txt / extra.txt (a extensão pesquisa os pequenos arquivos de estado a cada 1,5 s), os fluxos retidos são retomados (permitidos) ou descartados (bloqueados). Nenhuma resposta dentro de 25 segundos falha open (um aviso é consultivo). A decisão é armazenada em cache por host (permitir 5 minutos/bloco de 1 hora), para que os outros fluxos da página e as visitas posteriores sejam instantâneos e aplicados. A notificação block permanece inalterada: "Bloqueado…" com um botão "Permitir uma vez (5 min)".
• Apenas casos claros são bloqueados. Uma listagem no feed de ameaças ou um homógrafo Unicode de marca — todo o resto (TLDs de alto risco, representação de subdomínio,…) é um aviso. O mecanismo de veredicto é compartilhado com a edição Linux e não envia URLs para lugar nenhum.
• Recuperando de um bloqueio errado. Permitir um domínio da notificação ou do menu (5 minutos ou permanente). A lista de permissões é subtraída quando a seção é regenerada.
• Pro-gated. A aplicação (applyMode()) só acontece em uma licença Pro válida. Sem Pro, o modo é armazenado, mas /etc/hosts nunca é tocado. A ativação ou caducidade de uma licença entra em vigor no meio da sessão.
• Feed e seed empacotado. A lista de bloqueios vem do feed de ameaças assinado (§7, verificado com uma chave dedicada ao feed). Ele funciona no pacote inicial do aplicativo (cerca de 60.000 entradas) antes mesmo da primeira busca, e desligar a "atualização automática" significa que não há tráfego de saída.

Bloqueio preventivo de gateway ARP/NDP — 1.7.5 e posterior

Barra de menu → "Monitor de portas e dispositivos" → "Fixar o ARP/NDP do gateway em redes não confiáveis ​​(preventivo)" (Pro, desativado por padrão).

• Como funciona. Ao ingressar em uma rede não confiável, o MAC atual do gateway IPv4, o roteador padrão IPv6 e os resolvedores DNS no link são coletados de route / scutil --dns / arp -n / ndp -an, e o auxiliar fixa cada um como uma entrada permanent com arp -s / ndp -s (confiança no primeiro uso - o primeiro MAC observado é confiável). As respostas ARP/NDP falsificadas para esses IPs são então ignoradas, portanto, um ataque man-in-the-middle não pode ser configurado.
• Scope. Somente esses três tipos de entrada são fixados. Redes confiáveis ​​(abertas) nunca são fixadas. Em cada mudança de rede, ele é desbloqueado uma vez e fixado novamente. Os resolvedores públicos fora do link (8.8.8.8,…) não têm entrada ARP no link e são automaticamente excluídos.
• arp -s é preventivo; o entreferro é posterior ao fato. Este pino existe, então uma paródia não pode ter sucesso; A detecção de falsificação de ARP (ARPSpoofContainmentManager) e o entreferro de emergência existem para "cortar mais rápido que um humano" quando um é visto. Eles funcionam de forma independente.
• Persistence. O conjunto de pinos é salvo em /Library/Application Support/RoamSwitch/gateway_arp_lock.json para que possa ser desbloqueado por meio de uma reconexão XPC ou reinicialização auxiliar.

O túnel VPN (WireGuard/Tailscale) e seu kill switch — 1.7.6 e posterior, backend selecionável em 1.8.0

Barra de menu → "Monitor de portas e dispositivos" → "Túnel VPN" (Pro, desativado por padrão). Esta é a defesa anti-MITM primary — não depende da integridade do L2 (ARP/NDP). O backend é selecionável (submenu → "Backend") entre "WireGuard (arquivo de configuração)" e "Tailscale (Nó de saída)". RoamSwitch não implementa nenhuma criptografia; apenas o backend escolhido está armado.

• (A) Backend WireGuard. Aciona o wireguard-tools do Homebrew (sem direito de extensão de rede Apple). Importe seu próprio .conf; o auxiliar salva em 0600. Kill-switch: pf block drop all mais um pass quick apenas para lo, a interface do túnel, o handshake UDP para o(s) IP(s) do endpoint fixado(s), DHCP e ICMP. Um túnel não completo AllowedIPs gera um aviso de túnel dividido.
• (B) Backend Tailscale (1.8.0+). Para usuários que já executam Tailscale. RoamSwitch not executa tailscale up / faz login / instala - ele lê tailscale status --json e executa tailscale set --exit-node=<node>. Recomenda-se a compilação Standalone (download direto em tailscale.com) com a integração de CLI ativada (Definições → “CLI integration” → “Install Now”, que adiciona /usr/local/bin/tailscale) — a compilação da App Store (GUI) não pode ser conduzida de fora do aplicativo (sandbox); com ele você escolhe o nó de saída no aplicativo Tailscale e o RoamSwitch mostra apenas o status. É necessário um nó de saída (roteia todo o tráfego através do túnel); ele é desarmado automaticamente se ficar offline ou inacessível.
• ⚠️ A compilação Homebrew (brew install tailscale) não é recomendada. O tailscaled distribuído pelo Homebrew tem um bug conhecido no macOS que pode impedí-lo de reescrever corretamente a tabela de rotas (tailscale/tailscale#21395, #21216) — um exit node pode aparecer como “conectado” enquanto o tráfego continua a vazar, ou desativá-lo pode derrubar completamente a ligação à Internet do próprio Mac. O RoamSwitch verifica a tabela de rotas real do sistema operativo e avisa quando isto acontece, mas usar a compilação Standalone acima evita o problema desde o início.
• Reconfiguração de rede ao desconectar. O macOS autônomo tailscaled não restaura corretamente o roteamento + DNS quando um nó de saída é limpo, então o RoamSwitch devolve o(s) serviço(s) de rede ativo(s) (o mesmo que alternar o Wi-Fi manualmente; apenas serviços com um endereço IPv4, seguro para multi-NIC e IP estático). O tráfego cai por aproximadamente 5 a 10 segundos e o nível de proteção não é rebaixado durante essa janela.
• O kill switch Tailscale está desativado por padrão (opt-in). O nó de saída já encapsula tudo; o pf block drop all (permite apenas CGNAT/MagicDNS/STUN/DERP/DHCP/ICMP/DNS) é para usuários avançados e é "resistente a vazamentos, não à prova de vazamentos" (DNS é permitido para que tailscaled sobreviva).
• Automático / em caso de perda de licença. Aparece em redes não confiáveis, mas cai em redes confiáveis; cancelado quando a licença Pro expirar.

§6

Quando você se conecta a uma rede que não está registrada, a opção "nível de proteção" não usa pf. Ele simplesmente altera as configurações padrão do sistema operacional de uma forma que pode ser revertida posteriormente.

Nada disso é um novo mecanismo de bloqueio adicionado pelo RoamSwitch – é apenas alternar as configurações do sistema operacional. Se você exclui o aplicativo, a única coisa que impede é a comutação dependente da rede; o último sistema operacional as configurações aplicadas permanecem como estão. Nada fica bloqueado, mas se você quiser errar no lado seguro, configure-o novamente para "Aberto" em uma rede confiável antes de desinstalar.

§7

O que fica no Mac

Tráfego que sai da máquina (a lista completa)

Não existe código que recolha e envie resultados de diagnóstico, informações de portas, URLs ou registos. Não está incluído nenhum SDK de análise nem de relatórios de falhas. A única biblioteca externa é o Sparkle (atualizações). O que sai para a rede são os oito caminhos seguintes, mais as funcionalidades iniciadas pelo utilizador, as funcionalidades desativadas por predefinição e a proteção DNS contra ameaças descritas abaixo da tabela, e mais nada (o sexto só se o utilizador configurar uma VPN, o sétimo só se o emparelhamento do RoamSwitch Sensor estiver ativado).

# Assinatura Developer ID e Team ID
codesign -dvvv /Applications/RoamSwitch.app 2>&1 | grep -E 'Authority|TeamIdentifier|flags'

# Se o ticket de notarização está anexado (staple)
stapler validate /Applications/RoamSwitch.app
spctl -a -t exec -vvv /Applications/RoamSwitch.app

# Assinatura do helper incluído / servidor MCP
codesign -dvvv /Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchHelper
codesign -dvvv /Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchMCPServer

codesign -d --entitlements :- /Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchHelper
codesign -d --entitlements :- /Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchMCPServer
# → Um dicionário de entitlements vazio. Nenhuma chave app-sandbox / network client.

# Execute o tcpdump em paralelo para confirmar que, na utilização normal, não há tráfego fora das vias da tabela
sudo tcpdump -i any -n 'host not 127.0.0.1' and 'not port 53'
# Nenhum tráfego além das vias da tabela (ativação de licença, verificações de atualização, dados de atualização assinados, atualizações do ClamAV, etc.)

Para uma verificação mais rigorosa e automatizada com atribuição por processo, consulte rs-zerotel-audit.sh em roamswitch-support/auditoria/

# Verifica automaticamente em lote a fronteira de autorização XPC, a prioridade Air-Gap do pf, a detecção de exposição de portas, o modo somente leitura do MCP e o monitoramento ARP
git clone https://github.com/lafine1211/roamswitch-support
cd roamswitch-support/audit
./rs-defense-audit.sh all

Teste de penetração ao vivo e auditoria de defesa multicamadas de uma VM macOS: RESULTS-DEFENSE-2026-08-30

# Consultar o domínio de teste oficial da Quad9 para verificar o bloqueio de ameaças
nslookup test.dns9.quad9.net
# → Deve retornar ** server can't find test.dns9.quad9.net: NXDOMAIN, ou seja, a resolução de nomes está bloqueada

# Criar a string de teste antivírus padrão e inofensiva (EICAR) em Downloads
echo 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > ~/Downloads/eicar_test.com
# → A detecção do FSEvents aciona uma varredura imediata do ClamAV; nenhuma notificação é exibida e "assinatura de teste EICAR detectada (inofensiva)"
#   é registrada no histórico de notificações. Como o EICAR é um arquivo de teste padrão do setor e não uma ameaça real,
#   não é colocado em quarentena nem bloqueado, e o arquivo permanece no lugar (somente uma amostra real de malware é movida para o gerenciador de quarentena).

## Uma reverse shell clássica de uma linha extraída de referências públicas de segurança ofensiva (inofensiva, nunca é executada)
echo 'bash -i >& /dev/tcp/127.0.0.1/4444 0>&1' > ~/Downloads/rs_test.sh
## → Mesmo sem o ClamAV instalado, aparece uma notificação «Arquivo baixado perigoso colocado em quarentena», e o arquivo é
##   movido imediatamente para a pasta Quarantine (independentemente do banco de assinaturas do ClamAV)

# Criar um LaunchAgent inofensivo que invoca diretamente um interpretador de script bruto (nunca é executado de fato)
cat > ~/Library/LaunchAgents/com.example.selfcheck.plist <<'EOF'
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0"><dict>
  <key>Label</key><string>com.example.selfcheck</string>
  <key>ProgramArguments</key><array><string>/bin/bash</string><string>-c</string><string>echo hi</string></array>
</dict></plist>
EOF
# → Em poucos segundos deve aparecer uma notificação «Novo registro de inicialização automática detectado». Remova-o em seguida:
rm ~/Library/LaunchAgents/com.example.selfcheck.plist

# Se a seção gerenciada está presente (2 linhas BEGIN/END no modo Pro + padrão)
sudo grep -c 'RoamSwitch link guard' /etc/hosts

# O conteúdo da seção e a contagem de sinkholes
sudo sed -n '/BEGIN RoamSwitch link guard/,/END RoamSwitch link guard/p' /etc/hosts | head -4
sudo sed -n '/BEGIN RoamSwitch link guard/,/END RoamSwitch link guard/p' /etc/hosts | grep -c '^0\.0\.0\.0'

# Se realmente é descartado (verificado com uma entrada da seção; inofensivo)
D=$(sudo sed -n '/BEGIN RoamSwitch/,/END RoamSwitch/p' /etc/hosts | awk '/^0\.0\.0\.0/{print $2; exit}')
dscacheutil -q host -a name "$D"   # → ip_address: 0.0.0.0 (resolução de nomes bloqueada)

# Confirme também que a seção acima desaparece via Menu → "Proteção de links" → "Desligado"

# Feed e manifesto públicos (qualquer pessoa pode obtê-los e verificá-los)
curl -s https://lafine.net/updates/v1/manifest        # version/generated/threatfeed{...}
curl -sI https://lafine.net/updates/v1/manifest.sig   # → text/plain
# Apenas um GET sem query string, cookies ou identificador por dispositivo (apenas o User-Agent padrão) é enviado. Verificável executando o tcpdump em paralelo.

# Conecte-se a uma rede não confiável com o bloqueio preventivo ativado → verifique as entradas permanent
arp -an | grep -i permanent          # O gateway e outros IPs são listados como (permanent)
ndp -an | grep -i 'P '               # Lado IPv6 (P = permanent)
sudo cat "/Library/Application Support/RoamSwitch/gateway_arp_lock.json"  # O conjunto de mapeamentos IP→MAC atualmente fixados
# Libere o bloqueio pelo menu → o item acima deve desaparecer

# Pressupõe wireguard-tools (via Homebrew)
brew list wireguard-tools >/dev/null && echo "wireguard-tools: OK"

# Ative a VPN em uma rede não confiável → antes que o túnel seja estabelecido, o pf está em estado de kill-switch
sudo pfctl -sr | grep -E 'block drop all|pass .*(utun|udp)'   # block drop all + um conjunto limitado de regras pass quick

# Depois que o túnel está ativo (wg-quick up já executado)
wg show                              # handshake / transfer está ativo
route -n get default | grep interface  # → utunN (a rota padrão é o túnel)
# Desative a VPN → o kill-switch é liberado e o pf retorna ao estado anterior

# O LaunchDaemon registrado
sudo launchctl print system/com.tetsuharu.RoamSwitch.Helper

# As regras pf atualmente carregadas (estado real do Air-Gap / guarda de portas)
sudo pfctl -sr

# O diretório de estado do helper
ls -la "/Library/Application Support/RoamSwitch/"

BIN=/Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchMCPServer
printf '%s\n' '{"jsonrpc":"2.0","id":1,"method":"initialize","params":{}}' \
              '{"jsonrpc":"2.0","id":2,"method":"tools/list"}' | "$BIN"
# Retorna serverInfo e as definições das ferramentas. Nenhuma conexão de rede ocorre.

git clone https://github.com/lafine1211/roamswitch-mcp
cd roamswitch-mcp
swift build -c release        # O mesmo código-fonte do binário distribuído
swift test                    # Testes unitários, de entrada adversarial, stdio e fuzzing por mutação
# Consulte SECURITY_TESTING.md para o conteúdo dos testes e problemas encontrados

# O valor bruto vinculado ao token (apenas um SHA-256 salgado é enviado)
ioreg -d2 -c IOPlatformExpertDevice | awk -F'"' '/IOPlatformUUID/{print $4}'