Artigo sobre arquitetura e segurança do RoamSwitch

§1

RoamSwitch é um aplicativo de barra de menu para Mac. Dependendo do quanto você confia na rede que você está atualmente conectado, ele alterna automaticamente o firewall do macOS, serviços de compartilhamento, AirDrop, e DNS. Ele também observa falsificação de ARP, portas abertas para o exterior, armazenamento USB e atividade de criptografia semelhante a ransomware e, quando detecta algo perigoso, irá tão longe quanto cortando o tráfego com o filtro de pacotes (pf) — um air-gap de emergência.

Em outras palavras, o RoamSwitch instala um daemon com privilégios de root e, se quisesse, poderia parar todos tráfego de rede no Mac. É construído por uma pessoa e "por favor, confie em mim" não é suficiente para justificar esse privilégio. Em vez disso, este documento explica o design de uma forma que você pode verificar.

Para quem é isso

• Engenheiros decidindo se devem instalá-lo
• Pesquisadores de segurança e jornalistas que desejam entender os detalhes internos antes de uma revisão ou artigo
• Equipe de segurança em empresas parceiras avaliando uma implementação interna ou pacote OEM

O que este documento não cobre

Ele não entra no ajuste do limite de detecção, nas estatísticas de falsos positivos ou nas orientações da interface do usuário. O que isso explica são quatro coisas: privilégios , limites do processo, fluxo de dados e criptografia. As próprias especificações do recurso estão no pacote de recursos MCP roamswitch://docs/features e na ajuda do aplicativo.

O que é divulgado e até que ponto (política de divulgação)

Este documento foi escrito partindo do pressuposto de que um invasor já possui o binário distribuído. Cada URL de endpoint, identificador, caminho de arquivo, protocolo XPC e chave pública incorporada que aparece aqui pode ser retirado da remessa RoamSwitch.app em alguns minutos com strings, codesign -d ou um proxy de tráfego. Escrevendo-os aqui, portanto não dá nada de novo ao invasor. A única coisa que avança é a compreensão do revisor.

Por outro lado, a implementação do lado do servidor que não pode ser vista no binário — limite de taxa limites, chaves, endpoints administrativos, o esquema de banco de dados, o layout do projeto Firebase – não estão incluídos. O projeto de integração de OEM e parceiros também está fora do escopo aqui e é abordado em um tópico separado documento interno. “O que você pode aprender observando o cliente” é a linha de divulgação para isso documento.

§2

RoamSwitch.app é composto por três executáveis. Apenas um deles é privilegiado; o outros dois são executados com direitos de usuário de login. Todos os três são fornecidos com Hardened Runtime habilitado, ID do desenvolvedor assinado e autenticado em cartório.

Direitos e assinatura

• Todos os três alvos têm ENABLE_HARDENED_RUNTIME = true.
• O Sandbox do aplicativo está desativado (com.apple.security.app-sandbox = false). Os direitos do auxiliar e do MCPServer são dicionários vazios.
• As compilações de distribuição são assinadas pelo aplicativo de ID do desenvolvedor, autenticadas pela Apple e grampeadas (§10).

§3

Como é registrado

O auxiliar é registrado como LaunchDaemon usando SMAppService.daemon(plistName:). O plist incorporado no aplicativo (Contents/Library/LaunchDaemons/com.tetsuharu.RoamSwitch.Helper.plist) declara apenas Label, BundleProgram, uma única entrada MachServices e AssociatedBundleIdentifiers. Por causa de como SMAppService funciona, o registro nem é possível, a menos que o aplicativo esteja em /Applications. No primeiro registro, o auxiliar não se torna ativo até que o usuário o aprove manualmente no Sistema Configurações.

Cujas conexões ele aceita (ClientValidator)

O auxiliar inspeciona o processo de conexão em NSXPCListener's shouldAcceptNewConnection e distribui HelperProtocol apenas para aqueles que passar. A inspeção usa o audit_token em vez do PID, para evite a reutilização de PID e TOCTOU.

# Requisitos de assinatura de código exigidos pela build Release dos clientes que se conectam
identifier "com.tetsuharu.RoamSwitch"
  and anchor apple generic
  and certificate leaf[subject.OU] = "GV76B6G4YU"

Este requisito é verificado com SecCodeCopyGuestWithAttributes e SecStaticCodeCheckValidity, e a conexão será interrompida se não passar. Somente As compilações DEBUG eliminam o pino de ID da equipe, para conveniência do desenvolvimento. O que realmente envia é sempre um Versão de lançamento.

O que o ajudante pode fazer (a lista completa)

As operações privilegiadas definidas em Shared/HelperProtocol.swift são todas elas. Não há API privilegiada que não esteja listada aqui.

Estado dentro do ajudante

• HelperTool.shared é uma única instância compartilhada entre conexões. Costumava ser uma instância separada por conexão, portanto, uma contenção de emergência que abrisse uma nova conexão poderia atingir uma corrida que perderia a noção de “quais serviços trazer de volta”.
• O serviço de compartilhamento e os backups de DNS são modificados apenas em uma fila serial (stateQueue).

§4

Quatro recursos tocam no PF: o air-gap de emergência, a proteção da porta do servidor de desenvolvimento, o túnel VPN Kill-switch WireGuard (§5, 1.7.6+) e seu kill-switch Tailscale (§5, 1.8.0+ — apenas o back-end selecionado). Todos eles sempre vão através de um único ponto de entrada, PFRulesetCoordinator, e nunca execute pfctl -f eles mesmos.

Por que existe um único ponto de entrada

Anteriormente, cada um dos dois recursos carregava regras com pfctl -f independentemente, competindo sobre o único conjunto de regras principal do PF. Se a regra restrita da guarda portuária block ... port {…} fosse carregado após o block drop all do entreferro, você pode acabar em um estado em que a tela disse "isolado", mas o Mac ainda estava acessível. Este bug foi encontrado atacando o máquina de outro host, e foi corrigido em 1.4.3 (a história está escrita em docs/marketing/zenn/03_lan_side_attack_test.md).

Como funciona agora

• Reconstruído totalmente sempre. Todo o conjunto de regras necessário é reconstruído a partir do estado atual e aplicado de uma só vez. Nunca é aplicado como um diferencial.
• Uma fila serial. Cada alteração de PF é executada no mesmo DispatchQueue, portanto, quer tenha vindo de uma conexão XPC, da inicialização do auxiliar ou do temporizador à prova de falhas, as alterações são processadas em ordem.
• A ordem de prioridade é a seguinte (os itens mais acima têm precedência).
  1. Entreferro de emergência → set skip on lo0 e block drop all (nada mais é considerado)
  2. Kill-switch VPN → block drop all mais pass quick apenas para: lo, a interface do túnel (utunN), o handshake UDP para o(s) IP(s) do endpoint fixado(s), DHCP e ICMP
  3. Proteção do servidor de desenvolvimento → block drop in quick proto tcp ... port { … }
  4. Nenhum → recarregar /etc/pf.conf e retornar pf ao seu estado original
• Leia novamente após a aplicação. pfctl -sr lê as regras para confirmar se block drop all, ou a regra de cada porta, está realmente carregada. Um caso em que pfctl -f foi ignorado silenciosamente não é tratado como sucesso.
• O arquivo temporário é gravado em um caminho contendo um UUID e excluído uma vez aplicado (v1.4.5 abandonou o caminho fixo em favor de um caminho difícil de adivinhar). O diretório de estado é /Library/Application Support/RoamSwitch.

§5

Os tipos de bloco são diferentes

Como o entreferro é evitado

• É liberado em no máximo 10 minutos. O próprio helper continua executando releaseAirGapIfExpired() logo após a inicialização e em um temporizador de 60 segundos, mas como uma rede de segurança totalmente independente, um LaunchDaemon dedicado (AirGapFailsafe) sem nenhum KeepAlive desperta sozinho a cada 3 minutos e realiza a mesma verificação e liberação. Se o próprio helper travar e arrastar consigo seu próprio temporizador de autoliberação, essa rede de segurança não é afetada (a partir da 1.8.6).
• Esse daemon dedicado nunca toca na própria configuração de inicialização do helper interativo. Uma tentativa anterior (1.8.5) usava o próprio KeepAlive.PathState do helper para essa recuperação, mas ocasionalmente interferia em um encerramento normal do app, causando um reinício indesejado, por isso foi revertida em favor do daemon atual, totalmente independente.
• A verificação do timestamp usa uma combinação híbrida de tempo de atividade monotônico (ProcessInfo.systemUptime) e hora do relógio. Normalmente prioriza o tempo de atividade monotônico, de modo que correções de NTP e alterações manuais de hora não o afetam. Só recorre à hora do relógio quando o tempo de atividade não é confiável — logo após uma reinicialização, detectada quando o valor atual é menor que o valor armazenado.
• É reaplicado após uma reinicialização ou um respawn do daemon. Na inicialização, o helper lê o estado em disco com reapplyFromDisk() e o restaura sozinho, na ordem air-gap, proteção de portas, padrão do sistema (a regra dos 10 minutos também se aplica aqui).
• Um levantamento com falha é tratado como uma falha. Se block drop all não puder ser realmente removido, o carimbo de data/hora será gravado de volta para que o temporizador à prova de falhas e a nova tentativa tenham algo para convergir. A tela nunca mostra falsamente "levantada".
• Você pode retomar o controle a qualquer momento – com o botão de elevação no modal ou simplesmente desligando o Wi-Fi.

Como um falso positivo da guarda portuária é recuperado

O bloqueio automático de porta desconhecida (Pro, ativado por padrão quando o Pro é ativado) pode impedir um login legítimo. Receptor LAN — LocalSend, Syncthing, qualquer coisa iniciada após a ativação da proteção. Quando isso acontecer, permita-o no botão "Permitir" no banner de notificação ou na linha correspondente em a tela "Portas expostas". Um executável permitido uma vez é registrado como conhecido e não é bloqueado novamente (PortAnomalyGuard.allowPort(_:)). Observe que os intérpretes de script genéricos (Python, Node.js, Netcat, etc.) têm escopo estritamente definido por path:port em vez de binário sozinho para evitar ataques de pessoas que vivem fora da terra. Daemons de sistema Apple que satisfazem anchor apple (rapportd, que apoia Handoff e similares) não são assisti em primeiro lugar.

Isca canário de ransomware autocurável e supressão de contenção

Se os arquivos do chamariz canário forem adulterados ou renomeados e acionarem o entreferro de emergência, liberando a contenção após a verificação da segurança regenera automaticamente arquivos canary ausentes ou corrompidos de volta ao seu hash de linha de base autêntico gerado a partir de modelos incorporados, restaurando imediatamente a vigilância ininterrupta do kqueue (evitando a contaminação da linha de base do adversário). Além disso, durante a contenção ativa (enquanto o modo de emergência é exibido), alertas de notificação redundantes e eventos de reativação de pesquisas periódicas de integridade em segundo plano são automaticamente suprimidos para evitar distrair o usuário durante a resposta a incidentes.

Detecção multicamada de downloads (assinaturas estáticas + ClamAV) — camada de assinaturas estáticas adicionada na 1.8.7

Arquivos recém-colocados nas pastas Downloads, Área de Trabalho ou Documentos passam primeiro por uma verificação leve de assinaturas estáticas via StaticSignatureScanner (apenas os primeiros 4 MB, com correspondência simples de padrões de bytes AND/OR — sem expressões regulares nem cálculos de entropia). Não requer o entitlement EndpointSecurity e continua funcionando mesmo onde o ClamAV não está instalado. A detecção é deliberadamente limitada ao que pode ser afirmado como fato sem um corpus real de malware: a assinatura de teste EICAR, padrão do setor, e cinco reverse shells clássicas de uma linha documentadas em referências públicas de segurança ofensiva (por exemplo, PayloadsAllTheThings) — /dev/tcp/ do bash/sh, -e do netcat, pty.spawn do Python, Socket do Perl e fsockopen do PHP. Não escrevemos «assinaturas» em nível de byte para famílias de malware nomeadas sem dispor de uma amostra real da qual extraí-las — isso seria apenas uma falsa sensação de segurança. Os próprios padrões são armazenados ofuscados com XOR 0x5A, para que o binário do RoamSwitch nunca contenha literalmente uma string EICAR ou uma reverse shell pela qual o próprio ClamAV poderia sinalizá-lo.

Somente os arquivos que a camada de assinaturas estáticas classifica como «limpos» seguem para a verificação do ClamAV. Arquivos recém-colocados nas pastas Downloads, Área de Trabalho ou Documentos são verificados imediatamente pelo ClamAV, independentemente de terem extensão .tmp ou atributo com.apple.quarantine (por exemplo, uma cópia feita pelo Terminal). O EICAR e outras assinaturas de teste padrão do setor são tratados como inofensivos: nenhuma notificação é exibida, apenas um registro é feito no histórico de notificações — e nunca são colocados em quarentena nem bloqueados (somente amostras reais de malware são colocadas em quarentena). E se já existia anteriormente um arquivo de mesmo nome em quarentena, a nova ameaça ainda assim é movida para a pasta de quarentena com um nome exclusivo e com timestamp, de modo que uma ameaça nunca pode permanecer em seu local original por causa de uma colisão de nomes.

Monitoramento de nova persistência de inicialização (LaunchAgent/LaunchDaemon) — 1.8.7

Novos arquivos .plist colocados em ~/Library/LaunchAgents, /Library/LaunchAgents ou /Library/LaunchDaemons são detectados em tempo real via FSEvents (PersistenceMonitorGuard). Sem o ES_EVENT_TYPE_AUTH_CREATE do EndpointSecurity, a própria gravação não pode ser bloqueada. O que é possível é perceber em questão de segundos e avaliar o conteúdo.

A avaliação se baseia no que está sendo iniciado diretamente, não na assinatura do próprio executável. Técnicas reais observadas em 2026 — um LaunchAgent disfarçado de Google Update escondendo um script bash decodificado em base64, ou um LaunchDaemon com privilégios de root reexecutando a cada inicialização um payload de AppleScript decodificado em base64 — escondem ambas o código malicioso no próprio script, enquanto chamam normalmente um /bin/bash ou /usr/bin/osascript validamente assinado. Uma verificação que olhasse apenas para a assinatura do executável deixaria passar os dois casos. Por isso, qualquer LaunchAgent/LaunchDaemon recém-registrado que invoque diretamente um interpretador de script bruto (bash, sh, zsh, osascript, python3, perl, ruby, php e similares) é sinalizado incondicionalmente, independentemente de a assinatura do próprio interpretador ser válida. Os argumentos passados a ele também são submetidos ao StaticSignatureScanner, e qualquer padrão conhecido como malicioso é incluído na notificação. Entradas registradas via BundleProgram (apontando para um binário compilado e assinado dentro de um bundle de aplicativo — incluindo o próprio Helper do RoamSwitch) são simplesmente verificadas da forma habitual, com codesign --verify --strict.

Detecção de ClickFix e bloqueio de emergência — 1.8.7, desativado por padrão

«ClickFix» é uma técnica de engenharia social em que uma falsa tela de CAPTCHA ou erro instrui você a abrir o Terminal e colar um comando «para verificação». As detecções aumentaram mais de 500% entre 2024 e 2025, e até 2026 é considerada um dos vetores de ataque mais prevalentes no macOS. Como é o próprio shell legítimo do usuário executando exatamente o que foi digitado, ela escapa completamente da verificação de assinatura do Gatekeeper.

Barra de menu → Proteção contra malware → Defesa ClickFix (Pro, desativada por padrão). Monitora via FSEvents novas linhas anexadas a ~/.zsh_history/~/.bash_history (somente linhas adicionadas após o início da proteção — nunca examina o histórico já existente), e corresponde apenas às reverse shells clássicas que compartilha com o StaticSignatureScanner, além da combinação específica de decodificar base64 diretamente para um shell ou para o osascript. Um simples curl | bash — extremamente comum em instaladores legítimos — é deliberadamente excluído, pois é indistinguível das instruções oficiais de instalação do Homebrew, rustup, nvm e similares. Assim que uma correspondência é encontrada, ela aciona o mesmo air-gap de emergência descrito acima. Como o comando já foi executado, isso é necessariamente reativo, mas ainda pode interromper um download de segundo estágio ou uma exfiltração de credenciais em andamento. Como qualquer outro gatilho de air-gap, ele é liberado sozinho em no máximo 10 minutos (veja o início desta seção).

Uma limitação conhecida. Como a detecção depende de uma gravação no histórico do shell, ela não consegue detectar a variante sem arquivo que evita totalmente o Terminal invocando diretamente o Editor de Script pelo esquema de URL applescript://, sem gravar nada em disco. A Apple já introduziu alguma mitigação para isso (uma caixa de diálogo de confirmação para scripts não identificados), mas foram relatadas variantes que a contornam. Testamos esse caminho em hardware real usando o log unificado do macOS (log show/log stream) e não encontramos nenhum sinal de log distintivo no qual basear a detecção. Preferimos declarar essa limitação com clareza a alegar uma cobertura que não temos.

Deteção de Riscos do Docker — 1.8.9, Pro, desativado por predefinição

Barra de menus → "Proteção contra Malware" → "Detetar Contentores Docker Privilegiados e Montagens docker.sock" (DockerEventGuard). Como esta base de código não tem precedente de uma ligação de streaming persistente como docker events, utiliza a mesma abordagem de sondagem por temporizador que o PortAnomalyGuard. A cada 20 segundos obtém o conjunto de IDs de contentores com um docker ps -q leve, executando depois docker inspect --format apenas sobre a diferença (contentores recém-iniciados) para uma inspeção detalhada. A cadeia de formato utilizada para deteção é deliberadamente idêntica à da edição Linux (roamswitch_core::health::LinuxHealthChecker::DOCKER_INSPECT_RISK_FORMAT), pelo que ambas as plataformas assinalam exatamente as mesmas condições (arranque em modo --privileged, ou uma montagem vinculada de /var/run/docker.sock).

Não é tomada qualquer ação automática ao detetar. Um contentor privilegiado ou uma montagem docker.sock é uma "configuração" de risco que pode permitir uma fuga de contentor, mas não é um comprometimento confirmado — também há usos legítimos, como executar deliberadamente um agente de monitorização em modo privilegiado. Como a maioria dos utilizadores não usa Docker de todo, esta funcionalidade permanece desativada por predefinição mesmo com uma licença Pro. Não utiliza o entitlement EndpointSecurity; a CLI docker é localizada verificando primeiro o caminho de instalação predefinido do Docker Desktop, depois o Homebrew, depois o which. Verificada numa instalação real do Docker Desktop (29.7.2) em três cenários — um contentor privilegiado, um contentor com montagem docker.sock e um contentor normal — sem falsos positivos nem deteções em falta.

Auditoria de Fugas de Segredos/Chaves API — adicionada em 1.8.4, análise de pastas adicionada em 1.8.9

Barra de menus → "Proteção contra Malware" → "Auditoria de Fugas de Segredos/Chaves API". Cole texto e é imediatamente verificado em busca de chaves API e tokens expostos, mostrando o número da linha, uma cadeia mascarada e uma recomendação para cada ocorrência (SecretLeakAuditor, inteiramente no dispositivo). A versão 1.8.9 adicionou a opção "Escolher Pasta para Analisar", permitindo ao mesmo motor de deteção auditar recursivamente um diretório — como um checkout de código-fonte — através de auditDirectory(at:). .git, node_modules, target, vendor, dist, build, __pycache__ e venv são automaticamente excluídos, tal como ficheiros com mais de 2 MB ou detetados como binários. O processamento é executado fora da thread principal para não bloquear a interface, e nada é jamais enviado para o exterior.

Link Guard (bloqueio de conexões de phishing) — 1.7.2 e posterior, reforçado em 1.8.0

Barra de menu → "Proteção contra malware" → "Link Guard" (Pro). Bloqueia conexões com sites de phishing/fraude no dispositivo, em todos os navegadores e aplicativos. Existem dois pontos de aplicação, usados ​​em conjunto em ordem de prioridade.

• ① Extensão do sistema de filtro de conteúdo (RoamSwitchLinkFilter, 1.8.0+, preferencial após aprovação). Uma extensão do sistema NEFilterDataProvider — sem revisão da Apple (os provedores de filtro de conteúdo são de autoatendimento, sem fila de aprovação). Ele inspeciona a resolução de nomes do fluxo TCP de saída real after. O nome de destino vem do nome do host resolvido pelo sistema operacional ou, na falta disso, o TLS SNI analisado a partir dos primeiros bytes do fluxo - portanto, um navegador que faz seu próprio DoH/DoT e se conecta a um IP vazio ainda está bloqueado. Nunca reescreve /etc/hosts e atribui cada fluxo a um processo. QUIC (UDP/443) não tem SNI legível, portanto, no modo block ele é descartado, forçando o navegador a voltar para HTTP/2 sobre TCP. Precisa de uma aprovação única nas configurações do sistema.
• ② /etc/hosts sinkhole (fallback, enquanto a extensão não é aprovada/recusada). O auxiliar privilegiado grava os domínios de destino em uma seção gerenciada delimitada de /etc/hosts como 0.0.0.0 e libera o cache. Limite de 60.000. Assim que a extensão estiver ativa, esta seção será removida.
• Três modos. "Desligado" desativa-o. "Avisar apenas" pausa a conexão correspondente e pergunta ao usuário (veja Real warn abaixo). "Bloquear automaticamente sites fraudulentos óbvios (recomendado)" cai imediatamente. O padrão é bloquear a partir de 1.7.2.
• Real warn (1.8.0+, extensão apenas). Em um warn, a extensão do sistema holds o fluxo (tanto o nome do sistema operacional quanto o caminho SNI) com .pause() e o aplicativo gera uma notificação "Permitir/Bloquear". No momento em que o toque do usuário atinge allowlist.txt / extra.txt (a extensão pesquisa os pequenos arquivos de estado a cada 1,5 s), os fluxos retidos são retomados (permitidos) ou descartados (bloqueados). Nenhuma resposta dentro de 25 segundos falha open (um aviso é consultivo). A decisão é armazenada em cache por host (permitir 5 minutos/bloco de 1 hora), para que os outros fluxos da página e as visitas posteriores sejam instantâneos e aplicados. A notificação block permanece inalterada: "Bloqueado…" com um botão "Permitir uma vez (5 min)".
• Apenas casos claros são bloqueados. Uma listagem no feed de ameaças ou um homógrafo Unicode de marca — todo o resto (TLDs de alto risco, representação de subdomínio,…) é um aviso. O mecanismo de veredicto é compartilhado com a edição Linux e não envia URLs para lugar nenhum.
• Recuperando de um bloqueio errado. Permitir um domínio da notificação ou do menu (5 minutos ou permanente). A lista de permissões é subtraída quando a seção é regenerada.
• Pro-gated. A aplicação (applyMode()) só acontece em uma licença Pro válida. Sem Pro, o modo é armazenado, mas /etc/hosts nunca é tocado. A ativação ou caducidade de uma licença entra em vigor no meio da sessão.
• Feed e seed empacotado. A lista de bloqueios vem do feed de ameaças assinado (§7, verificado com uma chave dedicada ao feed). Ele funciona no pacote inicial do aplicativo (cerca de 60.000 entradas) antes mesmo da primeira busca, e desligar a "atualização automática" significa que não há tráfego de saída.

Bloqueio preventivo de gateway ARP/NDP — 1.7.5 e posterior

Barra de menu → "Monitor de portas e dispositivos" → "Fixar o ARP/NDP do gateway em redes não confiáveis ​​(preventivo)" (Pro, desativado por padrão).

• Como funciona. Ao ingressar em uma rede não confiável, o MAC atual do gateway IPv4, o roteador padrão IPv6 e os resolvedores DNS no link são coletados de route / scutil --dns / arp -n / ndp -an, e o auxiliar fixa cada um como uma entrada permanent com arp -s / ndp -s (confiança no primeiro uso - o primeiro MAC observado é confiável). As respostas ARP/NDP falsificadas para esses IPs são então ignoradas, portanto, um ataque man-in-the-middle não pode ser configurado.
• Scope. Somente esses três tipos de entrada são fixados. Redes confiáveis ​​(abertas) nunca são fixadas. Em cada mudança de rede, ele é desbloqueado uma vez e fixado novamente. Os resolvedores públicos fora do link (8.8.8.8,…) não têm entrada ARP no link e são automaticamente excluídos.
• arp -s é preventivo; o entreferro é posterior ao fato. Este pino existe, então uma paródia não pode ter sucesso; A detecção de falsificação de ARP (ARPSpoofContainmentManager) e o entreferro de emergência existem para "cortar mais rápido que um humano" quando um é visto. Eles funcionam de forma independente.
• Persistence. O conjunto de pinos é salvo em /Library/Application Support/RoamSwitch/gateway_arp_lock.json para que possa ser desbloqueado por meio de uma reconexão XPC ou reinicialização auxiliar.

O túnel VPN (WireGuard/Tailscale) e seu kill switch — 1.7.6 e posterior, backend selecionável em 1.8.0

Barra de menu → "Monitor de portas e dispositivos" → "Túnel VPN" (Pro, desativado por padrão). Esta é a defesa anti-MITM primary — não depende da integridade do L2 (ARP/NDP). O backend é selecionável (submenu → "Backend") entre "WireGuard (arquivo de configuração)" e "Tailscale (Nó de saída)". RoamSwitch não implementa nenhuma criptografia; apenas o backend escolhido está armado.

• (A) Backend WireGuard. Aciona o wireguard-tools do Homebrew (sem direito de extensão de rede Apple). Importe seu próprio .conf; o auxiliar salva em 0600. Kill-switch: pf block drop all mais um pass quick apenas para lo, a interface do túnel, o handshake UDP para o(s) IP(s) do endpoint fixado(s), DHCP e ICMP. Um túnel não completo AllowedIPs gera um aviso de túnel dividido.
• (B) Backend Tailscale (1.8.0+). Para usuários que já executam Tailscale. RoamSwitch not executa tailscale up / faz login / instala - ele lê tailscale status --json e executa tailscale set --exit-node=<node>. A CLI independente (brew install tailscale) é recomendada — a compilação da App Store (GUI) não pode ser conduzida de fora do aplicativo (sandbox); com ele você escolhe o nó de saída no aplicativo Tailscale e o RoamSwitch mostra apenas o status. É necessário um nó de saída (roteia todo o tráfego através do túnel); ele é desarmado automaticamente se ficar offline ou inacessível.
• Reconfiguração de rede ao desconectar. O macOS autônomo tailscaled não restaura corretamente o roteamento + DNS quando um nó de saída é limpo, então o RoamSwitch devolve o(s) serviço(s) de rede ativo(s) (o mesmo que alternar o Wi-Fi manualmente; apenas serviços com um endereço IPv4, seguro para multi-NIC e IP estático). O tráfego cai por aproximadamente 5 a 10 segundos e o nível de proteção não é rebaixado durante essa janela.
• O kill switch Tailscale está desativado por padrão (opt-in). O nó de saída já encapsula tudo; o pf block drop all (permite apenas CGNAT/MagicDNS/STUN/DERP/DHCP/ICMP/DNS) é para usuários avançados e é "resistente a vazamentos, não à prova de vazamentos" (DNS é permitido para que tailscaled sobreviva).
• Automático / em caso de perda de licença. Aparece em redes não confiáveis, mas cai em redes confiáveis; cancelado quando a licença Pro expirar.

§6

Quando você se conecta a uma rede que não está registrada, a opção "nível de proteção" não usa pf. Ele simplesmente altera as configurações padrão do sistema operacional de uma forma que pode ser revertida posteriormente.

Nada disso é um novo mecanismo de bloqueio adicionado pelo RoamSwitch – é apenas alternar as configurações do sistema operacional. Se você exclui o aplicativo, a única coisa que impede é a comutação dependente da rede; o último sistema operacional as configurações aplicadas permanecem como estão. Nada fica bloqueado, mas se você quiser errar no lado seguro, configure-o novamente para "Aberto" em uma rede confiável antes de desinstalar.

§7

O que fica no Mac

Tráfego que sai da máquina (a lista completa)

Não há código em nenhum lugar que colete e envie resultados de diagnóstico, informações de porta, URLs ou registros. Nenhum SDK analítico e nenhum SDK de relator de falhas estão incluídos. A única biblioteca externa é Sparkle (atualizações). O que sai para a rede são esses oito, e pronto (o sexto só se o utilizador configurar VPN, o sétimo só se o emparelhamento do RoamSwitch Sensor estiver ativado).

# Assinatura Developer ID e Team ID
codesign -dvvv /Applications/RoamSwitch.app 2>&1 | grep -E 'Authority|TeamIdentifier|flags'

# Se o ticket de notarização está anexado (staple)
stapler validate /Applications/RoamSwitch.app
spctl -a -t exec -vvv /Applications/RoamSwitch.app

# Assinatura do helper incluído / servidor MCP
codesign -dvvv /Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchHelper
codesign -dvvv /Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchMCPServer

codesign -d --entitlements :- /Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchHelper
codesign -d --entitlements :- /Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchMCPServer
# → Um dicionário de entitlements vazio. Nenhuma chave app-sandbox / network client.

# Execute o tcpdump em paralelo para confirmar que não há tráfego durante o uso normal
sudo tcpdump -i any -n 'host not 127.0.0.1' and 'not port 53'
# Nenhum tráfego além da ativação de licença, verificações de atualização e atualizações do ClamAV

Para uma verificação mais rigorosa e automatizada com atribuição por processo, consulte rs-zerotel-audit.sh em roamswitch-support/auditoria/

# Verifica automaticamente em lote a fronteira de autorização XPC, a prioridade Air-Gap do pf, a detecção de exposição de portas, o modo somente leitura do MCP e o monitoramento ARP
git clone https://github.com/lafine1211/roamswitch-support
cd roamswitch-support/audit
./rs-defense-audit.sh all

Teste de penetração ao vivo e auditoria de defesa multicamadas de uma VM macOS: RESULTS-DEFENSE-2026-08-30

# Consultar o domínio de teste oficial da Quad9 para verificar o bloqueio de ameaças
nslookup test.dns9.quad9.net
# → Deve retornar ** server can't find test.dns9.quad9.net: NXDOMAIN, ou seja, a resolução de nomes está bloqueada

# Criar a string de teste antivírus padrão e inofensiva (EICAR) em Downloads
echo 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > ~/Downloads/eicar_test.com
# → A detecção do FSEvents aciona uma varredura imediata do ClamAV; nenhuma notificação é exibida e "assinatura de teste EICAR detectada (inofensiva)"
#   é registrada no histórico de notificações. Como o EICAR é um arquivo de teste padrão do setor e não uma ameaça real,
#   não é colocado em quarentena nem bloqueado, e o arquivo permanece no lugar (somente uma amostra real de malware é movida para o gerenciador de quarentena).

## Uma reverse shell clássica de uma linha extraída de referências públicas de segurança ofensiva (inofensiva, nunca é executada)
echo 'bash -i >& /dev/tcp/127.0.0.1/4444 0>&1' > ~/Downloads/rs_test.sh
## → Mesmo sem o ClamAV instalado, aparece uma notificação «Arquivo baixado perigoso colocado em quarentena», e o arquivo é
##   movido imediatamente para a pasta Quarantine (independentemente do banco de assinaturas do ClamAV)

# Criar um LaunchAgent inofensivo que invoca diretamente um interpretador de script bruto (nunca é executado de fato)
cat > ~/Library/LaunchAgents/com.example.selfcheck.plist <<'EOF'
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0"><dict>
  <key>Label</key><string>com.example.selfcheck</string>
  <key>ProgramArguments</key><array><string>/bin/bash</string><string>-c</string><string>echo hi</string></array>
</dict></plist>
EOF
# → Em poucos segundos deve aparecer uma notificação «Novo registro de inicialização automática detectado». Remova-o em seguida:
rm ~/Library/LaunchAgents/com.example.selfcheck.plist

# Se a seção gerenciada está presente (2 linhas BEGIN/END no modo Pro + padrão)
sudo grep -c 'RoamSwitch link guard' /etc/hosts

# O conteúdo da seção e a contagem de sinkholes
sudo sed -n '/BEGIN RoamSwitch link guard/,/END RoamSwitch link guard/p' /etc/hosts | head -4
sudo sed -n '/BEGIN RoamSwitch link guard/,/END RoamSwitch link guard/p' /etc/hosts | grep -c '^0\.0\.0\.0'

# Se realmente é descartado (verificado com uma entrada da seção; inofensivo)
D=$(sudo sed -n '/BEGIN RoamSwitch/,/END RoamSwitch/p' /etc/hosts | awk '/^0\.0\.0\.0/{print $2; exit}')
dscacheutil -q host -a name "$D"   # → ip_address: 0.0.0.0 (resolução de nomes bloqueada)

# Confirme também que a seção acima desaparece via Menu → "Proteção de links" → "Desligado"

# Feed e manifesto públicos (qualquer pessoa pode obtê-los e verificá-los)
curl -s https://lafine.net/updates/v1/manifest        # version/generated/threatfeed{...}
curl -sI https://lafine.net/updates/v1/manifest.sig   # → text/plain
# Apenas um GET sem query string, cookies ou identificadores é enviado. Verificável executando o tcpdump em paralelo.

# Conecte-se a uma rede não confiável com o bloqueio preventivo ativado → verifique as entradas permanent
arp -an | grep -i permanent          # O gateway e outros IPs são listados como (permanent)
ndp -an | grep -i 'P '               # Lado IPv6 (P = permanent)
sudo cat "/Library/Application Support/RoamSwitch/gateway_arp_lock.json"  # O conjunto de mapeamentos IP→MAC atualmente fixados
# Libere o bloqueio pelo menu → o item acima deve desaparecer

# Pressupõe wireguard-tools (via Homebrew)
brew list wireguard-tools >/dev/null && echo "wireguard-tools: OK"

# Ative a VPN em uma rede não confiável → antes que o túnel seja estabelecido, o pf está em estado de kill-switch
sudo pfctl -sr | grep -E 'block drop all|pass .*(utun|udp)'   # block drop all + um conjunto limitado de regras pass quick

# Depois que o túnel está ativo (wg-quick up já executado)
wg show                              # handshake / transfer está ativo
route -n get default | grep interface  # → utunN (a rota padrão é o túnel)
# Desative a VPN → o kill-switch é liberado e o pf retorna ao estado anterior

# O LaunchDaemon registrado
sudo launchctl print system/com.tetsuharu.RoamSwitch.Helper

# As regras pf atualmente carregadas (estado real do Air-Gap / guarda de portas)
sudo pfctl -sr

# O diretório de estado do helper
ls -la "/Library/Application Support/RoamSwitch/"

BIN=/Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchMCPServer
printf '%s\n' '{"jsonrpc":"2.0","id":1,"method":"initialize","params":{}}' \
              '{"jsonrpc":"2.0","id":2,"method":"tools/list"}' | "$BIN"
# Retorna serverInfo e as definições das 5 ferramentas. Nenhuma conexão de rede ocorre.

git clone https://github.com/lafine1211/roamswitch-mcp
cd roamswitch-mcp
swift build -c release        # O mesmo código-fonte do binário distribuído
swift test                    # Testes unitários, de entrada adversarial, stdio e fuzzing por mutação
# Consulte SECURITY_TESTING.md para o conteúdo dos testes e problemas encontrados

# O valor bruto vinculado ao token (apenas um SHA-256 salgado é enviado)
ioreg -d2 -c IOPlatformExpertDevice | awk -F'"' '/IOPlatformUUID/{print $4}'