RoamSwitch アーキテクチャ／セキュリティホワイトペーパー

§1この文書について

RoamSwitch は、メニューバーに常駐する Mac 向けのアプリです。いま接続しているネットワークをどの程度 信頼しているかに応じて、macOS のファイアウォール、共有サービス、AirDrop、DNS を自動的に切り替えます。 あわせて、ARP スプーフィング、外部に開いたポート、USB ストレージ、ランサムウェアのような暗号化の動きを 監視しており、危険を検知した場合には、パケットフィルタ（pf）で通信を遮断する緊急隔離 （Air-Gap）まで行います。

つまり RoamSwitch は、root 権限のデーモンを常駐させ、その気になれば Mac の通信をすべて止められる、 ということになります。開発元は個人であり、「信頼してください」という言葉だけでこの権限を正当化することは できません。そこで本書では、その代わりに、設計の内容を検証できる形で説明していきます。

対象となる読者

• 導入するかどうかを技術的に判断したいエンジニアの方
• レビューや記事化の前に、内部の作りを確認しておきたいセキュリティ研究者・ジャーナリストの方
• 自社導入や OEM 同梱を検討している、パートナー企業のセキュリティ担当の方

この文書が扱わないこと

検知ロジックのしきい値調整や誤検知の統計、画面の操作手順については触れません。本書で説明するのは、 権限、プロセスの境界、データの流れ、暗号の 4 つです。機能そのものの仕様は、同梱の MCP リソース roamswitch://docs/features と、アプリ内のヘルプに記載しています。

何をどこまで書くか（開示方針）

本書は、攻撃者がすでに配布バイナリを入手している、という前提で書いています。ここに登場するエンドポイント の URL、識別子、ファイルパス、XPC プロトコル、埋め込みの公開鍵は、いずれも出荷済みの RoamSwitch.app から strings や codesign -d、通信プロキシを使えば、 数分で取り出せるものです。ですから、これらを記載しても、攻撃者にとっての手がかりが増えることはありません。 増えるのは、レビューする側の理解だけです。

一方で、バイナリからは分からないサーバー側の実装 ── レート制限のしきい値、鍵、管理用のエンドポイント、 DB スキーマ、Firebase プロジェクトの構成 ── は記載しません。OEM・パートナー連携の設計も本書の範囲外とし、 別の内部文書で扱います。「クライアントを観察すれば分かる範囲」が、本書の開示の線引きです。

§2コンポーネントと信頼境界

RoamSwitch.app は、3 つの実行体で構成されています。このうち特権を持つのは 1 つだけで、 残りの 2 つはログインユーザーの権限で動作します。3 つとも Hardened Runtime を有効にし、Developer ID で 署名して公証を受けた状態で配布しています。

Entitlements と署名

• 3 つのターゲットは、いずれも ENABLE_HARDENED_RUNTIME = true です。
• App Sandbox は無効にしています（com.apple.security.app-sandbox = false）。ヘルパーと MCPServer の entitlements は、空の辞書です。
• 配布用のビルドには、Developer ID Application 署名、Apple の公証、staple を行っています（§10）。

§3特権ヘルパーの設計

登録のされ方

ヘルパーは、SMAppService.daemon(plistName:) を使って LaunchDaemon として登録します。 アプリに埋め込んだ plist（Contents/Library/LaunchDaemons/com.tetsuharu.RoamSwitch.Helper.plist） で宣言しているのは、Label、BundleProgram、MachServices の 1 エントリ、 AssociatedBundleIdentifiers だけです。SMAppService の仕様上、アプリが /Applications に置かれていないと、そもそも登録できません。初回の登録時には、ユーザーが システム設定でヘルパーを手動で承認しないと有効になりません。

誰の接続を受けるか（ClientValidator）

ヘルパーは、NSXPCListener の shouldAcceptNewConnection で接続元を検査し、これを 通過したものにだけ HelperProtocol を渡します。検査には、PID ではなく audit_token を使っています。PID の使い回しや TOCTOU を避けるためです。

# Release ビルドで接続元に要求するコード署名要件
identifier "com.tetsuharu.RoamSwitch"
  and anchor apple generic
  and certificate leaf[subject.OU] = "GV76B6G4YU"

この要件を SecCodeCopyGuestWithAttributes と SecStaticCodeCheckValidity で 照合し、通らなければ接続を切ります。チーム ID の固定を外しているのは DEBUG ビルドだけで、これは開発中の 都合によるものです。実際に配布されるのは、常に Release ビルドです。

ヘルパーができること（全リスト）

Shared/HelperProtocol.swift が定義している特権操作は、以下がすべてです。ここに載っていない 特権 API はありません。

ヘルパー内部の状態

• HelperTool.shared は、接続をまたいで共有する 1 つのインスタンスにしています。以前は接続ごとに別インスタンスを渡していたため、緊急封じ込めが新しい接続を開くと、「どのサービスを元に戻せばよいか」という記録を取りこぼすレースが発生していました。
• 共有サービスと DNS のバックアップは、直列キュー（stateQueue）の上でのみ書き換わります。

§4パケットフィルタ（pf）の扱い

pf を操作する機能は 2 つあります。緊急 Air-Gap と、開発サーバーのポートガードです。この 2 つは、 PFRulesetCoordinator という 1 つの窓口を必ず経由し、自分で pfctl -f を実行することはありません。

なぜ窓口を 1 つにしたか

以前は、2 つの機能がそれぞれ独自に pfctl -f でルールを読み込んでおり、pf に 1 つしかない メインルールセットを奪い合っていました。ポートガードの狭いルール block ... port {…} が、 Air-Gap の block drop all よりあとに読み込まれると、画面には「隔離中」と表示されているのに Mac には到達できてしまう、という状態が発生していました。この不具合は、別のマシンから実際に攻撃を試して 発見し、1.4.3 で修正しています（経緯は docs/marketing/zenn/03_lan_side_attack_test.md に まとめています）。

いまの作り

• 毎回、丸ごと組み直します。現在の状態から、必要なルールセット全体を作り直し、一括で適用します。差分での適用は行いません。
• 直列キューは 1 本です。pf を変更する処理はすべて同じ DispatchQueue に乗るため、どの XPC 接続から来ても、ヘルパーの起動処理でも、フェイルセーフタイマーでも、順番に処理されます。
• 優先順位は次のとおりです（上にあるものが優先されます）。
  1. 緊急 Air-Gap → set skip on lo0 と block drop all（ほかは考慮しません）
  2. 開発サーバーガード → block drop in quick proto tcp ... port { … }
  3. どちらもない場合 → /etc/pf.conf を読み直し、pf を元の状態に戻します
• 適用したあとに読み返します。pfctl -sr でルールを読み戻し、block drop all や各ポートのルールが実際に載っているかを確認します。pfctl -f が黙って無視された場合を「成功」とは扱いません。
• 一時ファイルは UUID を含むパスに書き込み、適用が終わったら削除します（v1.4.5 で固定パスをやめ、推測しにくいパスに変更しました）。状態を保存するディレクトリは /Library/Application Support/RoamSwitch です。

§5遮断のかかり方と、戻り方

3 種類の遮断は、それぞれ別物です

Air-Gap を居座らせない仕組み

• 最長でも 10 分で解除されます。ヘルパーは、起動直後と 60 秒ごとのタイマーで releaseAirGapIfExpired() を実行し、/Library/Application Support/RoamSwitch/pf_airgap_since のタイムスタンプが 10 分を超えていれば、強制的に解除します。アプリがクラッシュしたり強制終了されたりして、解除ボタンに到達しなかった場合でも、通信は自動的に元に戻ります。
• 再起動やデーモンの再生成のあとに、当て直します。ヘルパーは起動時に reapplyFromDisk() でディスク上の状態を読み込み、Air-Gap、ポートガード、システム既定の順に、自分で復元します（このときも 10 分ルールは適用されます）。
• 解除に失敗した場合は、失敗として扱います。block drop all を実際に外せなかったときは、タイムスタンプを書き戻し、フェイルセーフタイマーと再試行が向かう先を残します。画面が「解除済み」と誤って表示することはありません。
• ユーザーは、モーダルの解除ボタンからでも、単に Wi-Fi を切ることでも、いつでも操作の主導権を取り戻せます。

§6ふだんの未信頼ネットワーク保護

登録していないネットワークに接続したときの「保護レベル」の切り替えは、pf ではなく、OS 標準の設定を、 あとで元に戻せる形で変更しているだけです。

いずれも、RoamSwitch が新しく追加した遮断のしくみではなく、OS の設定を切り替えているだけです。 アプリを削除すると、ネットワークに応じた切り替えが行われなくなるだけで、最後に適用された OS 設定は そのまま残ります。締まったまま放置されることはありませんが、安全側に倒したい場合は、アンインストールの 前に、信頼できるネットワーク上で「オープン」に戻しておくことをおすすめします。

§7データの扱いと Zero Telemetry

Mac の中に残るもの

外に出る通信（全リスト）

診断結果、ポート情報、URL、ログを収集して送信するコードは、どこにもありません。解析 SDK も クラッシュレポーター SDK も入れていません。外部ライブラリは Sparkle（アップデート）だけです。 ネットワークに出るのは、次の 4 つですべてです。

§8MCP サーバーのセキュリティモデル

RoamSwitchMCPServer は、RoamSwitch.app/Contents/MacOS/ に同梱している単体の コマンドラインツールです。Claude Desktop や Claude Code などの MCP クライアントが、これをサブプロセスと して起動し、stdio（改行区切りの JSON-RPC 2.0）でやり取りします。公式 SDK が本機の macOS SDK ではビルドできなかったため、Foundation の JSONSerialization の上に手で実装して います。

設計で縛っていること

• 読み取り専用です。セキュリティレベルの変更、ポートの隔離、デバイスの取り出しといった API は、そもそも用意していません。v1 で作り忘れたわけではなく、意図的に外しています。外部のコード（ここでは LLM）に、セキュリティツールの防御状態を書き換えさせてしまうと、すべてのユーザーの信頼が崩れるためです。
• ソケットを開きません。サービス登録もリッスンもしません。stdin から 1 行読み、stdout に 1 行返し、あとはクライアントがプロセスを終了させます。
• 外に送信しません。診断はすべて Mac の中で完結します。
• 設定は別のドメインから読み取ります。UserDefaults(suiteName: "com.tetsuharu.RoamSwitch") で、アプリ側のドメインを明示的に指定して読み取ります（自身のバンドル ID のドメインは空です）。読み取るだけで、書き込みは行いません。

公開しているツール

initialize の応答に含まれる instructions でも、「Cannot change security level, isolate ports, or eject devices」と明記し、クライアント側の LLM に能力の境界を伝えています。MCP リソース （roamswitch://docs/*）も、読み取り専用の Markdown ドキュメントです。

§9ライセンス認証の暗号設計

トークン

• Ed25519（Curve25519 署名）を使っています。公開鍵はアプリに埋め込んでいます（LicenseVerifier.embeddedPublicKeyBase64）。対応する秘密鍵は、ライセンスバックエンド（Firebase Functions の環境変数）にのみ存在し、リポジトリには含まれていません。
• 署名の対象は正準 JSON です。JSONEncoder の .sortedKeys と .withoutEscapingSlashes で LicensePayload（ライセンスキー、tier、デバイスハッシュ、発行時刻、有効期限、台数）をエンコードした、正確なバイト列に対して署名と検証を行います。
• fail-closed で設計しています。埋め込み鍵が欠落・不正であったり、署名や正準 JSON の生成に失敗したりした場合は、「検証成功」にはならず、invalidSignature を返します。

デバイスバインド

device_hash = SHA-256( "RoamSwitch-LifetimeSalt-v1" : lowercase(IOPlatformUUID) )

生のハードウェア UUID は、サーバーに送信しません。IOKit が UUID を返さないまれなケースでは、 UserDefaults に保持する乱数 UUID にフォールバックします。検証時、トークン内の device_hash と現在のデバイスハッシュが一致しない場合は、deviceMismatch と なります。

オフラインで動く

既定は買い切り（Lifetime）で、is_lifetime でない場合にのみ expires_at を 確認します。台数は tier で表現し、個人 Pro が 2 台、Team が 5 台です。

§10配布とアップデート

署名・公証（scripts/release.sh）

1. xcodebuild archive を実行します（Release、手動署名、Developer ID Application）。
2. -exportArchive で method: developer-id としてエクスポートします。
3. notarytool submit --wait のあと、.app に stapler staple します。
4. spctl -a -t exec -vv で検証します。
5. staple のあとに再度 zip し、Sparkle 用の配信物を作ります（公証チケットを同梱し、オフラインでも Gatekeeper の警告なしで動くようにするためです）。
6. DMG を作成し、DMG も公証・staple したうえで、stapler validate で検証します。

アップデート（Sparkle 2.9.6）

配信物は、appcast に記載された EdDSA 署名を、アプリに埋め込んだ SUPublicEDKey で検証してから適用します。署名用の秘密鍵は、ビルド環境にしかありません。appcast は HTTPS で配信します。 差分（delta）アップデートも、同じように署名を検証します。

§11脅威モデルと、やらないこと

RoamSwitch が相手にするもの

• 同じ LAN にいる攻撃者や、乗っ取られた IoT 機器からの探査・攻撃。ステルス化、公開ポートの監査、外部からの隔離で対応します。
• 信頼していないネットワークでの露出。共有サービスと AirDrop を自動的に停止します。
• ARP スプーフィング（中間者攻撃）の検知と、検知したときの緊急 Air-Gap。家庭用ルーターで「防ぐ」ことはほぼ不可能なため、「気づいて、人間より速く切る」方針にしています。
• 認証なしで 0.0.0.0 に晒された開発サーバーやデータベース（Redis、MongoDB、Elasticsearch など）を見つけ、外部から遮断します。
• ランサムウェアのような不正な暗号化の動きを早い段階で捉え、通信をすべて止めます（シグネチャには依存しません）。
• 許可していない USB ストレージの自動排出と、接続されたストレージの自動 ClamAV スキャン（任意）。

やらないと決めていること

• アンチウイルスの代わりにはなりません。ClamAV と XProtect は補助として使いますが、RoamSwitch 単体は、汎用のマルウェア検出器ではありません。
• 保証ではありません。多層防御のうちの 1 層であって、「ランサムウェアを完全に防ぐ」ものではありません。マーケティングの文言も、この前提でレビューしています。
• すでに乗っ取られた root やカーネルは守れません。攻撃者がすでに root を取得している場合、ヘルパーの pf ルールも外せてしまいます。
• ARP スプーフィングを防ぐことはしません（検知と、事後の遮断だけです）。
• 企業ネットワークの DHCP スヌーピングや Dynamic ARP Inspection の代わりにはなりません。

RoamSwitch を入れることで増える攻撃面

付録 Aセルフチェック

本書に記載した内容は、配布物に対して次のコマンドで確認できます。

署名・公証

# Developer ID 署名とチーム ID
codesign -dvvv /Applications/RoamSwitch.app 2>&1 | grep -E 'Authority|TeamIdentifier|flags'

# 公証チケットが staple されているか
stapler validate /Applications/RoamSwitch.app
spctl -a -t exec -vvv /Applications/RoamSwitch.app

# 同梱ヘルパー / MCP サーバーの署名
codesign -dvvv /Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchHelper
codesign -dvvv /Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchMCPServer

Entitlements（ネットワーク送信権限が無いこと）

codesign -d --entitlements :- /Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchHelper
codesign -d --entitlements :- /Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchMCPServer
# → 空の entitlements 辞書。app-sandbox / network client のキーはありません

通信の実測

# Little Snitch / tcpdump を併走させ、通常利用で通信が出ないことを確認します
sudo tcpdump -i any -n 'host not 127.0.0.1' and 'not port 53'
# ライセンス認証・アップデート確認・ClamAV 更新以外のトラフィックが無いこと

特権ヘルパーの実体

# 登録されている LaunchDaemon
sudo launchctl print system/com.tetsuharu.RoamSwitch.Helper

# 現在ロードされている pf ルール（Air-Gap / ポートガードの実状）
sudo pfctl -sr

# ヘルパーの状態ディレクトリ
ls -la "/Library/Application Support/RoamSwitch/"

MCP サーバーの応答（オフライン確認）

BIN=/Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchMCPServer
printf '%s\n' '{"jsonrpc":"2.0","id":1,"method":"initialize","params":{}}' \
              '{"jsonrpc":"2.0","id":2,"method":"tools/list"}' | "$BIN"
# serverInfo と 5 ツールの定義が返ります。ネットワーク接続は発生しません

MCP サーバーのソースとテスト

git clone https://github.com/lafine1211/roamswitch-mcp
cd roamswitch-mcp
swift build -c release        # 出荷バイナリと同じソース
swift test                    # 単体・敵対的入力・stdio・ミューテーションファジング
# SECURITY_TESTING.md にテスト内容と発見済みの問題

デバイス識別子

# トークンにバインドされる素の値（送信されるのは salted SHA-256 のみ）
ioreg -d2 -c IOPlatformExpertDevice | awk -F'"' '/IOPlatformUUID/{print $4}'