trustd

Una raffica di nuove connessioni protette, un browser che apre molti siti o un’app che si sincronizza con molti server, significa molti certificati da controllare. Dopo un aggiornamento di macOS le sue cache ripartono vuote, quindi ricontrolla ciò che aveva salvato.

Una CPU costantemente alta da parte di trustd è insolita. Può dipendere da software che intercetta le connessioni protette, come alcuni antivirus, VPN o filtri di rete, che presentano un proprio certificato per ogni connessione.

Per un picco breve, niente: si calma una volta controllate le connessioni. Per un carico costante, chiudi le app che filtrano o ispezionano il traffico e guarda se si calma. Se succede, vanno sistemate le impostazioni di quell’app, o va contattato chi l’ha sviluppata.

Non bloccare trustd con un firewall. Senza di lui le app non riescono a connettersi o si aprono lentamente, come ha dimostrato il problema del 2020.

Troverai più di un trustd. Uno viene eseguito con l’account di sistema _trustd, uno con il tuo utente, e alcuni servizi di sistema hanno il loro.

1. Apri Monitoraggio Attività, scegli Vista → Tutti i processi e digita trustd nel campo di ricerca. La colonna Utente mostra a quale account serve ciascuno.
2. Nel pannello CPU, annota quale istanza è occupata. Se è quella sotto il tuo nome, le connessioni le sta facendo un’app che stai usando.
3. Fai clic sul pannello Rete. Un trustd che invia e riceve pochi dati, più e più volte, sta verificando la revoca con un server di certificati.
4. Per vedere con quali server sta comunicando, apri il Terminale ed esegui nettop -p trustd. Premi q per uscire.
5. Per i suoi messaggi, esegui log stream --predicate 'process == "trustd"'. Errori ripetuti sullo stesso certificato o server indicano l’app o la rete che c’è dietro. Premi Control-C per fermarti.

Normale: brevi picchi quando apri un browser, accedi agli account o installi e apri nuovo software, poi silenzio. Le risposte sulla revoca vengono salvate in cache, quindi lo stesso certificato non viene ricontrollato in rete finché la risposta in cache non scade.

Da controllare: resta occupato a lungo, oppure le app si aprono lentamente e non riescono a connettersi. Le cause più comuni:

• Software che ispeziona il traffico protetto ed emette un proprio certificato per ogni sito, come alcuni antivirus, VPN e filtri di rete.
• Una rete che blocca o rallenta i server di revoca, come un portale Wi-Fi con accesso obbligatorio prima del login, o un firewall aziendale rigido.
• Data e ora sbagliate sul Mac, che fanno sembrare scaduti o non ancora validi certificati validi. Attiva Imposta data e ora automaticamente in Impostazioni di Sistema → Generali → Data e ora.

Apple pubblica gli host di cui i suoi dispositivi hanno bisogno per verificare i certificati nel suo elenco di requisiti di rete per le reti aziendali. Tra questi ci sono ocsp.apple.com, ocsp2.apple.com, valid.apple.com, crl.apple.com e certs.apple.com, più alcuni server di revoca gestiti da altre autorità di certificazione.

Se usi un’app firewall o gestisci una rete con regole in uscita rigide, queste sono le connessioni che vedrai da trustd, e quelle da consentire.