trustd

Uma leva de conexões seguras novas, um navegador abrindo muitos sites ou um app sincronizando com muitos servidores, significa muitos certificados para verificar. Depois de uma atualização do macOS, os caches dele começam vazios, então ele verifica de novo o que tinha guardado.

CPU alta constante no trustd é incomum. Ela pode vir de software que intercepta conexões seguras, como algumas ferramentas de antivírus, VPN ou filtro de rede, que apresentam os próprios certificados a cada conexão.

Para um pico curto, nada: ele se acalma quando as conexões são verificadas. Para um pico constante, encerre os apps que filtram ou inspecionam o tráfego e veja se ele se acalma. Se sim, é nos ajustes desse app, ou com quem o fabrica, que está a solução.

Não bloqueie o trustd com um firewall. Sem ele, os apps não conseguem se conectar ou abrem devagar, como a pane de 2020 mostrou.

Você vai encontrar mais de um trustd. Um roda como a conta de sistema _trustd, outro roda como você, e alguns serviços do sistema têm o seu próprio.

1. Abra o Monitor de Atividade, escolha Visualizar → Todos os Processos e digite trustd no campo de busca. A coluna Usuário mostra a qual conta cada um atende.
2. Na aba CPU, veja qual instância está ocupada. Se for a que está sob o seu nome, um app que você está usando está fazendo as conexões.
3. Clique na aba Rede. Um trustd que envia e recebe um pouco, repetidas vezes, está verificando revogações com um servidor de certificados.
4. Para ver com quais servidores ele está falando, abra o Terminal e execute nettop -p trustd. Pressione q para sair.
5. Para ver as mensagens dele, execute log stream --predicate 'process == "trustd"'. Erros repetidos sobre o mesmo certificado ou servidor apontam para o app ou a rede por trás deles. Pressione Control-C para parar.

Normal: picos curtos quando você abre um navegador, inicia sessão em contas ou instala e abre um software novo, e depois silêncio. As respostas de revogação ficam em cache, então o mesmo certificado não é verificado de novo pela rede até que a resposta em cache expire.

Vale investigar: ele fica ocupado por muito tempo, ou os apps abrem devagar e não conseguem se conectar. As causas comuns:

• Software que inspeciona o tráfego seguro e emite o próprio certificado para cada site, como algumas ferramentas de antivírus, VPN e filtro de rede.
• Uma rede que bloqueia ou deixa lentos os servidores de revogação, como um portal cativo de Wi-Fi antes de você entrar, ou um firewall rígido no trabalho.
• Data e hora erradas no Mac, o que faz certificados válidos parecerem expirados ou ainda não válidos. Ative Definir data e hora automaticamente em Ajustes do Sistema → Geral → Data e Hora.

A Apple publica os hosts de que seus dispositivos precisam para verificar certificados na lista de requisitos de rede para redes corporativas. Entre eles estão ocsp.apple.com, ocsp2.apple.com, valid.apple.com, crl.apple.com e certs.apple.com, além de alguns servidores de revogação mantidos por outras autoridades certificadoras.

Se você usa um app de firewall ou gerencia uma rede com regras de saída rígidas, essas são as conexões que você vai ver do trustd, e as que deve permitir.