Olen juuri päivittänyt uusimpaan MacOS 10.13.2 -käyttöjärjestelmään ja uudelleenkäynnistyksen jälkeen koneeni pyysi minua sallimaan saapuvat verkkoyhteydet ”rapportd” -ohjelmaa varten.
Estämisen jälkeen ja palomuurin asetusten tarkistamisen jälkeen huomaan, että tämä on suoritettava tiedosto /usr/libexec/rapportd, joka luotiin koneelleni 1. joulukuuta.
Sinä päivänä sen jälkeen, kun olen asentanut tietoturvapäivityksen 2017-001 (toisen kerran; automaattisen päivityksen ei näyttänyt huomanneen päivittäneen sitä manuaalisesti), enkä ole asentanut tai päivittänyt muita ohjelmisto äskettäin / tuolloin. Google Chrome päivittyy aina, kun tuntuu siltä, joten tämä voi liittyä Chrome-päivitykseen (ei ole aavistustakaan, milloin se päivitettiin viimeksi).
Internetin mukaan tämä liittyy joihinkin pankkitoimintoihin suojausohjelma, mutta se ei näytä sopivan tähän, ja binäärisen tekstin muokkaustarkastuksesta näen, että se viittaa /System/Library/PrivateFrameworks/Rapport.framework/Versions/A/Rapport (koneelleni luotu kehys takaisin Heinäkuu ja päivitetty lokakuussa), mikä saa minut ajattelemaan, että tämä on todennäköisesti uusi 1. osapuolen käyttöjärjestelmän demoni.
Mitä rapportd tekee?
Kommentit
- Sillä on manpage, mutta se ’ ei ole kovin hyödyllinen: ” Synopsis: Daemon tarjoaa tukea Rapport-yhteyskehykseen. ”
- 1. Muualta peräisin olevat vihjeet viittaavat siihen, että paikalliset Apple-laitteet yhdistävät (ja herättävät Macin lepotilasta). 2. Järjestelmässä / Kirjastossa / CoreServicesissä on myös RapportUIAgent. 3. Käynnistysagentteja on 2. 4. rapportd on versiossa 10.13.0, mutta ei aktiivinen. 5. Tiedostossa on /System/Library/Sandbox/profiles/com.apple.rapportd.sb 6. Rapportd.sb: ssä ja suoritettavassa rapportd-tiedostossa oleva teksti sisältää airplayn, wifi: n, bluetoothin, pariliitoksen ja homekitin.
- I luulen, että se oli toinen Apple-laitteesi, joka yritti muodostaa yhteyden MBP: hen.
- Älä ’ tiedä paljon tällaisista asioista, mutta olet huomannut, että saapuva yritys conect tulee iPhoneltani (se ’ s IP-osoitteeni, johon iPhoneni on kytketty).
- Tulin tänne, koska rapportd mainostaa bonjour-palvelua. Kohteen ” dns-sd -B _services._dns-sd._udp ” lähtö on ” _tcp.paikallinen. _companion-link ”, joka on kirjoitettu väärin nimellä ” Yhteyslinkki ” Palvelutyyppi iNet-verkossa Skanneri. Virheelliset kirjoitusvirheet tuntemattomissa Bonjour-palveluissa estävät haittaohjelmatunnistimen. Jopa kanavanvaihdon ollessa pois päältä tämä palvelu pysyy toiminnassa. Luulen, että Applen on pystyttävä pitämään puhelimet / tabletit / kannettavat tietokoneet kytkettynä hinnalla millä hyvänsä. Kun olet tarkistanut koodisignaalin, luulen, että rapportd on ensimmäinen osapuoli. Miksi niin epäselvä.
Vastaa
Man -sivulla sanotaan:
Daemon providing support for the Rapport connectivity framework.
Koodin allekirjoituksen tarkistaminen codesign -dv --verbose=4 /usr/libexec/rapportd -sivulla osoittaa, että Apple on allekirjoittanut sen ja koska se on linkitetty PrivateFrameworkiin (jota Apple ei salli muille) ja SIP-suojatussa paikassa (ellet sammuta SIP: tä), tämä näyttää olevan laillinen Apple-ohjelmisto. Man-sivu viittaa siihen, että se liittyy viestintään, vaikka en ole vielä löytänyt siitä todellista dokumentaatiota.
(Kiitos John Keatesille koodin allekirjoitusvinkistä.)
Jatkuvuuskamera Macissasi helpottaa myös rapportd:
- MacOS: ssä ensimmäisen osapuolen sovelluksista, kuten Notes.app tai Pages.app, voit antaa komennon ”Ota valokuva”, joka avaa kameran sovelluksen iPhonessa tai iPadissa.
- Tämä laukaisee myös saapuvan yhteyden osoitteeseen
rapportd(noin 1,2 megatavua kutakin iPhone 6S: stä tulevaa kuvaa kohden LittleSnitch )
Kommentit
- Vain siksi, että Apple on valtuuttanut sen, ’ ei tee siitä ” laillinen ”. Apple on kerännyt ja jakanut tietoja käyttäjistään valtion turvallisuuselinten kanssa lokakuusta 2012 lähtien . Minulla ’ ei ole iPhonea, enkä halua ’ tietoturva-aukon jakamista muiden Apple-laitteiden kanssa.
- ” se ’ s linkitetty PrivateFrameworkiin (jota Apple ei salli ’ ei salli muille) ”: Apple ei välitä tästä ’, ellet ’ uudelleen aikoo jaella App Storen kautta. Itse asiassa yksi sovelluksista, joita työskentelen, linkittää yksityiseen kehykseen ja Apple antoi meidän allekirjoittaa se hienosti.
vastaus
Jo lähetetyn lisäksi / usr / libexec / rapportd on koodi, jonka allekirjoittanut Apple ja linkitetty PrivateFrameworkiin (jota Apple ei salli muille eikä siksi allekirjoita muille) ja SIP-suojatussa paikassa. Ellet sammuta SIP: tä, tämä on yksinkertaisesti osa käyttöjärjestelmää, jonka Apple on asettanut.
Voit tarkistaa tämän komentoriviltä:
codesign -vvvv -R="anchor apple" /usr/libexec/rapportd Tämän tulisi raportoida esimerkiksi:
/usr/libexec/rapportd: valid on disk /usr/libexec/rapportd: satisfies its Designated Requirement /usr/libexec/rapportd: explicit requirement satisfied Näyttää mihin kirjastot on linkitetty:
otool -L /usr/libexec/rapportd Missä näkyy jotain:
/usr/libexec/rapportd: /System/Library/Frameworks/CoreFoundation.framework/Versions/A/CoreFoundation (compatibility version 150.0.0, current version 1450.14.0) /System/Library/PrivateFrameworks/CoreUtils.framework/Versions/A/CoreUtils (compatibility version 1.0.0, current version 1.0.0) /System/Library/PrivateFrameworks/Rapport.framework/Versions/A/Rapport (compatibility version 0.0.0, current version 0.0.0) /System/Library/Frameworks/Foundation.framework/Versions/C/Foundation (compatibility version 300.0.0, current version 1450.14.0) /usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0) /usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1252.0.0) Kommentit
- ” jota Apple ei salli ’ ei salli muille eikä siksi ’ t allekirjoita muille ”: Kokeile itse; ’ huomaat, että se toimii hienosti:
echo 'int main() {}' | clang -F/System/Library/Frameworks -framework MobileDevice -x c - -o test; codesign -s "Your certificate" test - PrivateFrameworks ja Apple on allekirjoittanut sen, ei Frameworks ja koodattu paikallisesti itse.
- Anteeksi, tarkoitin
echo 'int main() {}' | clang -F/System/Library/PrivateFrameworks -framework MobileDevice -x c - -o test; codesign -s "Your certificate" test. Melko valitettava kirjoitusvirhe, kun ’ keskustelemme uudelleen. Olen myös allekirjoittanut tämän Mac-kehittäjävarmenteellani, ei tapauskohtaisella.
Vastaa
I uskon, että sitä käytetään iTunesin kotijakoon ja etäsovellukseen iTunesin hallitsemiseksi.
Löysin tämän, koska Pikku Snitch esti sitä, enkä voinut selvittää, miksi iTunesin etätavarat eivät toimineet, koska Suljin vahingossa valintaikkunan 🙂
Kun sallin sen, puhelin näki iTunesin kannettavalla tietokoneellani ja löysi iTunesin kotijaon.
Kommentit
- En ’ ole koskaan synkronoinut iOS-laitetta tässä koneessa, mutta käytän iTunesin kotijakoa ja minulla on
rapportdkäynnissä TCP *: n kanssa: 65530 (LISTEN) auki sekä ipv4: llä että ipv6: lla, ajattelin, että portti 65530 oli melko röyhkeä korkea porttinumero vain kuusi alle korkeimman mahdollisen, mutta onneksi se kuulostaa legit ohjelmistolta toivottavasti
Vastaa
Kirjoita man rapportd Terminaali. Tämä on tulos:
NAME rapportd -- Rapport Daemon. SYNOPSIS Daemon that enables Phone Call Handoff and other communication features between Apple devices. Use "/usr/libexec/rapportd -V" to get the version. LOCATION /usr/libexec/rapportd vastaus
Omasta tuskastani ^ W Kokemuksen voin kertoa, että tätä palvelua tarvitaan ainakin , jotta tekstiviestien edelleenlähetys (välitys) toimisi.
Sen estäminen palomuurilla, esim. Esimerkiksi, asettaa suuren rohkean kiellon ”Tekstiviestien edelleenlähetys” -kohdalle iPhonen asetuksissa. Itse asiassa sitä ei edes näytetä lainkaan.
kommentit
- mielenkiintoista. Olen estänyt rapportd: n koneellani, mutta sekä iMessages että tekstiviestien edelleenlähetys toimivat edelleen hyvin. Onko mahdollista, että sinulla on myös toinen estetty palvelu?
- Kuinka estit? Yrititkö käynnistää uudestaan sen jälkeen, kun teit sen?
- Valitsemalla ”estä”, kun se kysyi, kuten alkuperäisessä kysymyksessäni todettiin (ja se on edelleen lueteltu estettynä palomuuriasetuksissa). Ja kyllä, olen käynnistänyt uudelleenkäynnistyksen monta kertaa sen jälkeen.
- Voit tarkistaa sen varmasti liikenteen haistajasta ja / tai
netstat/lsof
vastaus
Kommentit
- Kerro tarkemmin, mitä takaovi tarkoittaa sinulle tässä?
- 501 on UID, ei PID! Sinun on
lsof -p 306tätä prosessia varten - anteeksi UID / PID-sekaannuksesta – olen korjannut sen nyt .
vastaus
Oletko äskettäin suostunut asentamaan ohjelmiston suojaamaan pankkisi kanssa tapahtuvaa viestintää? https://en.wikipedia.org/wiki/Trusteer#Trusteer_Rapport
Kommentit
- Tuo ohjelmisto saa minut rypistymään. Se näyttää olevan erittäin raskas ja siinä on paljon haavoittuvuuksia, ja se itse asiassa tekee ihmisten turvallisuudesta paljon pahempaa. Mielestäni tämä on kuitenkin Apple-ohjelmisto eikä mainitsemasi linkki – vain että nimet ovat samat.