„Ecranul tău este observat” pe Mac: ce înseamnă de fapt

Răspunsul ăsta e partea ușoară. Partea grea, motivul pentru care probabil ai ajuns aici după ce ai citit deja alte trei ghiduri, e că sfaturile obișnuite nu rezistă la contactul cu realitatea. Oprești Partajarea ecranului, revoci câteva permisiuni, repornești, iar mesajul fie rămâne, fie revine peste două zile. Articolul ăsta explică mecanismul din spate, cel care te ajută cu adevărat să găsești vinovatul în aproximativ două minute.

Ce înseamnă de fapt mesajul#

macOS afișează acest mesaj pe ecranul de blocare atunci când ceva captează conținutul afișajului tău. Documentația Apple este clară în privința intenției: când un software partajează sau înregistrează ecranul tău, ecranul de blocare te anunță. Apare exact pe ecranul de blocare pentru că acela e singurul moment în care nu vezi bara de meniu, locul unde stau de obicei indicatoarele de confidențialitate active. Pleci de la calculator, Mac-ul se blochează, iar macOS se asigură că ultimul lucru pe care îl vezi e o notă că ceva încă te urmărește.

Permisiunea din spatele mesajului se află în Setări sistem > Confidențialitate și securitate > Înregistrare ecran și sunet de sistem. Orice aplicație care vrea pixelii de pe afișajul tău trebuie să apară în lista asta și să fie activată. Nu există ocolire, nu există o cale ascunsă și nicio excepție moștenită din trecut: de la macOS Catalina, regula e impusă la nivel de sistem pentru orice aplicație, semnată sau nu.

Distincția pe care toate celelalte ghiduri o omit: a deține permisiunea nu înseamnă a o folosi#

Aici greșește cea mai mare parte a depanării. O aplicație poate sta în lista ta de Înregistrare ecran și sunet de sistem, activată, timp de optsprezece luni, fără să declanșeze niciodată mesajul de pe ecranul de blocare. Permisiunea e o autorizare permanentă. Mesajul urmărește ceva mult mai precis: un proces care chiar deschide un flux de captură, chiar acum.

Consecința practică contează. Când un ghid îți spune să revoci toate aplicațiile din lista aia, de obicei vezi mesajul dispărând și tragi concluzia că ultima aplicație dezactivată a fost vinovată. Probabil nu e așa. Ai revocat unsprezece permisiuni deodată, una dintre ele era chiar cea care captura activ, iar acum ai un instrument de captură stricat, o aplicație de videoconferință care nu mai poate partaja o fereastră și nicio idee ce schimbare a produs ce efect.

Procedează invers. Identifică ce anume captează chiar acum, apoi decide dacă ar trebui să aibă voie. Îți ia câteva minute și restul Mac-ului tău rămâne neatins.

Cum găsești aplicația care îți observă efectiv ecranul#

Parcurge pașii în ordine, de la cea mai simplă verificare. Oprește-te imediat ce unul dintre pași îți dă numele aplicației, pentru că următorii sunt utili doar dacă cei dinainte nu au dat niciun rezultat.

• Deschide Centrul de control și uită-te în partea de sus a panoului. Când ceva captează ecranul sau sunetul de sistem, macOS listează acolo aplicația responsabilă. Pe versiunile recente de macOS, un indicator colorat apare lângă pictograma Centrului de control din bara de meniu cât timp captura e activă. E cel mai rapid răspuns, iar majoritatea ghidurilor nu îl menționează niciodată.
• Verifică serviciile de partajare. Setări sistem > General > Partajare. Partajare ecran, Gestionare de la distanță și Conectare de la distanță sunt cele trei care contează. Gestionarea de la distanță e mai ales cea care se activează o dată, pentru o sesiune de asistență cu ani în urmă, și nu se mai dezactivează niciodată.
• Verifică AirPlay și oglindirea. Setări sistem > General > AirDrop și Handoff, pentru Receptor AirPlay, plus controlul Oglindire ecran din Centrul de control. Oglindirea către un TV sau un al doilea Mac e observare în orice definiție rezonabilă, iar macOS o raportează ca atare.
• Citește lista Înregistrare ecran și sunet de sistem ca pe o scurtă listă de verificat, nu ca pe o listă de eliminat în bloc. Nu revoci tot. Cauți acea unică intrare sau cele două pe care nu le poți explica, plus tot ce ai instalat în săptămâna în care a apărut prima dată mesajul.
• Deschide Monitor de activitate și sortează după CPU. Un proces care îți captează discret ecranul în mod continuu e rareori la zero. Compară orice îți pare necunoscut cu lista de permisiuni de la pasul anterior.
• Verifică ce pornește de la sine. Setări sistem > General > Elemente de conectare și extensii acoperă atât elementele de conectare, cât și agenții de fundal care nu mai afișează deloc o fereastră. Aici poți găsi un asistent rămas activ de la un instrument dezinstalat cu luni în urmă.

"Your Screen Is Being Observed on Mac": Is Someone Really Watching?Moonlock by MacPawYouTube

De ce macOS-ul recent tot întreabă din nou (și de ce nu e un bug)#

Dacă Mac-ul tău a început să te sâcâie periodic cu permisiuni de înregistrare a ecranului, e intenționat. Începând cu macOS Sequoia, Apple a făcut ca autorizările de înregistrare a ecranului să expire: aplicațiile care îți captează afișajul trebuie să ceară din nou permisiunea periodic, în loc s-o păstreze la nesfârșit. Primele beta-uri cereau săptămânal, ceea ce a fost puternic criticat, iar Apple s-a stabilit pe un ritm aproximativ lunar înainte de lansare.

Merită înțeles, pentru că schimbă ce înseamnă o cerere recurentă. O cerere lunară din partea unei aplicații pe care o folosești zilnic e sistemul care își face treaba. O cerere din partea unei aplicații pe care n-o recunoști, sau care apare mult mai des decât lunar, merită cele două minute de investigație de mai sus. Cercetătorii în securitate au criticat dur frecvența la vremea respectivă, pe motiv că oboseala provocată de cereri repetate îi obișnuiește pe oameni să apese Permite fără să citească, și critica era întemeiată. Tot de-aici vine și motivul pentru care ar trebui să citești numele aplicației de pe cerere, în loc s-o închizi din reflex.

KeepingYouAwake cauzează acest mesaj? Nu, și iată cum poți fi sigur#

Întrebarea asta revine constant, pentru că în clipa în care oamenii încep să-și verifice bara de meniu, devin suspicioși față de orice utilitar mic de acolo. KeepingYouAwake, Amphetamine și comanda integrată `caffeinate` sunt suspecții obișnuiți. Sunt nevinovați, iar motivul merită cunoscut.

O aplicație care ține Mac-ul treaz funcționează prin afirmații de alimentare (power assertions): îi cere lui macOS să nu lase afișajul să intre în veghe. E o cerere de gestionare a alimentării. Nu atinge niciodată conținutul ecranului tău, nu are nevoie de permisiunea Înregistrare ecran și sunet de sistem și, prin urmare, nu poate produce mesajul „ecranul tău este observat”. Dacă vrei să verifici, nu doar să mă crezi pe cuvânt, deschide Confidențialitate și securitate > Înregistrare ecran și sunet de sistem și uită-te: o aplicație anti-veghe nu apare deloc în listă, pentru că n-a avut niciodată motiv să ceară.

Confuzia se înțelege. Ambele categorii sunt instrumente invizibile din bara de meniu care fac ceva Mac-ului tău ce nu poți vedea, iar amândouă apar în aceeași sesiune de căutare panicată. Dar dacă vânezi sursa mesajului, o aplicație anti-veghe e o fundătură și o poți elimina imediat de pe listă. Ce merită într-adevăr atenție la aceste aplicații e problema inversă: o aplicație care ține un MacBook treaz îți va ține afișajul aprins toată după-amiaza fără nicio ezitare, ceea ce ține de baterie și de oboseală oculară, nu de confidențialitate.

De ce spune MacBook-ul meu că ecranul îmi este observat?#

Din punct de vedere mecanic e identic: un MacBook e un Mac, iar mesajul vine din aceeași permisiune. Dar laptopurile mai adaugă patru declanșatoare pe care un desktop rareori le întâlnește, iar dacă tocmai cauți formularea specifică pentru MacBook, probabil unul dintre ele e cazul tău.

• Afișaje externe și modul clamshell. Conectarea, deconectarea și oglindirea către un monitor sau un TV implică toate pipeline-ul de afișare, iar oglindirea în special e raportată ca observare.
• Sidecar și Continuitate. Folosirea unui iPad ca al doilea afișaj e o formă legitimă de partajare a ecranului, construită chiar de Apple, și se anunță ca atare.
• Un laptop de serviciu cu gestionare a dispozitivelor. Ăsta e cazul important, cel pe lângă care celelalte ghiduri trec în vârful picioarelor. Dacă MacBook-ul ți-a fost oferit de un angajator, verifică Setări sistem > General > Gestionare dispozitive. Un profil MDM poate permite observarea ecranului de la distanță, iar mesajul de pe ecranul de blocare poate fi singurul semn vizibil. Nu e o defecțiune și nu e ceva ce ar trebui să încerci să dezactivezi: e o discuție de purtat cu departamentul IT, iar în multe jurisdicții angajatorul are obligații de informare în privința asta.
• Obiceiurile de deplasare. Un MacBook se conectează la mai multe rețele și participă la mai multe întâlniri decât un desktop, ceea ce înseamnă pur și simplu că mai multe aplicații de apeluri video au cerut drepturi de captură de-a lungul timpului.

Când merită într-adevăr să te îngrijorezi#

Fiecare articol pe tema asta se termină prin a recomanda o scanare antimalware, de obicei chiar cea pe care o vinde editorul. Hai să fim sinceri cu privire la probabilități: marea majoritate a acestor mesaje se trag dintr-o aplicație de apeluri video, un utilitar de captură, o sesiune de oglindire sau o setare de partajare uitată activă. Malware-ul e explicația rară, nu cea implicită, iar tratarea lui ca implicită e exact ce vinde soft de curățare.

Acestea fiind spuse, rar nu înseamnă niciodată. Ia-o în serios atunci când mai multe dintre următoarele sunt adevărate simultan:

• Mesajul apare pe un Mac pe care ai făcut deja toate verificările de mai sus și chiar nu poți explica nicio intrare din lista de permisiuni de captură.
• Găsești în Elemente de conectare și extensii o aplicație pe care n-ai instalat-o niciodată și pe care n-o poți identifica după nume.
• Gestionarea de la distanță e activată pe un Mac personal care n-a fost niciodată înrolat de un angajator sau de un service.
• Mac-ul a fost configurat de altcineva, cumpărat second-hand sau a stat o vreme în afara controlului tău (o reparație, o locuință comună, un fost partener care avea parola).
• A început imediat după ce ai instalat un software din afara App Store sau de pe site-ul propriu al dezvoltatorului, în special orice era promovat drept gratuit deși în mod normal costă bani.

Dacă asta descrie situația ta, răspunsurile utile sunt: revocă fiecare intrare din Înregistrare ecran și sunet de sistem și redă acces doar la ce folosești activ, dezactivează fiecare serviciu din General > Partajare, schimbă parola contului tău Apple de pe alt dispozitiv și verifică General > Gestionare dispozitive pentru un profil pe care nu tu l-ai instalat. Dacă Mac-ul ar fi putut fi accesat fizic de cineva cu un motiv să te monitorizeze, mai ales dacă e vorba de o situație din familie, tratează asta ca pe o problemă de siguranță, nu una tehnică: o resetare din fabrică făcută de pe un dispozitiv pe care îl controlezi tu, plus sprijinul unei organizații specializate, bat orice instrument de curățare.

„Observat” nu înseamnă „trimis undeva”#

O ultimă distincție, pentru că e cea care provoacă cea mai multă alarmă inutilă. macOS raportează că ecranul tău e citit. Nu spune absolut nimic despre unde ajung acei pixeli. Sunt două întrebări complet diferite, iar indicatorul de sistem răspunde doar la prima.

Multe programe legitime îți citesc ecranul fără să trimită vreodată un singur byte undeva. Un instrument de captură îți citește ecranul. O pipetă de culoare îți citește ecranul. Un manager de ferestre îți citește ecranul. La fel și aplicația noastră: Pausr apare în lista aia de permisiuni pentru că se uită local la ce se afișează pe ecranul tău, ca să stabilească dacă ești într-o întâlnire, într-un apel sau în plin joc, ca să poată amâna pauza în loc să-ți arunce un overlay pe tot ecranul peste prezentarea ta. Citirea asta se întâmplă pe Mac-ul tău și se oprește acolo. Fără cont, fără încărcare pe server, fără vreun server care ar putea să scurgă ceva.

Menționăm asta nu ca să-ți vindem ceva în acest punct al articolului, ci pentru că e cea mai clară ilustrare a principiului: întrebarea corectă despre o aplicație din lista ta de permisiuni de captură nu e „de ce poate să-mi vadă ecranul”, ci „ce face cu ce vede, și pot verifica asta”. O aplicație care procesează local și una care îți transmite desktopul către un server arată identic din perspectiva mesajului de pe ecranul de blocare. Dar nu sunt câtuși de puțin același lucru.

Pausr