🧩 Estensione di sistema
Il filtro è un NEFilterDataProvider (framework Network Extension) che gira come estensione di sistema firmata e approvata dall'utente: macOS gli consegna ogni nuovo flusso socket — TCP e UDP, in uscita e in entrata — e l'estensione risponde con un verdetto allow/drop prima che il primo byte parta.
La regola di aggancio è totale (NEFilterSettings su ogni rete, ogni porta): niente liste parziali, niente proxy. Con "chiedi prima" il verdetto è pause: il flusso resta sospeso dal sistema finché l'utente non decide (timeout 60s → blocco).
🪪 Identità delle app
Su macOS il flusso non porta il bundle id: X-Varco risale all'app dall'audit token del processo via SecTask, ricavando l'identificativo di firma del codice — stabile tra versioni e non falsificabile, perché garantito dalla firma Apple.
Una cache limitata evita di rifare il lavoro crittografico a ogni connessione.
🔁 App ↔ filtro via XPC
Cruscotto ed estensione parlano su un mach service XPC nel gruppo app: l'app spinge regole e impostazioni al filtro e riceve i flussi in tempo reale; lo storico viaggia nella direzione opposta.
Niente file condivisi: l'estensione gira come root e non vede il contenitore dell'utente — una trappola classica di questa architettura, risolta qui alla radice.
🗂️ Storico aggregato
L'estensione mantiene aggregati per ora (consentiti/bloccati/tracker), per app e per indirizzo IP, potati a 60 giorni e salvati periodicamente: i grafici e la pagella non ripartono mai da zero e il costo su disco resta di pochi KB.
La prima apparizione di ogni app alimenta la quarantena; le destinazioni abituali alimentano l'allarme anomalie.
🛑 Blocco tracker
La lista di Peter Lowe (3.536 domini pubblicitari e di tracciamento) è incorporata nell'app e nell'estensione: classifica i flussi per la pagella e, con l'interruttore acceso, li blocca a livello di socket con confronto per suffisso di dominio.
Lo stesso confronto serve le regole per dominio dell'utente ("blocca facebook.com ovunque"), che hanno la priorità su tutto il resto.
🗺️ Mappa e geolocalizzazione
Geolocalizzazione completamente locale: il database DB-IP City Lite è incorporato nell'app e letto da un lettore MMDB scritto su misura — nessun indirizzo lascia mai il Mac. La posizione "Il mio Mac" usa i servizi di localizzazione di sistema, con permesso esplicito.
La mappa è MapKit nativo: punti aggregati per città, dimensione proporzionale al traffico, polilinee dal Mac a ogni destinazione.
🤖 Spiegazioni con l'AI
Il pulsante "Spiegami" interroga l'API Anthropic (modello claude-opus-5) con i metadati del flusso — app, destinazione, porta, esito, categoria — e restituisce due frasi in italiano per chi non è tecnico.
Funzione opzionale: serve una chiave API personale, e senza chiave l'app funziona per intero.
🖥️ App nativa
Cruscotto, flussi, regole, pagella, storico (Swift Charts), mappa e interruttori sono SwiftUI puro; il semaforo è una MenuBarExtra con icona ridisegnata a ogni cambio di stato.
Notifiche di sistema per le anomalie, finestra di decisione AppKit sui blocchi di sicurezza, avvio al login con SMAppService.
🔏 Firma e affidabilità
App ed estensione sono firmate con hardened runtime; l'estensione dichiara content-filter-provider e l'app system-extension.install. L'aggiornamento dell'estensione è automatico a ogni avvio, con numero di build che cresce a ogni versione.
Progetto generato con XcodeGen, versionato in git, build riproducibili.
