Firewalls: zustandsbehaftete Filterung und die Optionen von macOS

Die Aufgabe einer Firewall klingt einfach: guten Datenverkehr durchlassen, schlechten fernhalten. Der interessante Teil ist, wie sie entscheidet, und auf welcher Ebene. Diese Lektion behandelt zustandsbehaftete Filterung als Konzept, dann die konkreten, getrennten Werkzeuge, die macOS bietet, jedes auf einer anderen Schicht wirkend.

Zustandsbehaftete Filterung: sich an das Gespräch erinnern

Eine frühe, „zustandslose“ Firewall prüft jedes Paket isoliert gegen eine feste Regelmenge. Eine zustandsbehaftete Firewall behält stattdessen offene Verbindungen im Blick, und wie Cloudflares Netzwerk-Glossar es beschreibt, „speichert sie Informationen über offene Verbindungen und nutzt diese Informationen, um ein- und ausgehenden Datenverkehr zu analysieren“, statt jedes Paket von Grund auf zu prüfen. In der Praxis bedeutet das, dass eine zustandsbehaftete Firewall Ports faktisch geschlossen halten kann, bis eine von Ihnen initiierte Verbindung eine Antwort erwartet, und dann genau diese Antwort zurücklässt, ohne den Port für alles andere zu öffnen. Nahezu jede heute genutzte Consumer- und Betriebssystem-Firewall, einschließlich der von macOS, ist zustandsbehaftet.

Eingehende vs. ausgehende Filterung

Eingehende Filterung kontrolliert Verbindungen, die ungebeten von außen beim Gerät ankommen: jemand oder etwas versucht, einen darauf laufenden Dienst zu erreichen. Ausgehende (Egress-)Filterung kontrolliert Verbindungen, die das Gerät selbst oder eine App darauf nach außen zu machen versucht. Beide sind aus unterschiedlichen Gründen wichtig. Eingehende Filterung verhindert überhaupt erst, dass ein Gerät erreicht und abgetastet wird. Ausgehende Filterung zählt, nachdem bereits etwas schiefgelaufen ist: Schädliche Software, die auf ein Gerät gelangt, muss trotzdem nach Hause telefonieren, Anweisungen empfangen oder Daten hinaussenden, und jedes davon braucht eine ausgehende Verbindung. Ein Gerät mit einer starken eingehenden Firewall und überhaupt keiner ausgehenden Filterung kann trotzdem alles darauf preisgeben, eine ausgehende Verbindung nach der anderen.

Was macOS tatsächlich bietet

Die praktische Lesart dieser Tabelle ist, dass die eingebaute, unterstützte Firewall von macOS (die Anwendungs-Firewall) eingehende Verbindungen gut abdeckt, aber nichts darüber aussagt, was das Gerät verlässt. pf kann technisch beides, ist aber ein systemnahes, skriptbasiertes Werkzeug für Administratoren, die sich beim Bearbeiten von Konfigurationsdateien und beim Nachdenken über Regelreihenfolgen wohlfühlen, nicht etwas, das dieser Kurs beim Konfigurieren durchgeht, da ein Fehler in einem handgeschriebenen Regelwerk still zu offenem Verhalten führen oder den Netzwerkzugriff vollständig sperren kann, und Apple behandelt es nicht als erstklassige, unterstützte Endnutzereinstellung wie die Anwendungs-Firewall. Community-Härtungsanleitungen, die fertige pf-Regelwerke oder Skripte veröffentlichen, die Drittanbieter-IP-Blocklisten einbinden, gehen weiter, als dieser Kurs empfiehlt: Diese Listen müssen von jemandem vertraut und aktuell gehalten werden, und ein fehlerhaftes Update kann die Konnektivität ohne klare Fehlermeldung brechen.

Genau diese Lücke, eine nur eingehende eingebaute Firewall ohne einfachen, unterstützten Weg, ausgehende Verbindungen pro App zu sehen oder zu kontrollieren, ist das, wofür Apples Network-Extension-Framework existiert, damit Drittanbieter-Entwickler sie füllen können, mit ausdrücklicher Erlaubnis des Nutzers bei der Installation.