Servicios, compartición y puertos abiertos.

Cada servicio compartido que dejas es un pequeño servidor de red que se ejecuta en tu Mac, esperando que alguien se conecte a él. La mayoría de las personas encienden uno una vez, para una tarea, y nunca lo apagan. Esta lección cubre cómo encontrarlos y cerrarlos, y luego agregar un firewall en la parte superior como segunda capa.

Servicios compartidos

En macOS actual, los servicios para compartir se encuentran en Configuración del sistema → General → Compartir: Compartir archivos, Compartir pantalla, Inicio de sesión remoto (SSH), Administración remota, Compartir medios, Almacenamiento en caché de contenido, Compartir Internet, Compartir impresoras y algunos otros, dependiendo de la Mac. Cada uno está desactivado de forma predeterminada y permanece desactivado hasta que lo enciendes por un motivo específico, como enviar un archivo a otra Mac en la misma red o permitir que un ayudante se conecte de forma remota.

• Si activó Compartir archivos una vez para mover archivos entre dos Mac, o Compartir pantalla para obtener ayuda de alguien, vuelva a desactivarlo desde el mismo panel Compartir una vez que haya terminado.
• El inicio de sesión remoto abre el acceso SSH a su Mac. La propia documentación de Apple dice claramente que "permitir el inicio de sesión remoto en su Mac puede hacerlo menos seguro". Déjalo desactivado a menos que necesites específicamente conectarte a esta Mac desde otro lugar.
• Si varios de estos se muestran como activados y no recuerda haberlos activado, solo por eso vale la pena investigar.

Ver lo que realmente se escucha

Desactivar los servicios compartidos en Configuración del sistema cierra aquellos para los que Apple expone un interruptor, pero otro software (un servidor de medios, una herramienta de desarrollo, un controlador de impresora) puede abrir sus propios puertos de escucha sin preguntar. lsof (lista de archivos abiertos, que en Unix incluye sockets de red) puede mostrarle todos los procesos que actualmente esperan una conexión TCP entrante:

$ lsof -iTCP -sTCP:LISTEN -n -P
COMMAND     PID   USER   FD   TYPE  DEVICE SIZE/OFF NODE NAME
rapportd   1442 admin   15u  IPv4  ...       0t0  TCP *:64654 (LISTEN)
ControlCe  1775 admin    9u  IPv4  ...       0t0  TCP *:7000 (LISTEN)

Cada línea es un proceso que escucha en un puerto: el nombre del comando, su ID de proceso, la dirección a la que está vinculado (* significa cada interfaz de red, 127.0.0.1 significa conexiones locales únicamente) y el número de puerto después de los dos puntos. -n y -P le dicen a lsof que muestre direcciones sin procesar y números de puerto en lugar de resolverlos, lo cual es más rápido y claro. A un puerto vinculado únicamente a 127.0.0.1 solo se puede acceder desde la propia Mac; un puerto vinculado a * puede, si la red lo permite, ser accedido desde otros dispositivos. Algunas entradas serán los propios servicios en segundo plano de Apple (como el asistente AirDrop/Handoff rapportd, o el receptor AirPlay del Centro de control); las que vale la pena cuestionar son las aplicaciones que instalaste y que no esperabas escuchar en absoluto.

El cortafuegos de aplicaciones

El Firewall de aplicaciones, en Configuración del sistema → Red → Firewall, es una segunda capa además de cerrar los servicios no utilizados: en lugar de bloquear por número de puerto, decide por aplicación si esa aplicación puede aceptar conexiones entrantes. Apple lo describe como proteger la Mac “de contactos no deseados iniciados por otras computadoras cuando estás conectado a Internet o a una red”, y al mismo tiempo te permite permitir aplicaciones o servicios específicos.

Puedes comprobar el estado actual del firewall desde la Terminal sin cambiar nada:

$ /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
Firewall is enabled. (State = 1)
$ /usr/libexec/ApplicationFirewall/socketfilterfw --getstealthmode
Firewall stealth mode is off

Activar el firewall y habilitar el modo oculto requieren una contraseña de administrador; los comandos --get de solo lectura anteriores no cambian nada.