Protégez le réseau

Tout ce que ce cours a couvert jusqu’ici protège l’appareil et les comptes qu’il contient. Cette leçon se tourne vers la connexion entre votre Mac et tout le reste : le Wi-Fi qu’il rejoint, les résolutions de noms qu’il effectue, et le trafic qui en sort.

Le pare-feu intégré à macOS : entrant, par défaut

macOS est livré avec un pare-feu, situé dans Réglages Système > Réseau > Coupe-feu. Apple décrit clairement ce qu’il fait : « Un coupe-feu peut protéger votre Mac contre les contacts indésirables initiés par d’autres ordinateurs lorsque vous êtes connecté à internet ou à un réseau. » C’est un pare-feu entrant : il est conçu pour arrêter les connexions arrivant vers votre Mac depuis l’extérieur, pas pour contrôler ce que vos propres applications envoient vers l’extérieur. Une fois activé, vous pouvez aussi revoir quelles applications et services sont autorisés à accepter des connexions entrantes, dans les mêmes réglages du coupe-feu.

Cela laisse une véritable lacune : rien dans le pare-feu intégré ne vous indique lesquelles de vos propres applications envoient discrètement des données vers l’extérieur, à qui, ni ne vous permet de bloquer le trafic sortant d’une application tout en laissant les autres tranquilles. Voir et contrôler les connexions sortantes, par application, nécessite un outil séparé et dédié.

Wi-Fi : les bases qui comptent le plus

La Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis répertorie des étapes fondamentales pour sécuriser un réseau sans fil, en commençant par les bases que les gens sautent : changer les mots de passe administrateur par défaut du routeur, car « la plupart des équipements réseau... sont préconfigurés avec des mots de passe administrateur par défaut », et le chiffrement, notant que « le WPA3 est actuellement le chiffrement le plus solide », avec le WPA2 comme minimum acceptable. La CISA recommande aussi de donner un nom distinct au réseau, de maintenir le micrologiciel du routeur à jour, et, sur un Wi-Fi public que vous ne contrôlez pas, de désactiver le partage de fichiers et de vérifier le nom du réseau avant de vous connecter plutôt que de faire confiance à n’importe quel réseau ouvert qui semble familier.

• Utilisez le WPA3 lorsque votre routeur et vos appareils le prennent en charge, le WPA2 au minimum ; ne laissez jamais un réseau ouvert.
• Changez le mot de passe administrateur par défaut du routeur ; c’est l’une des premières choses recherchées sur n’importe quel réseau.
• Maintenez le micrologiciel du routeur à jour, de la même manière que vous maintenez macOS et les applications à jour.
• Sur un réseau public, désactivez le partage de fichiers et traitez tout trafic qui n’est pas en HTTPS comme visible par d’autres sur ce réseau.

DNS : la résolution de noms qui n’est généralement pas privée

Avant que votre Mac ne puisse atteindre un site web, il résout l’adresse du site via le DNS, et cette résolution est habituellement envoyée en clair. La documentation technique de Cloudflare le formule directement : « Par défaut, les requêtes et réponses DNS sont envoyées en texte clair..., ce qui signifie qu’elles peuvent être lues par des réseaux, des FAI, ou toute personne capable de surveiller les transmissions. Même si un site web utilise HTTPS, la requête DNS nécessaire pour naviguer vers ce site web est exposée. » Deux normes plus récentes, DNS sur TLS et DNS sur HTTPS, chiffrent cette résolution à la place, ce que Cloudflare compare au fait de mettre une carte postale en clair dans une enveloppe : la destination est toujours livrée, mais elle n’est plus lisible en transit.

Les VPN : ce qu’ils changent, et ce qu’ils ne changent pas

Un VPN achemine votre connexion à travers un tunnel chiffré vers un serveur géré par le fournisseur du VPN, ce qui masque votre trafic et votre adresse IP à votre réseau local et à votre fournisseur d’accès internet. L’EFF est tout aussi claire sur les limites : « Un VPN n’est pas un outil d’anonymat », car il n’arrête pas le suivi par localisation, cookies ou empreinte numérique, et tout ce que votre FAI verrait autrement devient visible par le fournisseur VPN à la place : « Les fournisseurs de VPN sont aussi soumis à des demandes des forces de l’ordre », tout comme un FAI. La conclusion de l’EFF n’est pas d’éviter les VPN mais d’être sélectif : « N’utilisez pas un VPN en qui vous n’avez pas confiance », et recherchez des audits de sécurité indépendants et une politique de confidentialité claire et précise avant d’en choisir un.