Services, partage et ports ouverts

Chaque service de partage que vous utilisez est un petit serveur réseau fonctionnant sur votre Mac, attendant que quelqu'un s'y connecte. La plupart des gens en allument un une fois, pour une tâche, et ne l’éteignent jamais. Cette leçon couvre la recherche et la fermeture de ceux-ci, puis l'ajout d'un pare-feu en tant que deuxième couche.

Services de partage

Sur macOS actuel, les services de partage se trouvent dans Paramètres système → Général → Partage : partage de fichiers, partage d'écran, connexion à distance (SSH), gestion à distance, partage de médias, mise en cache de contenu, partage Internet, partage d'imprimante et quelques autres selon le Mac. Chacun est désactivé par défaut et reste désactivé jusqu'à ce que vous l'activiez pour une raison spécifique, comme l'envoi d'un fichier à un autre Mac sur le même réseau ou la possibilité pour un assistant de se connecter à distance.

• Si vous avez activé le partage de fichiers une fois pour déplacer des fichiers entre deux Mac, ou le partage d'écran pour obtenir de l'aide de quelqu'un, désactivez-le à partir du même volet Partage une fois que vous avez terminé.
• La connexion à distance ouvre l'accès SSH à votre Mac. La propre documentation d’Apple indique clairement que « permettre la connexion à distance à votre Mac peut le rendre moins sécurisé ». Laissez-le désactivé, sauf si vous avez spécifiquement besoin de vous connecter à ce Mac depuis un autre endroit.
• Si plusieurs d’entre eux s’affichent et que vous ne vous souvenez pas de les avoir activés, cela mérite à lui seul d’être étudié.

Voir ce que l'on écoute réellement

La désactivation des services de partage dans les paramètres système ferme ceux pour lesquels Apple expose un commutateur, mais d'autres logiciels (un serveur multimédia, un outil de développement, un pilote d'imprimante) peuvent ouvrir leurs propres ports d'écoute sans demander. lsof (liste des fichiers ouverts, qui sous Unix incluent les sockets réseau) peut vous montrer tous les processus en attente d'une connexion TCP entrante :

$ lsof -iTCP -sTCP:LISTEN -n -P
COMMAND     PID   USER   FD   TYPE  DEVICE SIZE/OFF NODE NAME
rapportd   1442 admin   15u  IPv4  ...       0t0  TCP *:64654 (LISTEN)
ControlCe  1775 admin    9u  IPv4  ...       0t0  TCP *:7000 (LISTEN)

Chaque ligne correspond à un processus écoutant sur un port : le nom de la commande, son ID de processus, l'adresse à laquelle elle est liée (* signifie chaque interface réseau, 127.0.0.1 signifie les connexions locales uniquement) et le numéro de port après les deux points. -n et -P indiquent à lsof d'afficher les adresses brutes et les numéros de port au lieu de les résoudre, ce qui est à la fois plus rapide et plus clair. Un port lié uniquement à 127.0.0.1 n'est accessible qu'à partir du Mac lui-même ; un port lié à * peut, si le réseau le permet, être atteint depuis d'autres appareils. Certaines entrées seront les propres services d’arrière-plan d’Apple (comme l’assistant AirDrop/Handoff rapportd ou le récepteur AirPlay du Control Center) ; celles qui méritent d’être interrogées sont les applications que vous avez installées et que vous ne vous attendiez pas du tout à écouter.

Le pare-feu applicatif

Le pare-feu d'application, dans Paramètres système → Réseau → Pare-feu, est une deuxième couche en plus de la fermeture des services inutilisés : plutôt que de bloquer par numéro de port, il décide par application si cette application peut accepter les connexions entrantes. Apple le décrit comme protégeant le Mac « contre les contacts indésirables initiés par d'autres ordinateurs lorsque vous êtes connecté à Internet ou à un réseau », tout en vous permettant d'autoriser le passage d'applications ou de services spécifiques.

Vous pouvez vérifier l’état actuel du pare-feu depuis Terminal sans rien changer :

$ /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
Firewall is enabled. (State = 1)
$ /usr/libexec/ApplicationFirewall/socketfilterfw --getstealthmode
Firewall stealth mode is off

L'activation du pare-feu et l'activation du mode furtif nécessitent tous deux un mot de passe administrateur ; les commandes --get en lecture seule ci-dessus ne changent rien.