Pare-feu : filtrage dynamique et options de macOS

Le travail d’un pare-feu semble simple : laisser passer le bon trafic et empêcher l’entrée du mauvais trafic. La partie intéressante est de savoir comment il décide et à quel niveau. Cette leçon couvre le filtrage avec état en tant que concept, puis les outils spécifiques et distincts proposés par macOS, chacun travaillant sur une couche différente.

Filtrage avec état : mémoriser la conversation

Un des premiers pare-feu « sans état » inspecte chaque paquet de manière isolée par rapport à un ensemble fixe de règles. Un pare-feu dynamique assure le suivi des connexions ouvertes et, comme le décrit le glossaire réseau de Cloudflare, « enregistre les informations concernant les connexions ouvertes et utilise ces informations pour analyser le trafic entrant et sortant, plutôt que d'inspecter chaque paquet » à partir de zéro. En pratique, cela signifie qu'un pare-feu dynamique peut maintenir les ports effectivement fermés jusqu'à ce qu'une connexion que vous avez initiée demande une réponse, puis laisser cette réponse spécifique revenir, sans ouvrir le port à autre chose. Presque tous les pare-feu grand public et systèmes d’exploitation utilisés aujourd’hui, y compris celui de macOS, sont dynamiques.

Filtrage entrant et sortant

Le filtrage entrant contrôle les connexions arrivant à la machine, sans y être invitées, depuis l'extérieur : quelqu'un ou quelque chose essayant d'atteindre un service qui s'y exécute. Le filtrage de sortie (sortant) contrôle les connexions que la machine elle-même, ou une application dessus, tente d'établir vers l'extérieur. Les deux sont importants pour des raisons différentes. Le filtrage entrant empêche une machine d’être atteinte et sondée en premier lieu. Le filtrage des sorties est important après un problème : les logiciels nuisibles qui pénètrent sur une machine doivent toujours téléphoner à leur domicile, recevoir des instructions ou envoyer des données, et chacun d'entre eux a besoin d'une connexion sortante. Une machine dotée d’un pare-feu entrant puissant et d’aucun filtrage de sortie peut toujours tout divulguer, une connexion sortante à la fois.

Ce que macOS vous offre réellement

La lecture pratique de ce tableau est que le pare-feu intégré et pris en charge par macOS (le pare-feu d'application) couvre bien les connexions entrantes mais ne dit rien sur ce qui quitte la machine. pf peut techniquement faire les deux, mais il s'agit d'un outil de bas niveau basé sur un script destiné aux administrateurs à l'aise dans l'édition des fichiers de configuration et le raisonnement sur l'ordre des règles, ce qui n'est pas quelque chose que ce cours va parcourir, car une erreur dans un ensemble de règles écrites à la main peut échouer silencieusement lors de l'ouverture ou verrouiller complètement l'accès au réseau, et Apple ne le traite pas comme un paramètre d'utilisateur final de première classe pris en charge comme il le fait pour le pare-feu d'application. Les guides de renforcement de la communauté qui publient des ensembles de règles pf prêts à l'emploi ou des scripts qui extraient des listes de blocage d'adresses IP tierces vont plus loin que ce que recommande ce cours : ces listes doivent être fiables et tenues à jour par quelqu'un, et une mise à jour interrompue peut rompre la connectivité sans message d'erreur clair.

Cette lacune, un pare-feu intégré uniquement entrant sans moyen simple et pris en charge pour voir ou contrôler les connexions sortantes par application, est exactement ce que le cadre d'extension réseau d'Apple existe pour permettre aux développeurs tiers de combler, avec l'autorisation explicite de l'utilisateur lors de l'installation.