Firewall: filtraggio con stato e le opzioni di macOS

Il compito di un firewall sembra semplice: lascia passare il traffico buono, tieni fuori quello cattivo. La parte interessante è come decide, e a quale livello. Questa lezione tratta il filtraggio con stato come concetto, poi gli strumenti specifici e separati che macOS offre, ciascuno operante a un livello diverso.

Filtraggio con stato: ricordare la conversazione

Un firewall precoce e “senza stato” ispeziona ogni pacchetto isolatamente rispetto a un insieme fisso di regole. Un firewall con stato invece tiene traccia delle connessioni aperte, e come descrive il glossario di rete di Cloudflare, “salva le informazioni relative alle connessioni aperte e usa queste informazioni per analizzare il traffico in entrata e in uscita, invece di ispezionare ogni pacchetto” da zero. Nella pratica questo significa che un firewall con stato può mantenere le porte effettivamente chiuse finché una connessione che hai avviato tu non chiede una risposta, poi lasciare rientrare quella specifica risposta, senza aprire la porta a nient’altro. Quasi ogni firewall consumer e di sistema operativo in uso oggi, incluso quello di macOS, ha stato.

Filtraggio in entrata contro in uscita

Il filtraggio in entrata controlla le connessioni che arrivano alla macchina, non invitate, dall’esterno: qualcuno o qualcosa che cerca di raggiungere un servizio in esecuzione su di essa. Il filtraggio in uscita (egress) controlla le connessioni che la macchina stessa, o un’app su di essa, cerca di fare verso l’esterno. I due contano per motivi diversi. Il filtraggio in entrata impedisce che una macchina venga raggiunta e sondata in primo luogo. Il filtraggio in uscita conta dopo che qualcosa è già andato storto: il software dannoso che arriva su una macchina ha comunque bisogno di comunicare verso casa, ricevere istruzioni, o inviare dati fuori, e ognuna di queste azioni richiede una connessione in uscita. Una macchina con un forte firewall in entrata e nessun filtraggio in uscita può comunque far trapelare tutto ciò che contiene, una connessione in uscita alla volta.

Cosa offre davvero macOS

La lettura pratica di questa tabella è che il firewall integrato e supportato di macOS (il Firewall applicativo) copre bene le connessioni in entrata ma non dice nulla su cosa lascia la macchina. pf può tecnicamente fare entrambe le cose, ma è uno strumento di basso livello basato su script rivolto ad amministratori a proprio agio nel modificare file di configurazione e ragionare sull’ordine delle regole, non qualcosa che questo corso percorrerà nella configurazione, poiché un errore in un insieme di regole scritto a mano può silenziosamente fallire in modo aperto o bloccare del tutto l’accesso alla rete, e Apple non lo tratta come un’impostazione di prima classe e supportata per l’utente finale come fa con il Firewall applicativo. Le guide di irrobustimento della comunità che pubblicano insiemi di regole pf già pronti o script che importano liste di blocco IP di terze parti vanno oltre quanto raccomanda questo corso: quelle liste devono essere affidabili e mantenute aggiornate da qualcuno, e un aggiornamento rotto può interrompere la connettività senza un messaggio di errore chiaro.

Quella lacuna, un firewall integrato solo in entrata senza un modo semplice e supportato di vedere o controllare le connessioni in uscita per app, è esattamente ciò che il framework Network Extension di Apple esiste per permettere agli sviluppatori di terze parti di colmare, con il permesso esplicito dell’utente all’installazione.