Tjenester, deling og åpne havner

Hver delingstjeneste du forlater er en liten nettverksserver som kjører på Mac-en din og venter på at noen skal koble seg til den. De fleste slår en på én gang, for én oppgave, og slår den aldri av. Denne leksjonen tar for seg å finne og lukke dem, og deretter legge til en brannmur på toppen som et andre lag.

Delingstjenester

På gjeldende macOS lever delingstjenester i Systeminnstillinger → Generelt → Deling: Fildeling, skjermdeling, ekstern pålogging (SSH), ekstern administrasjon, mediedeling, innholdsbufring, Internett-deling, skriverdeling og noen få andre avhengig av Mac. Hver av dem er av som standard og forblir av til du slår den på av en bestemt årsak, for eksempel å sende en fil til en annen Mac på samme nettverk eller la en hjelper ekstern koble seg til.

• Hvis du har slått på fildeling én gang for å flytte filer mellom to Mac-er, eller skjermdeling for å få hjelp fra noen, slår du den av igjen fra samme delingsrute når du er ferdig.
• Ekstern pålogging åpner SSH-tilgang til Mac-en din. Apples egen dokumentasjon for det sier tydelig at "å tillate ekstern pålogging til Mac-en din kan gjøre den mindre sikker." La den være av med mindre du spesifikt trenger å koble til denne Macen fra et annet sted.
• Hvis flere av disse viser som på og du ikke husker å skru dem på, er det alene verdt å undersøke.

Å se hva som faktisk lytter

Hvis du slår av delingstjenester i Systeminnstillinger, lukkes de som Apple viser en bryter for, men annen programvare (en medieserver, et utviklingsverktøy, en skriverdriver) kan åpne sine egne lytteporter uten å spørre. lsof (liste åpne filer, som på Unix inkluderer nettverkskontakter) kan vise deg hver prosess som for øyeblikket venter på en innkommende TCP-tilkobling:

$ lsof -iTCP -sTCP:LISTEN -n -P
COMMAND     PID   USER   FD   TYPE  DEVICE SIZE/OFF NODE NAME
rapportd   1442 admin   15u  IPv4  ...       0t0  TCP *:64654 (LISTEN)
ControlCe  1775 admin    9u  IPv4  ...       0t0  TCP *:7000 (LISTEN)

Hver linje er én prosess som lytter på én port: kommandonavnet, prosess-IDen, adressen den er bundet til (* betyr hvert nettverksgrensesnitt, 127.0.0.1 betyr kun lokale tilkoblinger), og portnummeret etter kolon. -n og -P forteller lsof å vise rå adresser og portnumre i stedet for å løse dem, noe som er både raskere og klarere. En port som bare er bundet til 127.0.0.1, er kun tilgjengelig fra selve Mac-en; en port bundet til * kan, dersom nettverket tillater det, nås fra andre enheter. Noen oppføringer vil være Apples egne bakgrunnstjenester (som AirDrop/Handoff-hjelperen rapportd, eller kontrollsenterets AirPlay-mottaker); de det er verdt å stille spørsmål ved er apper du installerte som du ikke forventet å høre på i det hele tatt.

Applikasjonsbrannmuren

Applikasjonsbrannmuren, i Systeminnstillinger → Nettverk → Brannmur, er et andre lag på toppen av å lukke ubrukte tjenester: i stedet for å blokkere etter portnummer, bestemmer den per app om den appen i det hele tatt kan akseptere innkommende tilkoblinger. Apple beskriver det som å beskytte Mac-en "fra uønsket kontakt initiert av andre datamaskiner når du er koblet til internett eller et nettverk", mens du fortsatt lar deg tillate bestemte apper eller tjenester.

Du kan sjekke brannmurens nåværende tilstand fra Terminal uten å endre noe:

$ /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
Firewall is enabled. (State = 1)
$ /usr/libexec/ApplicationFirewall/socketfilterfw --getstealthmode
Firewall stealth mode is off

Å slå på brannmuren og aktivere stealth-modus krever begge et administratorpassord; de skrivebeskyttede --get-kommandoene ovenfor endrer ingenting.