Zabezpiecz sieć

Wszystko, co ten kurs omówił do tej pory, chroni urządzenie i konta na nim. Ta lekcja zwraca się ku połączeniu między twoim Makiem a wszystkim innym: Wi-Fi, do którego dołącza, wyszukiwaniom, które wykonuje, i ruchowi, który go opuszcza.

Wbudowany firewall macOS: przychodzący, domyślnie

macOS jest dostarczany z firewallem, znajdującym się w Ustawienia systemowe > Sieć > Firewall. Apple wprost opisuje, co on robi: „Firewall może chronić twojego Maca przed niechcianym kontaktem inicjowanym przez inne komputery, gdy jesteś połączony z internetem lub siecią”. To firewall przychodzący: jest zbudowany, by zatrzymywać połączenia docierające do twojego Maca z zewnątrz, a nie by kontrolować to, co wysyłają na zewnątrz twoje własne aplikacje. Po włączeniu możesz też przejrzeć, które aplikacje i usługi mają zezwolenie na przyjmowanie połączeń przychodzących, w tych samych ustawieniach Firewalla.

Pozostawia to realną lukę: nic we wbudowanym firewallu nie mówi, które z twoich własnych aplikacji po cichu wysyłają dane na zewnątrz, do kogo, ani nie pozwala zablokować ruchu wychodzącego jednej aplikacji, zostawiając resztę bez zmian. Zobaczenie i kontrolowanie połączeń wychodzących, dla poszczególnych aplikacji, wymaga osobnego, dedykowanego narzędzia.

Wi-Fi: podstawy, które mają największe znaczenie

Amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) wymienia podstawowe kroki zabezpieczania sieci bezprzewodowej, zaczynając od podstaw, które ludzie pomijają: zmiany domyślnych haseł administratora routera, ponieważ „większość urządzeń sieciowych… jest wstępnie skonfigurowana z domyślnymi hasłami administratora”, oraz szyfrowania, zaznaczając, że „WPA3 to obecnie najsilniejsze szyfrowanie”, z WPA2 jako akceptowalnym minimum. CISA zaleca też nadanie sieci odrębnej nazwy, utrzymywanie aktualnego oprogramowania układowego routera oraz, w publicznym Wi-Fi, którego nie kontrolujesz, wyłączenie udostępniania plików i potwierdzenie nazwy sieci przed połączeniem, zamiast ufać dowolnej otwartej sieci, która wygląda znajomo.

• Używaj WPA3 tam, gdzie twój router i urządzenia to wspierają, WPA2 jako minimum; nigdy nie zostawiaj sieci otwartej.
• Zmień domyślne hasło administratora routera; to jedna z pierwszych rzeczy skanowanych w dowolnej sieci.
• Utrzymuj aktualne oprogramowanie układowe routera, tak samo jak utrzymujesz aktualny macOS i aplikacje.
• W sieci publicznej wyłącz udostępnianie plików i traktuj każdy ruch, który nie jest HTTPS, jako widoczny dla innych w tej sieci.

DNS: zapytanie, które zwykle nie jest prywatne

Zanim twój Mac dotrze do strony internetowej, wyszukuje jej adres przez DNS, a to zapytanie zwykle jest wysyłane jawnie. Dokumentacja techniczna Cloudflare ujmuje to wprost: „Domyślnie zapytania i odpowiedzi DNS są wysyłane zwykłym tekstem…, co oznacza, że mogą je odczytać sieci, dostawcy internetu albo każdy zdolny monitorować transmisję. Nawet jeśli strona internetowa używa HTTPS, zapytanie DNS potrzebne, by na nią przejść, jest odsłonięte”. Dwa nowsze standardy, DNS przez TLS i DNS przez HTTPS, zamiast tego szyfrują to zapytanie, co Cloudflare porównuje do włożenia zwykłej pocztówki do koperty: cel nadal zostaje osiągnięty, ale nie da się go już odczytać w tranzycie.

VPN: co zmienia, a czego nie

VPN kieruje twoje połączenie przez szyfrowany tunel do serwera prowadzonego przez dostawcę VPN, co ukrywa twój ruch i adres IP przed twoją siecią lokalną i dostawcą internetu. EFF jest równie jasny co do ograniczeń: „VPN nie jest narzędziem anonimowości”, ponieważ nie zatrzymuje śledzenia opartego na lokalizacji, plikach cookie czy odcisku cyfrowym, a wszystko, co inaczej widziałby twój dostawca internetu, staje się zamiast tego widoczne dla dostawcy VPN: „dostawcy VPN również podlegają żądaniom organów ścigania”, tak samo jak dostawca internetu. Wniosek EFF nie brzmi, by unikać VPN, ale by być wybrednym: „nie używaj VPN, któremu nie ufasz”, i szukać niezależnych audytów bezpieczeństwa i jasnej, konkretnej polityki prywatności przed wyborem.