Usługi, udostępnianie i otwarte porty

Każda pozostawiona włączona usługa udostępniania to mały serwer sieciowy działający na twoim Macu, czekający, aż ktoś się z nim połączy. Większość ludzi włącza jedną z nich raz, do jednego zadania, i nigdy jej nie wyłącza. Ta lekcja pokazuje, jak je znaleźć i zamknąć, a następnie dodać firewall jako drugą warstwę ochrony.

Usługi udostępniania

W aktualnym macOS usługi udostępniania znajdują się w Ustawieniach systemowych → Ogólne → Udostępnianie: Udostępnianie plików, Udostępnianie ekranu, Zdalne logowanie (SSH), Zdalne zarządzanie, Udostępnianie multimediów, Buforowanie treści, Udostępnianie internetu, Udostępnianie drukarki i kilka innych, zależnie od Maca. Każda z nich jest domyślnie wyłączona i pozostaje wyłączona, dopóki nie włączysz jej z konkretnego powodu, na przykład wysłania pliku do innego Maca w tej samej sieci albo umożliwienia komuś zdalnej pomocy.

• Jeśli włączyłeś kiedyś Udostępnianie plików, żeby przenieść pliki między dwoma Makami, albo Udostępnianie ekranu, żeby uzyskać czyjąś pomoc, wyłącz to ponownie w tym samym panelu Udostępnianie, gdy skończysz.
• Zdalne logowanie otwiera dostęp SSH do twojego Maca. Dokumentacja Apple wprost stwierdza, że „zezwolenie na zdalne logowanie do Maca może obniżyć jego bezpieczeństwo”. Zostaw je wyłączone, chyba że konkretnie potrzebujesz łączyć się z tym Makiem z innego miejsca.
• Jeśli kilka z tych usług pokazuje się jako włączone, a nie pamiętasz, żebyś je włączał, samo to już warto zbadać.

Sprawdzanie, co naprawdę nasłuchuje

Wyłączenie usług udostępniania w Ustawieniach systemowych zamyka te, dla których Apple udostępnia przełącznik, ale inne oprogramowanie (serwer multimediów, narzędzie programistyczne, sterownik drukarki) może otworzyć własne porty nasłuchujące bez pytania. lsof (list open files, co w Unixie obejmuje też gniazda sieciowe) może pokazać każdy proces obecnie oczekujący na przychodzące połączenie TCP:

$ lsof -iTCP -sTCP:LISTEN -n -P
COMMAND     PID   USER   FD   TYPE  DEVICE SIZE/OFF NODE NAME
rapportd   1442 admin   15u  IPv4  ...       0t0  TCP *:64654 (LISTEN)
ControlCe  1775 admin    9u  IPv4  ...       0t0  TCP *:7000 (LISTEN)

Każdy wiersz to jeden proces nasłuchujący na jednym porcie: nazwa polecenia, jego identyfikator procesu, adres, do którego jest przypisany (* oznacza każdy interfejs sieciowy, 127.0.0.1 oznacza wyłącznie połączenia lokalne) oraz numer portu po dwukropku. -n i -P mówią lsof, aby pokazywał surowe adresy i numery portów zamiast je rozwiązywać, co jest zarówno szybsze, jak i czytelniejsze. Port przypisany wyłącznie do 127.0.0.1 jest osiągalny tylko z samego Maca; port przypisany do * może, w zależności od sieci, być osiągalny z innych urządzeń. Niektóre wpisy będą własnymi usługami działającymi w tle Apple (jak pomocnik AirDrop/Handoff rapportd, albo odbiornik AirPlay w Centrum sterowania); warto zapytać o te, które pochodzą z zainstalowanych przez ciebie aplikacji, po których w ogóle nie spodziewałeś się, że nasłuchują.

Application Firewall

Application Firewall, w Ustawieniach systemowych → Sieć → Zapora sieciowa, to druga warstwa ponad zamykaniem nieużywanych usług: zamiast blokować według numeru portu, decyduje osobno dla każdej aplikacji, czy w ogóle może ona przyjmować połączenia przychodzące. Apple opisuje ją jako chroniącą Maca „przed niechcianym kontaktem inicjowanym przez inne komputery, gdy jesteś połączony z internetem lub siecią”, przy jednoczesnym umożliwieniu przepuszczania konkretnych aplikacji lub usług.

Aktualny stan firewalla możesz sprawdzić w Terminalu bez wprowadzania żadnych zmian:

$ /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
Firewall is enabled. (State = 1)
$ /usr/libexec/ApplicationFirewall/socketfilterfw --getstealthmode
Firewall stealth mode is off

Włączenie firewalla i trybu ukrycia wymaga hasła administratora; powyższe polecenia --get, wyłącznie do odczytu, niczego nie zmieniają.