Serviços, compartilhamento e portas abertas

Todo serviço de compartilhamento que você deixa ativado é um pequeno servidor de rede rodando no seu Mac, esperando alguém se conectar a ele. A maioria das pessoas ativa um deles uma vez, para uma tarefa, e nunca mais o desativa. Esta aula cobre como encontrar e fechar esses serviços, e depois acrescentar um firewall por cima, como uma segunda camada.

Serviços de compartilhamento

No macOS atual, os serviços de compartilhamento ficam em Ajustes do Sistema → Geral → Compartilhamento: Compartilhamento de Arquivos, Compartilhamento de Tela, Login Remoto (SSH), Gerenciamento Remoto, Compartilhamento de Mídia, Cache de Conteúdo, Compartilhamento de Internet, Compartilhamento de Impressora, e alguns outros dependendo do Mac. Cada um vem desativado por padrão e continua desativado até você ativá-lo por um motivo específico, como enviar um arquivo para outro Mac na mesma rede ou deixar que um ajudante se conecte remotamente.

• Se você ativou o Compartilhamento de Arquivos uma vez para mover arquivos entre dois Macs, ou o Compartilhamento de Tela para receber ajuda de alguém, desative-o de novo no mesmo painel de Compartilhamento assim que terminar.
• O Login Remoto abre acesso SSH ao seu Mac. A própria documentação da Apple sobre ele diz claramente que "permitir login remoto ao seu Mac pode deixá-lo menos seguro". Deixe-o desativado, a menos que você precise especificamente se conectar a esse Mac de outro lugar.
• Se vários desses aparecem como ativados e você não se lembra de tê-los ativado, isso sozinho já vale a pena investigar.

Vendo o que realmente está escutando

Desativar os serviços de compartilhamento em Ajustes do Sistema fecha os que a Apple expõe uma chave para controlar, mas outro software (um servidor de mídia, uma ferramenta de desenvolvimento, um driver de impressora) pode abrir suas próprias portas de escuta sem pedir permissão. O lsof (lista arquivos abertos, que no Unix inclui soquetes de rede) pode mostrar todo processo atualmente esperando por uma conexão TCP de entrada:

$ lsof -iTCP -sTCP:LISTEN -n -P
COMMAND     PID   USER   FD   TYPE  DEVICE SIZE/OFF NODE NAME
rapportd   1442 admin   15u  IPv4  ...       0t0  TCP *:64654 (LISTEN)
ControlCe  1775 admin    9u  IPv4  ...       0t0  TCP *:7000 (LISTEN)

Cada linha é um processo escutando em uma porta: o nome do comando, seu ID de processo, o endereço ao qual está vinculado (* significa toda interface de rede, 127.0.0.1 significa apenas conexões locais), e o número da porta depois dos dois-pontos. -n e -P dizem ao lsof para mostrar endereços e números de porta brutos, em vez de resolvê-los, o que é ao mesmo tempo mais rápido e mais claro. Uma porta vinculada só a 127.0.0.1 só é alcançável a partir do próprio Mac; uma porta vinculada a * pode, se a rede permitir, ser alcançada por outros dispositivos. Algumas entradas serão serviços de segundo plano da própria Apple (como o auxiliar de AirDrop/Handoff rapportd, ou o receptor de AirPlay da Central de Controle); as que vale a pena questionar são aplicativos que você instalou e que você não esperava que estivessem escutando de forma alguma.

O Firewall de Aplicativos

O Firewall de Aplicativos, em Ajustes do Sistema → Rede → Firewall, é uma segunda camada além de fechar serviços não usados: em vez de bloquear por número de porta, ele decide por aplicativo se esse aplicativo pode aceitar conexões de entrada. A Apple o descreve como uma proteção do Mac "contra contato indesejado iniciado por outros computadores quando você está conectado à internet ou a uma rede", ao mesmo tempo permitindo que você libere aplicativos ou serviços específicos.

Você pode verificar o estado atual do firewall pelo Terminal sem mudar nada:

$ /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
Firewall is enabled. (State = 1)
$ /usr/libexec/ApplicationFirewall/socketfilterfw --getstealthmode
Firewall stealth mode is off

Ativar o firewall e ativar o modo furtivo exigem uma senha de administrador; os comandos --get, somente leitura, acima não mudam nada.