Firewalls: filtragem com estado e as opções do macOS

A função de um firewall parece simples: deixar passar o tráfego bom, manter fora o tráfego ruim. A parte interessante é como ele decide, e em que nível. Esta aula cobre a filtragem com estado como conceito, e depois as ferramentas específicas e separadas que o macOS oferece, cada uma trabalhando em uma camada diferente.

Filtragem com estado: lembrando a conversa

Um firewall antigo, "sem estado", inspeciona cada pacote isoladamente contra um conjunto fixo de regras. Um firewall com estado, em vez disso, acompanha as conexões abertas, e, como descreve o glossário de rede da Cloudflare, "guarda informações sobre conexões abertas e usa essas informações para analisar o tráfego de entrada e saída", em vez de inspecionar cada pacote do zero. Na prática, isso significa que um firewall com estado consegue manter as portas efetivamente fechadas até que uma conexão que você iniciou peça uma resposta, e então deixar essa resposta específica voltar, sem abrir a porta para mais nada. Praticamente todo firewall de consumidor e de sistema operacional em uso hoje, incluindo o do macOS, tem estado.

Filtragem de entrada versus de saída

A filtragem de entrada controla conexões chegando à máquina, sem convite, vindas de fora: alguém ou algo tentando alcançar um serviço rodando nela. A filtragem de saída (egress) controla conexões que a própria máquina, ou um aplicativo nela, tenta fazer para fora. As duas importam por motivos diferentes. A filtragem de entrada impede que uma máquina seja alcançada e sondada em primeiro lugar. A filtragem de saída importa depois que algo já deu errado: software prejudicial que consegue entrar em uma máquina ainda precisa "ligar para casa", receber instruções, ou enviar dados para fora, e cada uma dessas ações precisa de uma conexão de saída. Uma máquina com um firewall de entrada forte e nenhuma filtragem de saída ainda pode vazar tudo o que tem, uma conexão de saída de cada vez.

O que o macOS realmente oferece

A leitura prática dessa tabela é que o firewall nativo e suportado do macOS (o Firewall de Aplicativos) cobre bem as conexões de entrada, mas não diz nada sobre o que sai da máquina. O pf tecnicamente consegue fazer as duas coisas, mas é uma ferramenta de baixo nível, baseada em scripts, voltada a administradores confortáveis editando arquivos de configuração e raciocinando sobre a ordem das regras, não algo que este curso vai ensinar a configurar, já que um erro em um conjunto de regras escrito à mão pode falhar silenciosamente de forma aberta ou bloquear totalmente o acesso à rede, e a Apple não o trata como uma configuração de primeira classe e suportada para o usuário final, da forma como trata o Firewall de Aplicativos. Guias de fortalecimento da comunidade que publicam conjuntos de regras pf prontos ou scripts que importam listas de bloqueio de IP de terceiros vão além do que este curso recomenda: essas listas precisam ser confiáveis e mantidas atualizadas por alguém, e uma atualização quebrada pode quebrar a conectividade sem nenhuma mensagem de erro clara.

Essa lacuna, um firewall nativo só de entrada sem uma forma simples e suportada de ver ou controlar conexões de saída por aplicativo, é exatamente o que o framework Network Extension da Apple existe para permitir que desenvolvedores terceiros preencham, com a permissão explícita do usuário na instalação.