Proteja a rede

Tudo o que este curso abordou até agora protege o dispositivo e as contas nele. Esta lição volta-se para a ligação entre o seu Mac e tudo o resto: o Wi-Fi a que se junta, as pesquisas que faz, e o tráfego que sai dele.

O firewall incorporado do macOS: de entrada, por defeito

O macOS vem com um firewall, encontrado em Definições do Sistema > Rede > Firewall. A Apple descreve claramente o que faz: "um firewall pode proteger o seu Mac de contacto indesejado iniciado por outros computadores quando está ligado à internet ou a uma rede." Isso é um firewall de entrada: foi construído para impedir ligações a chegar ao seu Mac vindas de fora, não para controlar o que as suas próprias apps enviam para fora. Depois de ativado, também pode rever quais as apps e serviços autorizados a aceitar ligações recebidas, nas mesmas definições de Firewall.

Isso deixa uma lacuna real: nada no firewall incorporado lhe diz quais das suas próprias apps estão silenciosamente a enviar dados para fora, para quem, nem lhe permite bloquear o tráfego de saída de uma app deixando as restantes em paz. Ver e controlar as ligações de saída, por app, precisa de uma ferramenta separada e dedicada.

Wi-Fi: o básico que mais importa

A agência norte-americana de cibersegurança e infraestrutura (CISA) lista passos fundamentais para proteger uma rede sem fios, começando pelo básico que as pessoas saltam: mudar as palavras-passe de administrador predefinidas no router, já que "a maioria dos dispositivos de rede… vêm pré-configurados com palavras-passe de administrador predefinidas", e a encriptação, notando que "o WPA3 é atualmente a encriptação mais forte", com o WPA2 como mínimo aceitável. A CISA também recomenda dar à rede um nome distinto, manter o firmware do router atualizado, e, num Wi-Fi público que não controla, desativar a partilha de ficheiros e confirmar o nome da rede antes de se ligar, em vez de confiar em qualquer rede aberta que pareça familiar.

• Use WPA3 onde o seu router e dispositivos o suportarem, WPA2 como mínimo; nunca deixe uma rede aberta.
• Mude a palavra-passe de administrador predefinida do router; é uma das primeiras coisas verificadas em qualquer rede.
• Mantenha o firmware do router atualizado, da mesma forma que mantém o macOS e as apps atualizados.
• Numa rede pública, desligue a partilha de ficheiros e trate qualquer tráfego que não seja HTTPS como visível para outros nessa rede.

DNS: a pesquisa que normalmente não é privada

Antes de o seu Mac conseguir chegar a um site, procura o endereço do site através do DNS, e essa pesquisa é normalmente enviada em claro. A documentação técnica da Cloudflare coloca-o diretamente: "por defeito, as consultas e respostas DNS são enviadas em texto simples…, o que significa que podem ser lidas por redes, fornecedores de internet, ou qualquer pessoa capaz de monitorizar as transmissões. Mesmo que um site use HTTPS, a consulta DNS necessária para navegar até esse site fica exposta." Duas normas mais recentes, o DNS over TLS e o DNS over HTTPS, encriptam antes essa pesquisa, o que a Cloudflare compara a colocar um postal simples num envelope: o destino continua a ser entregue, mas deixa de ser legível em trânsito.

VPNs: o que mudam, e o que não mudam

Uma VPN encaminha a sua ligação através de um túnel encriptado até um servidor gerido pelo fornecedor da VPN, que esconde o seu tráfego e endereço IP da sua rede local e do seu fornecedor de internet. A EFF é igualmente clara quanto aos limites: "uma VPN não é uma ferramenta de anonimato", já que não impede o rastreio por localização, cookies ou impressão digital do dispositivo, e tudo o que o seu ISP veria de outra forma passa a ficar visível para o fornecedor da VPN: "os fornecedores de VPN também estão sujeitos a pedidos das autoridades", tal como um ISP. A conclusão da EFF não é evitar VPNs mas ser seletivo: "não use uma VPN em que não confie", e procure auditorias de segurança independentes e uma política de privacidade clara e específica antes de escolher uma.