Firewalls: filtragem com estado e as opções do macOS

A tarefa de um firewall parece simples: deixar passar o tráfego bom, manter fora o tráfego mau. A parte interessante é como decide, e a que nível. Esta lição aborda a filtragem com estado como conceito, e depois as ferramentas específicas e separadas que o macOS oferece, cada uma a funcionar numa camada diferente.

Filtragem com estado: lembrar a conversa

Um firewall antigo, "sem estado", inspeciona cada pacote isoladamente contra um conjunto fixo de regras. Um firewall com estado, em vez disso, mantém registo das ligações abertas, e como descreve o glossário de rede da Cloudflare, "guarda informação sobre ligações abertas e usa essa informação para analisar o tráfego de entrada e de saída, em vez de inspecionar cada pacote" de raiz. Na prática, isto significa que um firewall com estado consegue manter as portas efetivamente fechadas até uma ligação que iniciou pedir uma resposta, e depois deixar essa resposta específica entrar, sem abrir a porta a mais nada. Quase todos os firewalls de consumo e de sistema operativo em uso hoje, incluindo o do macOS, têm estado.

Filtragem de entrada vs. de saída

A filtragem de entrada controla ligações a chegar à máquina, não convidadas, vindas de fora: alguém ou algo a tentar chegar a um serviço que corre nela. A filtragem de saída (egress) controla ligações que a própria máquina, ou uma app nela, tenta fazer para fora. As duas importam por razões diferentes. A filtragem de entrada impede que uma máquina seja alcançada e sondada à partida. A filtragem de saída importa depois de algo já ter corrido mal: o software prejudicial que consegue entrar numa máquina ainda precisa de telefonar para casa, receber instruções, ou enviar dados para fora, e cada uma dessas coisas precisa de uma ligação de saída. Uma máquina com um firewall de entrada forte e nenhuma filtragem de saída ainda pode vazar tudo o que tem, uma ligação de saída de cada vez.

O que o macOS realmente lhe dá

A leitura prática desta tabela é que o firewall incorporado e suportado do macOS (o Firewall de Aplicações) cobre bem as ligações de entrada mas não diz nada sobre o que sai da máquina. O pf tecnicamente consegue fazer ambas, mas é uma ferramenta de baixo nível baseada em scripts, dirigida a administradores confortáveis a editar ficheiros de configuração e a raciocinar sobre a ordem das regras, e não algo que este curso vá percorrer configurar, já que um erro num conjunto de regras escrito à mão pode falhar silenciosamente para um estado aberto ou bloquear por completo o acesso à rede, e a Apple não o trata como uma definição de primeira classe e suportada para o utilizador final da forma como trata o Firewall de Aplicações. Os guias de reforço da comunidade que publicam conjuntos de regras pf prontos a usar ou scripts que importam listas de bloqueio de IP de terceiros vão mais longe do que este curso recomenda: essas listas precisam de ser fiáveis e mantidas atualizadas por alguém, e uma atualização quebrada pode quebrar a conectividade sem nenhuma mensagem de erro clara.

Essa lacuna, um firewall incorporado só de entrada sem uma forma simples e suportada de ver ou controlar ligações de saída por app, é exatamente o que a estrutura Network Extension da Apple existe para permitir que programadores de terceiros preencham, com a permissão explícita do utilizador na instalação.