Защитите сеть

Всё, что этот курс рассматривал до сих пор, защищает устройство и аккаунты на нём. Этот урок обращается к соединению между вашим Mac и всем остальным: к Wi-Fi, к которому он подключается, к запросам, которые он делает, и к трафику, который его покидает.

Встроенный файрвол macOS: входящий, по умолчанию

В macOS есть встроенный файрвол, его можно найти в «Системные настройки» → «Сеть» → «Файрвол». Apple прямо описывает, что он делает: «Файрвол может защитить ваш Mac от нежелательных обращений со стороны других компьютеров, когда вы подключены к интернету или сети». Это входящий файрвол: он создан, чтобы останавливать соединения, приходящие на ваш Mac извне, а не чтобы контролировать, что отправляют наружу ваши собственные приложения. После включения вы также можете просмотреть, каким приложениям и службам разрешено принимать входящие соединения, в тех же настройках файрвола.

Отсюда возникает реальный пробел: встроенный файрвол никак не сообщает, какие из ваших собственных приложений тихо отправляют данные наружу, кому именно, и не позволяет заблокировать исходящий трафик одного приложения, оставив остальные без изменений. Чтобы видеть и контролировать исходящие соединения по каждому приложению, нужен отдельный, специализированный инструмент.

Wi-Fi: основы, которые важнее всего

Агентство по кибербезопасности и защите инфраструктуры США (CISA) перечисляет базовые шаги по защите беспроводной сети, начиная с того, что чаще всего пропускают: смены паролей администратора на роутере по умолчанию, поскольку «большинство сетевых устройств... поставляются предварительно настроенными с паролями администратора по умолчанию», и шифрования, отмечая, что «WPA3 на сегодняшний день является самым надёжным шифрованием», а WPA2 — приемлемым минимумом. CISA также рекомендует давать сети отдельное имя, поддерживать прошивку роутера обновлённой и, в публичном Wi-Fi, который вы не контролируете, отключать общий доступ к файлам и проверять имя сети перед подключением, а не доверять любой открытой сети, которая кажется знакомой.

• Используйте WPA3 там, где это поддерживают ваш роутер и устройства, WPA2 как минимум; никогда не оставляйте сеть открытой.
• Смените пароль администратора роутера по умолчанию; это одна из первых вещей, которую сканируют в любой сети.
• Поддерживайте прошивку роутера обновлённой — так же, как вы поддерживаете обновлёнными macOS и приложения.
• В публичной сети отключайте общий доступ к файлам и относитесь к любому трафику без HTTPS как к видимому для других в этой сети.

DNS: запрос, который обычно не приватен

Прежде чем ваш Mac сможет добраться до сайта, он ищет его адрес через DNS, и этот запрос обычно отправляется в открытом виде. Техническая документация Cloudflare говорит об этом прямо: «По умолчанию DNS-запросы и ответы отправляются в открытом виде..., а значит, их могут прочитать сети, интернет-провайдеры или кто угодно, способный наблюдать за передачей данных. Даже если сайт использует HTTPS, DNS-запрос, необходимый для перехода на этот сайт, остаётся открытым». Два более новых стандарта, DNS over TLS и DNS over HTTPS, вместо этого шифруют такой запрос, что Cloudflare сравнивает с тем, чтобы положить обычную открытку в конверт: адресат по-прежнему получает её, но прочитать её при передаче уже нельзя.

VPN: что они меняют, а что нет

VPN направляет ваше соединение через зашифрованный туннель к серверу, которым управляет провайдер VPN, скрывая ваш трафик и IP-адрес от локальной сети и вашего интернет-провайдера. EFF так же ясно говорит и о пределах: «VPN — это не инструмент анонимности», поскольку он не останавливает отслеживание по местоположению, cookie-файлам или снятию цифрового отпечатка, а всё, что иначе видел бы ваш провайдер, становится видимым провайдеру VPN вместо него: «провайдеры VPN тоже подчиняются требованиям правоохранительных органов», точно так же, как и провайдер интернета. Вывод EFF не в том, чтобы избегать VPN, а в том, чтобы выбирать разборчиво: «Не используйте VPN, которому вы не доверяете», и перед выбором искать независимые аудиты безопасности и чёткую, конкретную политику приватности.