Захистіть мережу

Усе, що цей курс розглядав дотепер, захищає пристрій та облікові записи на ньому. Цей урок звертається до з’єднання між вашим Mac і всім іншим: до Wi-Fi, до якого він приєднується, до запитів, які він виконує, і до трафіку, що з нього виходить.

Вбудований фаєрвол macOS: вхідний, за замовчуванням

macOS постачається з фаєрволом, який можна знайти в «Системних налаштуваннях > Мережа > Фаєрвол». Apple описує його дію прямо: «Фаєрвол може захистити ваш Mac від небажаних контактів, ініційованих іншими комп’ютерами, коли ви підключені до інтернету чи мережі». Це вхідний фаєрвол: він створений, щоб зупиняти з’єднання, що надходять до вашого Mac ззовні, а не контролювати те, що надсилають назовні ваші власні застосунки. Після ввімкнення в тих самих налаштуваннях фаєрвола можна також переглянути, яким застосункам і службам дозволено приймати вхідні з’єднання.

Це залишає реальну прогалину: нічого у вбудованому фаєрволі не показує, які з ваших власних застосунків тихо надсилають дані назовні, кому саме, і не дозволяє заблокувати вихідний трафік одного застосунку, залишивши решту без змін. Щоб бачити й контролювати вихідні з’єднання окремо для кожного застосунку, потрібен окремий, спеціалізований інструмент.

Wi-Fi: основи, які мають найбільше значення

Агентство США з кібербезпеки та захисту інфраструктури (CISA) наводить основоположні кроки для захисту бездротової мережі, починаючи з базових речей, якими часто нехтують: зміна стандартних паролів адміністратора на маршрутизаторі, оскільки «більшість мережевих пристроїв… попередньо налаштовані зі стандартними паролями адміністратора», і шифрування, зазначаючи, що «WPA3 наразі є найсильнішим шифруванням», а WPA2 — прийнятним мінімумом. CISA також радить давати мережі окрему назву, підтримувати прошивку маршрутизатора актуальною, а в публічному Wi-Fi, який ви не контролюєте, вимикати спільний доступ до файлів і перевіряти назву мережі перед підключенням, замість того щоб довіряти будь-якій відкритій мережі, що виглядає знайомою.

• Використовуйте WPA3 там, де це підтримують ваш маршрутизатор і пристрої, WPA2 як мінімум; ніколи не залишайте мережу відкритою.
• Змініть стандартний пароль адміністратора маршрутизатора; це одна з перших речей, які сканують у будь-якій мережі.
• Підтримуйте прошивку маршрутизатора актуальною так само, як оновлюєте macOS і застосунки.
• У публічній мережі вимикайте спільний доступ до файлів і вважайте будь-який трафік, що не є HTTPS, видимим для інших у цій мережі.

DNS: запит, який зазвичай не є приватним

Перш ніж ваш Mac зможе досягти сайту, він шукає адресу цього сайту через DNS, і цей запит зазвичай надсилається відкритим текстом. Технічна документація Cloudflare каже це прямо: «За замовчуванням DNS-запити й відповіді надсилаються відкритим текстом…, тобто їх можуть прочитати мережі, інтернет-провайдери чи будь-хто, здатний спостерігати за передачею. Навіть якщо сайт використовує HTTPS, DNS-запит, потрібний для переходу на цей сайт, залишається відкритим». Два новіші стандарти, DNS over TLS і DNS over HTTPS, натомість шифрують цей запит, що Cloudflare порівнює з тим, щоб покласти звичайну поштову листівку в конверт: адресат усе одно отримує повідомлення, але воно вже непридатне для читання під час пересилання.

VPN: що вони змінюють, а що ні

VPN спрямовує ваше з’єднання через зашифрований тунель до сервера, яким керує постачальник VPN, приховуючи ваш трафік та IP-адресу від локальної мережі й вашого інтернет-провайдера. EFF так само чітко визначає межі: «VPN не є інструментом анонімності», оскільки він не зупиняє стеження на основі місцезнаходження, файлів cookie чи цифрового відбитка, а все, що інакше бачив би ваш провайдер, натомість стає видимим постачальнику VPN: «Постачальники VPN так само підпадають під запити правоохоронних органів», як і провайдер інтернету. Висновок EFF — не уникати VPN, а бути вибірковим: «Не використовуйте VPN, якому ви не довіряєте», і шукати незалежні аудити безпеки й чітку, конкретну політику приватності, перш ніж обирати сервіс.