É seguro colocar um Mac diretamente na internet?

Question

No passado, sempre executei um roteador NAT entre o meu PC com Windows e a Internet. Eu estou querendo saber se eu ainda preciso disso ou se o firewall OSX é bom o suficiente para me deixar colocar um Mac diretamente na internet.

    

Answer 1

Embora eu não me importe de conectar meu Mac a qualquer rede, eu não tenho a resposta definitiva. Ainda assim, algumas notas são muito longas para um comentário:

O firewall interno do OS X é um firewall de aplicativo: aceitar conexões de entrada é concedido por aplicativo, não por porta. Uma vez concedida a permissão, um aplicativo poderia abrir qualquer porta que ele goste, mas eu acho que isso não é um problema para o software em que você confia. Além disso, aplica-se somente a conexões de entrada: todas as conexões de saída são sempre permitidas (mas isso também é válido para um firewall NAT). E de acordo com o " Mac OS X 10.5 Leopard: Sobre o Firewall do Aplicativo da Apple:

All applications [..] that have been digitally signed by a Certificate Authority trusted by the system [..] are allowed to receive incoming connections. Every Apple application in Leopard has been signed by Apple and is allowed to receive incoming connections.

Em 10.6, o último torna-se mais explícito (e pode ser desativado) como " Permitir automaticamente que o software assinado receba conexões de entrada. Permite que o software assinado por uma autoridade de certificação válida forneça serviços acessados a partir da rede. ":

Portanto,mesmoquandoofirewallestáativo,todososaplicativosAppletiposervidorquevocêestáexecutandotêm,porpadrão,permissãoparaaceitarconexõesdeentrada.(Ou,talvezem10.6eleseaplicaaqualquerqualqueraplicativoassinado?)Umbugemtalsoftwarepoderiacomprometerseucomputador.EunãoseicomoissoafetacoisascomoBonjourecompartilhamentodearquivos.

Seofirewallestiverativo,qualquersoftwarequenãosejadaApple(ou,pelomenos,softwarenãoassinado)precisaráprimeirodasuapermissãoparaaceitarconexõesdeentrada.Quandoessesoftwareéatualizado,elepode não precisa da sua permissão novamente:

A signed application [..] can mathematically prove that it is indeed a new version of the same application from the same vendor that you expressed trust for in the past. The result is an end to dialog boxes asking you to confirm a choice whose safety you have no reasonable way to verify.

    

Answer 2

É claro que alguém poderia continuar sobre como em teoria nada é seguro, nunca, e tudo isso.

Mas, para fins práticos, sim , geralmente é seguro o suficiente para colocar o seu Mac diretamente na Internet. (Todo mundo faz isso - bem, a maioria das pessoas em qualquer caso - e é muito improvável que algo ruim aconteça com você.) Especialmente se você não abrir nenhum serviço extra (como httpd, etc) em sua máquina .

Dito isto, faça (deixe o atualizador automático) manter seu Mac OS X sempre atualizado com as últimas correções de segurança, e verifique se o seu built-in firewall está ativado .

    

Answer 3

Nunca é seguro conectar um computador à Internet, e é sempre melhor ter um roteador no meio.

Como a maioria dos roteadores executa o Linux embarcado, é mais provável que eles estejam seguros entre eles.

Falando como um usuário Linux: O Mac OSX tem a maioria dos aplicativos do FreeBSD, por isso tenha absoluta certeza de que o ssh e o sshfs não estão instalados ou em execução, se você não precisar deles.

E apenas ter um firewall não é suficiente. Certifique-se de que esteja configurado corretamente.

    

Answer 4

Considerando que você não está executando algo como o IE6 fora da caixa (ao contrário de uma nova instalação do XP, por exemplo), você deve estar bem.

Como sempre, é o que você faz na internet, o que acaba afetando a segurança do seu sistema. Se você está baixando muitos arquivos de várias fontes e clicando em cada link que aparece no seu caminho, então você corre um risco maior (claro, se você tomar as precauções de segurança certas, você estará certo)

Como os outros disseram, nada na internet é tecnicamente 100% seguro. Os Macs são menos vulneráveis ... mas de modo algum invulneráveis.

    

Answer 5

Eu tenho uma conexão ADSL NAT em casa e um serviço 3G para ir embora. Enquanto no 3G eu tenho notado ssh login tentativas que você normalmente não veria atrás de um firewall NAT.

Dê uma olhada para ver quais serviços você está executando.

netstat

ou

netstat -f inet


Active Internet connections
Proto Recv-Q Send-Q  Local Address          Foreign Address        (state)
udp4       0      0  *.ipp                  *.*                    
udp4       0      0  172.16.250.1.kerberos  *.*                    
udp4       0      0  192.168.144.1.kerberos *.*                    
udp4       0      0  *.*                    *.*                    
udp4       0      0  localhost.ntp          *.*                    
udp4       0      0  *.ntp                  *.*                    
udp4       0      0  *.snmp                 *.*                    
udp4       0      0  *.*                    *.*                    
udp4       0      0  *.mdns                 *.*                    
udp4       0      0  *.*                    *.*                    
udp4       0      0  *.syslog               *.*                    
icm4       0      0  *.*                    *.*   

Esta é uma lista abreviada do que estou executando. Você pode ver snmp e um syslog servidor que você provavelmente não teria.

A maioria dos serviços está escutando em todas as interfaces (*.). No meu caso, eu deveria consertar meus snmp e syslog apenas na minha rede local.

Instale o link nmap . nmap tem muitas maneiras diferentes de ver se um serviço ou porta está escutando - experimente alguns em sua máquina, mas não em outras máquinas, a menos que você saiba o que está fazendo (eu certamente não sei).

nmap 127.0.0.1

Starting Nmap 4.85BETA6 ( http://nmap.org ) at 2010-06-17 00:09 EST
Interesting ports on localhost (127.0.0.1): 
Not shown: 960 closed ports, 32 filtered ports
PORT     STATE SERVICE
22/tcp   open  ssh
88/tcp   open  kerberos-sec
139/tcp  open  netbios-ssn
445/tcp  open  microsoft-ds
548/tcp  open  afp
625/tcp  open  apple-xsrvr-admin
631/tcp  open  ipp
5900/tcp open  vnc

Nmap done: 1 IP address (1 host up) scanned in 6.28 seconds

Teste nmap de outra máquina também - você também precisará instalá-lo lá. Versões Windows e Linux estão disponíveis.

Existem serviços que você não deseja executar?

No meu caso, não sei por que estou compartilhando arquivos via samba (139/445), então vou desligar isso. Não consigo ver como desativar ipp (631). Isso é para compartilhamento de impressora que está desativado. Se eu ficar on-line e nmap my pppd endereço IP, a ipp port será fechada. Isso é bom e corresponde ao arquivo cupsd config. Eu não preciso de AFP correndo o tempo todo, então eu vou desligar isso. Eu não preciso do ssh ou do compartilhamento de tela em execução, por isso vou desativar isso também.

Agora eu só tenho esses em execução.

88/tcp   open  kerberos-sec
625/tcp  open  apple-xsrvr-admin
631/tcp  open  ipp

Alguém mencionou que a maioria das pessoas está atrás de um firewall NAT. Isso provavelmente é verdade se você tiver um roteador, mas verifique se o NAT está ativado.

Mas em um serviço 3G você está diretamente conectado, então você deve ser cuidadoso. Eu não estive, então essa foi uma boa pergunta para me fazer rever minhas configurações.

Outras coisas a fazer.

1. Revise seu arquivo appfirewall.log
2. Se você for técnico, tente adicionar algumas regras ipfw .

Lembre-se de que, se um serviço não estiver em execução, ninguém poderá entrar. Portanto, quanto menos portas forem abertas, melhor.

    

Answer 6

Não é seguro colocar nada na internet. Dito isto, hoje em dia a maioria das pessoas se conecta à internet por trás de um roteador, que também costuma implementar firewalls e qualquer outra coisa, então você pode estar usando o win95 sem problemas.

Tudo depende do que você faz com esse computador e se você está navegando na internet ou veiculando conteúdo. Não é possível responder a algo mais específico sem mais detalhes.