Segurança no mundo Apple: firewall

Firewall é mais um daqueles recursos tecnológicos complexos disponíveis no OS X e que estão à disposição de todos os usuários, sejam eles domésticos ou pessoas com conhecimento avançado.

Grande parte dos usuários estão acostumados a associarem firewall a um serviço de bloqueio de conexões indesejadas, conexões de rede que são estabelecidas entre hosts e portas lógicas de comunicação. Sabe-se que, para estabelecer uma comunicação entre dois hosts, precisamos de uma aplicação servidor — chamado de serviço — e de uma aplicação cliente, a qual será usada para se conectar a um servidor através da sua porta lógica, que pode ir de 0 a 65535. Como o conhecimento sobre rede e protocolos é muito extenso, presumirei que o leitor já tenha conhecimento prévio sobre esses assuntos.

Dentro do mundo Apple, o OS X implementa dois tipos de firewalls, um chamado “firewall de aplicação” e o tradicional “firewall de rede”.

Firewall de aplicação é uma implementação do framework TrustedBSD — mencionado em outro artigos desta série —, com o qual, através de regras, você pode facilmente bloquear ou permitir a comunicação de uma determinada aplicação, sem necessariamente ter que conhecer qual porta lógica ela trabalha.

Para habilitar um firewall de aplicação, abra as Preferências do Sistema (System Preferences) e vá em Segurança e Privacidade. Na aba Firewall, você pode ativá-lo e também configurar suas opções. Lembrando que você precisará de privilégios administrativos para isso, então clique sobre o cadeado e se autentique.

Dentro das opções do firewall de aplicação, existe uma opção chamada “Bloquear todas as conexões de entrada”. Marcando-a você passa a trabalhar com um firewall mais agressivo, que descartará todo e qualquer tipo de comunicação do mundo externo até o seu sistema.

Já a opção “Automaticamente permitir que softwares assinados …” possibilita que apenas as aplicações que estejam corretamente assinadas por um certificado digital de desenvolvedor válido e reconhecido pela Apple recebam conexões do mundo externo.

A opção “Habilitar modo invisível” utiliza técnicas para despistar um atacante para que ele não identifique que o firewall está configurado e habilitado. A ideia é simples: se um atacante envia um pedido de conexão e tem a comunicação cancelada por um firewall, naturamente ele receberá um pacote avisando que a comunicação não pôde ser estabelecida. Se o firewall está trabalhando no modo invisível, ele simplesmente irá cancelar o pedido de comunicação e não avisará nada para o solicitante, este por sua vez passa a acreditar que o computador está inacessível ou fora da rede.

Caso você queira bloquear ou permitir uma determinada aplicação, basta clicar sobre o botão de mais (+) e incluí-la na lista, em seguida selecione qual regra será aplicada para ela. Lembrando que o firewall de aplicação do OS X atua apenas nas conexões de entrada, protegendo o sistema de possíveis invasores remotos.

Embora seja extremamente recomendável habilitar o serviço de firewall de aplicação, ele por si só não garante a segurança do sistema; reforço que a proteção é feita em camadas e você deve conhecê-las para minimizar os problemas com segurança. Existem formas em que uma aplicação mal-intencionada que é executada no seu sistema pode se conectar a um servidor externo e estabelecer a comunicação, desta forma o firewall de aplicação não serviria para nada.

O firewall de rede pode ajudar a proteger computadores em qualquer situação e é altamente recomendável configurá-lo para garantir a comunicação de entrada e saída do seu sistema.

O OS X é um dos poucos sistemas operacionais que possuem nativamente dois firewalls — isso mesmo, um chamado ipfirewall (IPFW) e outro chamado packet filter (PF). O PF foi incluído no OS X a partir da versão 10.7 Lion e tudo indica que irá assumir o lugar do IPFW nas futuras distribuições do sistema.

Para configurar qualquer um dos dois firewalls, você precisará de conhecimento avançado de rede e opcionalmente de conhecimentos de linha de comando, pois infelizmente o OS X não disponibiliza uma interface gráfica para isso. Entretanto, existem dois projetos open source que facilitam o gerenciamento via interface — para o IPSW temos o WaterRoof e para o PF temos o IceFloor, ambos do mesmo desenvolvedor. Também existem diversos outros firewalls para Mac com interfaces gráficas fáceis e intuitivas, mas vou deixar para vocês compartilharem essas dicas nos comentários.