Big Sur 11.2 beta 2 ne limite plus les firewall tiers, Réactions à la publication du 14/01/2021

[Lionel]

Un des gros reproches fait à Big Sur était qu'Apple s'était arrogé le droit de limiter la portée des logiciels firewall tiers.
Pour résumer les choses, les extensions de tierces parties, indispensables pour un logiciel de contrôle du réseau, devaient passer par une bibliothèque Apple qui excluait 50 des applications de la société.
Ainsi, les Firewall ne pouvaient voir les communications réseau de ces applications.

La société vient de faire marche arrière dans la 11.2 beta 2. Sur cette version, les pare-feux peuvent enfin contrôler sans exception tout le trafic, entrant et sortant, des machines.

Lien vers le billet original

[DefKing]

Mon plus gros reproche, c'est les modifications pour le plaisir de faire des modifications. Certains programmes Apple ont perdu certaines fonctions qu'ils avaient gagnées au fil des mises à jour. Je me sers d'une version MacOS vielle d'il y a cinq ans sur un ancien iMac et pas mal de choses sont plus pratiques que ce qu'il y a maintenant.
Quant à Mail, après transfert de la sauvegarde dans le nouvel iMac, j'ai eu toutes les boîtes à lettres en double, la plupart vides, évidemment.


Ce message a été modifié par DefKing - 14 Jan 2021, 17:09.

[STRyk]

Pour ma part j'utilise un VPN avec son serveur DNS forcé et un Firewall dédié avec analyse dynamique du traffic sur base de Raspberry Pi 4: Pi Hole + pivpn + développements persos

Cela me permet de contrôler tout autant ce qui échange avec mon Mac qu'avec mon iPhone, avec bien plus de souplesse et en coupant court aux échanges très douteux comme du DoH (DNS over https) ou du https avec Certificate pre-pinning qu'on ne peut pas intercepter en clair (donc pas analyser).

Je recommande vivement ce type de VPN, de préférence dédié et séparé de son routeur pour limiter la surface d'attaque, pour ceux qui veulent sécuriser leurs communication ad-minima.
Au passage PI Hole débarrasse d'un maximum de malware, traceurs et publicités, augmentant les performances et l'autonomie, et rendant l'analyse du restant bien plus facile!

PS: le petit truc en plus. Vous pouvez envoyer les Logs via rsyslog sur un service externe comme PapertrailApp (gratuit avec limites) pour pouvoir générer des alertes suivant les évènements (connexion ssh au hasard) et vous garder la possibilité de faire une analyse post-mortem en cas de gros gros problème.

Oui, mais pas facile à mettre ne place pour une personen qui met un peu les mains dans le cambouis, ou alors il ne faut faire que ca. Et ce n'est souvent pas possible.
A la base Apple avec leurs systèmes ne devaient pas être plus simple que les autres systèmes ?

Mon plus gros reproche, c'est les modifications pour le plaisir de faire des modifications. Certains programmes Apple ont perdu certaines fonctions qu'ils avaient gagnées au fil des mises à jour. Je me sers d'une version MacOS vielle d'il y a cinq ans sur un ancien iMac et pas mal de choses sont plus pratiques que ce qu'il y a maintenant.
Quant à Mail, après transfert de la sauvegarde dans le nouvel iMac, j'ai eu toutes les boîtes à lettres en double, la plupart vides, évidemment.

Et oui, c'est devenu un gros bazar où il faut etre ultra geek, se tenir au cournt jour après jour si on ne veux pas sombrer dans une galère au quotidien.
OS lourd, devenu inutilisable comme précédement : je ne vois pas ou est lévolution là...

Où sous 10.6 on avait tout simplement Little Snitch, tout deviens complètement délirant maintenant.

[iAPX]

...
A la base Apple avec leurs systèmes ne devaient pas être plus simple que les autres systèmes ?
...

Il l'est: le firewall intégré dans macOS est vraiment accessible, avec l'option "Block all incoming connections" (Bloquer toutes les connexions entrantes) disponible et vraiment efficace et devrait être conseillé par défaut tant il résout de problèmes, à commencer par un scan réseau.

Ce paramétrage m'a permis de découvrir en 2005 grâce à mon Mac Mini un malware Windows+Linux sur mon réseau qui avait échappé à mon antivirus et mon firewall Windows de l'époque, malware vraiment très étrange par ses cibles, je dirais quasi unique pour l'époque. Très ciblé. Très dangereux. Invisible.

Mon organisation sert aussi à me protéger des connexions sortantes qui ne sont pas gérées par ce firewall, incluant des domaines litigieux (malwares, traceurs, publicités) ou des adresses IP en Russie ou en Chine que j'ai choisi de filtrer par défaut.
Ça rend beaucoup plus efficace l'analyse du traffic sortant restant, puisque débarrassé des merdes des uns et des autres.
Et malheureusement il y a de la complexité, mais aussi un coût pour l'achat du matériel, mais on est à moins de 2€/mois.

PS: j'ai eu une demande sur les détails d'implémentation Pi Hole + pivpn, que j'ai fourni avec grand plaisir, incluant l'astuce pour que ça marche derrière du NAT (un routeur quoi), je vais revenir dessus mais ça sera probablement un lien sur un sujet en anglais.

Ce message a été modifié par iAPX - 14 Jan 2021, 20:26.