Le firewall de Leopard est une passoire

E

Einbert

Membre expert
Club iGen
24 Avril 2001
1 239
20
Je suis tout à fait d'accord, le pare-feux est bel et bien une catastrophe. Comment peuvent-ils faire une chose pareil ??? J'espère qu'il vont sortir une MAJ digne de ce nom parceque là c'est du foutage de gueule pur et simple.
Sinon y a t-il un firewall gratuit pour Leopard qui fonctionne ?
 
Capmari a dit:
Je suis tout à fait d'accord, le pare-feux est bel et bien une catastrophe. Comment peuvent-ils faire une chose pareil ??? J'espère qu'il vont sortir une MAJ digne de ce nom parceque là c'est du foutage de gueule pur et simple.
Sinon y a t-il un firewall gratuit pour Leopard qui fonctionne ?
Cliquez pour agrandir...
Je peux bien sûr me tromper (je n'ai pas Leopard) mais ce n'est pas le pare-feu qui est en cause mais sa gestion.

Si, au niveau système, rien n'a vraiment changé, alors le pare-feu est toujours ipfw, lequel est tout ce qu'il y a d'honorable. Ce qui est apparemment nul (et si ce qui est écrit est vrai, c'est hyper nul, même) c'est le paramétrage par défaut, qui laisse tout rentrer. Et le paramétrage par l'interface graphique semble ne pas autoriser un blocage réel de la machine.

Mais ... si l'on est féru de pare-feu ou assez patient pour apprendre (et prudent ;) ) on peut parfaitement rendre sa machine imperméable à l'extérieur, en établissant et fournissant les bonnes règles au pare-feu pour qu'ils les appliquent au démarrage. À condition de ne plus utiliser l'interface graphique. Reste à trouver un bon outil de configuration pour l'utilisateur "normal".

Vraiment étonnant, comme stratégie, de la part d'Apple [vraiment tarte, pour tout dire, ou alors l'énorme couillonnade due à la précipitation].
 
Je crois que le gars qui a ecrit cette article se trompe.

En effet, il constate que quand on active le partage SSH dans les preferences partage cela ajoute automatiquement le service SSH comme ouvert dans le firewall.
Il en conclue que tout service lancé par l'utilisateur est automatiquement ajouté, sous-entendant y compris ceux qui ne sont pas dans les preferences partage.

Personnellement j'ai fait un petit test, j'ai demarré un serveur Apache et MySQL avec MAMP, et bien ils ne s'ajoutent pas automatiquement à la liste, au contraire le système fait apparaitre un message au moment où ils sont lancés demandant à l'utilisateur s'il souhaite que les connexions entrantes soient acceptés pour ce service.

Donc l'auteur fait apparement fausse route, et seul les services des preferences partage (et donc livrés par Apple) sont ajouté automatiquement.

Après le reste de l'article semble juste, je ne peux pas verifier personnellement mais ca me semble assez rigoureux, malheureusement...
 
Frodon a dit:
Je crois que le gars qui a ecrit cette article se trompe.

En effet, il constate que quand on active le partage SSH dans les preferences partage cela ajoute automatiquement le service SSH comme ouvert dans le firewall.
Il en conclue que tout service lancé par l'utilisateur est automatiquement ajouté, sous-entendant y compris ceux qui ne sont pas dans les preferences partage.

Personnellement j'ai fait un petit test, j'ai demarré un serveur Apache et MySQL avec MAMP, et bien ils ne s'ajoutent pas automatiquement à la liste, au contraire le système fait apparaitre un message au moment où ils sont lancés demandant à l'utilisateur s'il souhaite que les connexions entrantes soient acceptés pour ce service.

Donc l'auteur fait apparement fausse route, et seul les services des preferences partage (et donc livrés par Apple) sont ajouté automatiquement.

Après le reste de l'article semble juste, je ne peux pas verifier personnellement mais ca me semble assez rigoureux, malheureusement...
Cliquez pour agrandir...


Moi, ce que je comprends pas, c'est qu'en activant "tout bloquer" Amsn arrive a se connecter et on arrive a discuter... :confused:
 
Bien, puisque l'on peut discuter du sujet ici sans les trolls des news avec en plus quelques "spécialistes"... :)

Although the problems and peculiarities described here are not security vulnerabilities in the sense that they can be exploited to break into a Mac, Apple would be well advised to sort them out pronto.
Cliquez pour agrandir...

En parlant d'Emmental, tu me sembles donc faire un raccourci un peu rapide mon cher Einbert. ;)

Donc il ne s'agit pas d'un problème de sécurité. Mais de quoi alors ?

Par ailleurs, le coupe-feu désactivé par défaut est, me semble-t'il, aussi la règle dans Mac OS X.4... Ce serait donc un choix délibéré et réfléchi d'Apple que de désactiver par défaut le coupe-feu. C'est quand même Mac OS X, pas OpenBSD. :siffle:

Certes, que l'installation de Leopard remette les compteurs à zéro est quelque peu contrariant. Mais si l'on est soucieux de sa sécurité, on a garde de vérifier son système après une telle opération. Mais je veux bien accorder un mauvais point là dessus, rien que pour faire plaisir à Windows qui a tant de problèmes de sécurité par ailleurs (il peut bien fermer les portes si les gens peuvent traverser les murs :D ).

Donc pour ma part, si ce n'est que cela je n'en ai cure.

Mais est-ce tout ?

Je veux dire : est-ce que le Coupe-feu de Mac OS X.5 est au moins aussi efficace que celui de Mac OS X.4 ? Car dans tout ce charabia, je n'ai pas trouvé la réponse à cette question simple, la seule qui m'intéresse en fait.

Comprenez bien. Les réseaux, les IP, tout ça, je ne suis pas un spécialiste loin de là. Moi je veux naviguer tranquillement sur internet sans me faire "introduire" par des malsains, et il me semble que le coupe-feu de Mac OS X.4 me garanti cela. Est-ce que celui de X.5 en est capable ou non ?

Donc en quoi est-ce une "passoire" mon cher Einbert ? Explique-le moi, s'il te plaît.
 
Du coup, que fait-on ? on attend la catastrophe ? on se tourne vers une appli tierce et si oui, laquelle ? Comme vu dans les réactions à la news de Macgeneration, il reste quand même le pare-feu matériel des box ou bornes... Mais qu'en pensent les spécialistes ici ? :)
 
À moins qu'ils n'aient ajouté des bugs (rires), ipfw doit être au moins aussi bien qu'en 10.4. Mais là, il s'agit de discussions techniques entre crackers qui ont réussi (ou espèrent réussir) à percer le pare-feu, lorsqu'il est activé.

C'est pour cela que j'essayais d'indiquer que c'est avant tout un problème de configuration plutôt qu'un problème inhérent au pare-feu.
 
fadem a dit:
Du coup, que fait-on ? on attend la catastrophe ? on se tourne vers une appli tierce et si oui, laquelle ? Comme vu dans les réactions à la news de Macgeneration, il reste quand même le pare-feu matériel des box ou bornes... Mais qu'en pensent les spécialistes ici ? :)
Cliquez pour agrandir...
Il n'y a pas encore mort d'homme (ou de Mac ;)) mais, effectivement, mieux vaut essayer de glaner quelques informations.

Dans l'ensemble, ma politique personnelle est de tout fermer pour l'entrée et d'utiliser LittleSnitch pour surveiller la sortie. En fait, je ne laisse ouvert en entrée que ICMP (le ping, c'est à dire : "T'es là ?" "voui voui") et SSH, qui permet la prise en main à distance en mode console.
J'ai modifié le port par défaut de SSH pour le fun (bin oui, on s'amuse comme on peut). ICMP, on peut le fermer aussi bien (mais j'aime le ping ... )

Noter que : SSH permet en fait de rediriger toute connexion dans un sens ou l'autre en douce. C'est à la fois TRÈS pratique et ... demande de bien avoir un bon mot de passe ;)
 
J'oubliais : pour la mise en place ... En attendant de trouver une application graphique simple à utiliser, je pense que le mieux est de définir les règles et les passer à ipfw. Bref, fureter sur Internet pour trouver le comment-faire qui va bien.
 
bompi a dit:
J'oubliais : pour la mise en place ... En attendant de trouver une application graphique simple à utiliser, je pense que le mieux est de définir les règles et les passer à ipfw. Bref, fureter sur Internet pour trouver le comment-faire qui va bien.
Cliquez pour agrandir...

Un truc comme celui-là ?

Edit : aussi trouvé ça pour qui s'intéresse. ;)
 
Bin oui, c'est bien ça [le second je le connais, le premier est sympa : il a truffé son script de commentaires qui devraient aider].
 
bompi a dit:
Je peux bien sûr me tromper (je n'ai pas Leopard) mais ce n'est pas le pare-feu qui est en cause mais sa gestion.
Cliquez pour agrandir...

Tout à fait d'accord. Ce qui est en cause, ce n'est pas ipfw mais effectivement son management de la part d'Apple. Je n'arrive pas à comprendre ce qui pousse Apple à désactiver le firewall par défaut ! Il n'y a strictement rien qui puisse l'exiger, si ce n'est qu'il ne veut pas mécontenter tous les utilisateurs de eMule et bittorrent :rolleyes: .

Mais ... si l'on est féru de pare-feu ou assez patient pour apprendre (et prudent ;) ) on peut parfaitement rendre sa machine imperméable à l'extérieur, en établissant et fournissant les bonnes règles au pare-feu pour qu'ils les appliquent au démarrage. À condition de ne plus utiliser l'interface graphique. Reste à trouver un bon outil de configuration pour l'utilisateur "normal".
Cliquez pour agrandir...
Je suppose que cela ne saurait tarder qu'un outil graphique fasse son apparition :) . A l'époque, il en existait certains, mais je n'ai aucune idée si ceux-ci fonctionnent encore :
sunShield , FirewalkX , et certainement encore d'autres dont je ne me rappelle plus. A tester si cela fonctionne toujours encore sous Leopard (que je n'ai pas encore :( ).

Frodon a dit:
Je crois que le gars qui a ecrit cette article se trompe.

En effet, il constate que quand on active le partage SSH dans les preferences partage cela ajoute automatiquement le service SSH comme ouvert dans le firewall.
Il en conclue que tout service lancé par l'utilisateur est automatiquement ajouté, sous-entendant y compris ceux qui ne sont pas dans les preferences partage.
Cliquez pour agrandir...
Non, c'est malheureusement assez correct, MAIS dans le cas où on séléctionne une option dans la configuration du firewall du genre "Set access to specific services and programs" où n'importe quel programme qui écoute sur un port (supérieur à 1028 bien sûr ;) ) ouvre automatiquement le port correspondant dans le firewall :eek: !! Ils ont fait l'essai avec netcat sur le port 1414 avec "nc -l 1414" . Maintenant, il faudrait essayé cela avec ta configuration, resp. comme tu le spécifiais, une fois AMP installés, on te demandait la permission d'ouvrir les ports adéquats. Je ne peux malheureusement pas le tester...

En parlant d'Emmental, tu me sembles donc faire un raccourci un peu rapide mon cher Einbert.
Cliquez pour agrandir...
C'était juste pour jeter un peu d'huile sur le feu :D ... Et histoire d'utiliser Emmental et non Gruyère (qui lui n'a justement pas de trous ;) ).

Un autre problème évoqué dans l'article, est le fait que la gestion du Firewall est beaucoup moins intuitif que sous Tiger, resp. on a pas une bonne vue d'ensemble de ce qui se passe. Pire, il semblerait que les règles ipfw sont vides (pas testé, seulement lu), donc où ces règles sont-elles stockées ?

++
 
Personnellement comme beaucoup, j'ai une box qui fait parefeu matériel donc pas la peine de configurer le mac mais je comprends parfaitement que les professionnels soient furieux.
 
J'avoue qu'étant ancien utilisateur de windows XP, que j'utilise toujours au boulot d'ailleurs ou en bootcamp pour les jeux, je suis habitué à ne pas utiliser les firewalls intégrés aux OS, donc ça ne me choque pas plus que ça ;)

En général j'utilise plutôt mon routeur comme firewall...
 
Pourquoi pas. Disons que sur un poste fixe, ça doit être OK.

Pour un portable ... Tu ne sais pas toujours sur quel réseau tu le branches. Par exemple, au bureau le mien est derrière le pare-feu du routeur Ouifi, certes ... mais en compagnie d'une dizaine de portables sous XP qui ne me disent rien qui vaille. Et, tiens donc !!, j'ai de temps à autre des tentatives de connexion dans le journal d'ipfw. Mince alors !!

Comme une seule personne est autorisée à se connecter (moi), je préfère donc maintenir actif un pare-feu sur tous mes postes : comme ça, je ne me pose plus de questions oiseuses du genre "heu ... il était actif, le FW, quand j'étais sur le réseau Ouifi de la ville de XYZ, samedi dernier ?" avec petite sueur éventuelle à la clef.
 
Haut Bas