Little Snitch su Mac: a cosa serve davvero un firewall applicativo

Il firewall integrato di macOS protegge il Mac da ciò che arriva. Little Snitch protegge il Mac da ciò che parte. È una differenza di una riga, e apre un capitolo intero: per anni gli utenti Mac hanno ignorato le connessioni in uscita perché «tanto non c'è malware», e per anni quella frase è stata falsa: dal trojan Flashback in poi. Questa guida spiega a cosa serve un firewall applicativo, come configurarlo senza impazzire, e cosa imparare dalle connessioni che rivela.

Due firewall, due domande

Il firewall di sistema, quello nelle Preferenze, filtra le connessioni in entrata: decide chi può bussare alle porte del computer. Funziona bene, ma la maggior parte del software moderno non aspetta di essere contattato: chiama casa. Aggiornamenti, telemetria, sincronizzazione, pubblicità, e sì: anche malware. Un firewall applicativo in uscita risponde a una domanda diversa: «questa app, può parlare con quel server?». Le due difese si completano; nessuna delle due è sostitutiva dell'altra.

Cosa fa Little Snitch

• Regole per applicazione e per destinazione: non «Safari sì o no», ma «Safari può parlare con questi domini, questi no»;
• modalità silenziosa: nega tutto ciò che non è esplicitamente permesso: la configurazione più sicura per chi parte seria;
• indicatore nel menu: un ago che mostra il traffico in tempo reale, e un clic per vedere chi lo genera;
• istantanee di rete: la mappa completa di processi, connessioni e server, con risoluzione dei domini;
• scadenza delle regole: i permessi possono durare «questa volta», «oggi», «finché non revoco»: l'opposto del sì per sempre.

Un'ora con Little Snitch è un corso di networking

Il primo effetto dell'installazione è di solito lo stupore: l'applicazione per gli appunti che contatta un server di analisi, il lettore PDF che «invia statistiche», il software libero che scarica componenti. Nessuna congiura: è l'ecosistema attuale, fatto di telemetria di progetto. Ma la differenza tra saperlo e non saperlo è la differenza tra decidere e subire. Con il tempo si impara il pattern sano di ogni app che si usa: e si riconosce subito l'anomalia, il processo che parla quando non dovrebbe, la destinazione che non c'entra nulla con il programma.

Il primo giorno è il più rumoroso: ogni applicazione chiede, e la tentazione di dire sempre sì per farlo finire è forte. Il metodo che funziona: concedere con scadenza breve («questa volta») tutto ciò che sembra legittimo, e promuovere a permanenti solo le regole che ritornano. Nel giro di un weekend avrete una mappa reale delle comunicazioni, e la sorpresa di quanti processi parlano senza necessità apparente.

Alternative e integrazioni

Little Snitch è un prodotto commerciale maturo, con prova gratuita completa; non è l'unica via. LuLu, di Objective-See, è un firewall in uscita gratuito e open source, essenziale e affidabile, perfetto per chi vuole la domanda «chi parte?» senza il macchinario completo. Chi desidera solo la osservazione può cominciare con gli strumenti inclusi (Monitoraggio Attività mostra le connessioni socket per processo) e passare al firewall quando vuole agire, non solo guardare. L'approccio consigliato: osservare una settimana, poi decidere le regole.

Configurazione consigliata

1. partire in modalità «chiedi» per qualche giorno, per mappare le proprie abitudini;
2. creare regole permanenti solo per i domini funzionali (aggiornamenti del vendor, sincronizzazione scelta);
3. negare per impostazione predefinita tutto l'analitics e la telemetria che non serve;
4. rivedere le regole ogni pochi mesi: il software cambia, e le eccezioni invecchiano male;
5. documentare le eccezioni fatte per lavoro: sono le prime a essere dimenticate e le ultime a essere giustificate.

E quando il sospetto riguarda il sito web più che il computer, il discorso cambia registro: le intrusioni lato server si affrontano con il protocollo per gli account di hosting violati e per i WordPress compromessi.