MAC OS X 10.6 UND DIE SICHERHEIT

22.09.2009

Schutz im Netz: Die Firewall von Snow Leopard

von Tizian Nemeth

Nicht jeden Besucher möchte man in seine vier Wände lassen, das gilt auch für die des Macs. Sein Türsteher heißt Firewall, er kontrolliert die eingehenden Verbindungen zwischen Deinem Mac und anderen Computern in einem Netzwerk. Die Firewall in Mac OS X 10.6 kann man auch dann bedienen, wenn man nichts über Netzwerk-Ports und die Protokolle weiß, die ein Programm zur Kommunikation verwendet. Was an Snow Leopard neu ist, was man beachten muss und mehr, erfährt man hier.

Eine Firewall schützt den Mac vor allem in fremden Netzwerken, daheim sorgt im Normalfall die Firewall eines Routers dafür, dass niemand ohne Erlaubnis auf den Rechner zugreifen kann. Außerdem trennt der Router dank “NAT” (”network address translation”) die Rechner im Haus vom Internet, so dass man zwar von Drinnen nach Draußen, ein Hacker aber umgekehrt nur schwer Verbindungen aufbauen kann. macmagazin.de empfiehlt, die Firewall zumindest außer Haus einzuschalten.

Zunächst sollte man wissen, wo man die Einstellungen für die Firewall vornimmt: Du findest sie in den Systemeinstellungen. Dort wählst Du den Menüpunkt Sicherheit an und wählst im geöffenten Fenster den Reiter Firewall aus. Damit man die Weiteren Optionen anwählen kann, muss man zunächst das Vorhängeschloss öffnen. Dazu wird das Administratorpasswort benötigt.

Das ist neu

Im Vergleich zur Vorgängerversion hat Apple mit Mac OS X 10.6 einige Änderungen in der Firewall vorgenommen.
Mit einem Klick auf den Knopf Stoppen/Starten schaltest Du die Firewall aus und ein. Optische Bestätigung erhält man durch ein grünes Lämpchen, sobald die Firewall aktiviert ist. In diesem Fall verrichtet die Anwendung ihren Dienst, indem sie nach den Vorgaben des Benutzers Verbindungen zulässt oder blockiert.

Mit einem Klick bestätigt man zudem, dass signierte Programme eingehende Verbindungen empfangen können. Die Signatur stammt von einer Zertifizierungsstelle und soll sicherstellen, dass die Daten einer Software auf dem Weg zum Empfänger nicht abgefangen und möglicherweise verändert wurden.
Sofern man ein Programm ohne digitale Signatur ausführen möchte, das sich nicht in der Application-Firewall-Liste befindet, zeigt Dir Dein Mac ein Dialogfeld mit Optionen zum Erlauben oder Blockieren von Verbindungen für dieses Programm an. Egal ob man dem Programm Verbindungen erlaubt oder diese blockiert, Mac OS X 10.6 versieht das Programm mit einer digitalen Signatur und fügt es zur Liste hinzu.

Ebenfalls neu und mit einem Klick zu Bedienen ist die Funktion Alle eingehenden Verbindungen blockieren. Lediglich Dienste für DHCP, Bonjour und IPSec lassen sich dadurch nicht abschalten.

So geht’s: Weitere Funktionen

Wer seinen Mac im Netzwerk verstecken möchte, für den hat Apple die Option Tarn-Modus aktivieren in der Firewall integriert. Sofern man den Haken gesetzt hat, erschwert dieser Modus die Arbeit eines Hackers, weil der Angreifer auf eine Reihe von Standardanalysen keine Antwort erhält. Allerdings ist der Rechner im Netz nicht unsichtbar, wie das Wort “Tarnung” bereits sagt. Vor allem erfahrene Hacker wissen, wie sie den Mac dennoch aufspüren können.

In der Application-Firewall-Liste sieht man die Programme, die über eine bestehende Internetverbindung Daten empfangen und senden. Im Normalfall nimmt Mac OS X  solche Programme automatisch auf Du kannst sie aber auch von Hand zur Liste hinzufügen. Dies ist beispielsweise bei einigen Server-Programmen nötig. Um ein Programm hinzuzufügen, klickt man auf das Pluszeichen unterhalb der Liste und wählt aus dem geöffneten Fenster das entsprechende Programm. Auch per Drag-and-drop kann man ein neues Programm anfügen. Möchtest Du ein Programm entfernen, markiert man es zunächst in der Liste und klickt auf das Minuszeichen.
In der Liste kann man für jedes Programm individuell die Verbindungen einstellen. Dazu selektiert man mit der Maus das gewünschte Programm, indem man auf den Eintrag hinter dem Programmnamen klickt. Nun wählt man zwischen Eingehende Verbindungen erlauben oder blockieren.

Warum ist eine Firewall nötig?

Wer seinen Mac direkt per DSL-Modem mit dem Internet verbindet, stellt alle freigegebenen Serverdienste sowohl dem lokalen Netzwerk als auch dem Internet zur Verfügung. Mögliche Besucher, auch die unerwünschten, brauchen nur die externe IP-Nummer des Rechners in Erfahrung bringen und mögliche Passworte eingeben, schon haben sie Zugriff auf das System. Auch Hacker, die das Internet nach ungeschützten Servern durchsuchen, finden so schnell Zugang. Deshalb solltest Du die Firewall einschalten und nur Serverdiensten den Zugriff erlauben, die Du unbedingt benötigst. Wenn man nicht weiß, welche Dienste einen offenen Kanal benötigen, deaktiviert man die unbekannten. Sobald dann doch ein Dienst den Zugriff erfordert, meldet sich der Mac mit einem Hinweis.

Mehr Einstellungen: WaterRoof verwaltet die Firewall

Anwender, die mehr Kontrolle über ihre Firewall haben möchten, können beispielsweise das kostenlose Firewall-Management-Programm WaterRoof verwenden. Anwender erhalten mit Waterroof eine grafische Benutzeroberfläche für die in Snow Leopard verwendete Open-Source-Firewall IPFW. Die IPFirewall ist ein Paketfilter, die sowohl IPv4- als auch IPv6-Pakete filtert. Versierte Mac-Anwender greifen mit dem Programm Terminal auf IPFW zu, komfortabler geht es mit WaterRoof.

Mit dem Frontend-Programm kann man unter anderem die Bandbreiten der Internetverbindung verwalten, NAT-Konfiguration vornehmen und Port-Weiterleitung einstellen sowie dynamischen Regeln setzen. Sowohl die Regeln als auch die gewählten Netzwerk-Optionen kann Mac OS X bereits beim Start laden. Mit Unterstützung eines Wizards kann der Anwender die Firewall schrittweise konfigurieren.
Wenn Du wissen möchtest, wieviele Pakete die Firewall abgeblockt hat, findest Du diese Informationen unter Logs Statistics. Unter Firewall Logs sieht man, wer auf den Mac zugegriffen hat. In der Liste findet man Urhrzeit, Datum und die IP-Adresse. Sobald Du die Konfiguration vorgenommen hast, kannst Du das Frontend-Programm wieder vom System entfernen, ohne die vorgenommenen Einstellungen zu verlieren.