FireWall fürn mac

Original geschrieben von möchtegernmacer
Das BrickHouse keine wirkliche firewall ist, hab ich auch schon gemerkt. GOOGLE!!! Kaum zu glauben aber wahr.....
Zum Vergrößern anklicken....

BOAH! ;)

Na warum eine extra FireWall? OS X hat eine der besten Firewalls eingebaut. Man kann sie halt nur nicht grafisch hochgradig konfigurieren. Dazu braucht man das Terminal. Das nimmt einem BrickHouse ab.
 
Hi

Jetzt wollen wir doch mal begrifflich etwas aufräumen:

Eine Firewall dient in der Regel dazu, Zugriffe von Aussen nach Innen zu verhindern, und deswegen sind die per default meist so konfiguriert, das von innen alles raus geht und von aussen nichts rein. Zu dieser Kategorie zählen ipfw, Brickhouse, Netbarrier, sunShield, iptables....

Einige Firewalls (NetBarrier) kontrollieren zusätzlich noch den traffic von innen nach aussen.

Little Snitch ist in dem Sinne keine Firewall, da LittleSnitch nur den ausgehenden Verkehr der aktiven Programme mittles Filterregeln kontrollieren kann. LittleSnitch ist somit ein probates Mittel, um Programme, die sich mittels LittleSnitch erfassen lassen (und es gibt einige die LittleSnitch umgehen können), am unkontrollierten Zugriff auf das Internet zu hindern, insbesondere um die allseits beliebte "call-home"-Funktionalität zu blockieren.

Dies liesse sich natürlich auch durch ausgereifte Filterregeln in der Firewall erreichen (deny all und dann nur die Verbindungen freischalten, die auch wirklich benötigt werden), leider unterscheiden die meisten Firewalls nicht, welches programm zugreifen möchte. Ausnahme ist hier NetBarrier, und möglicherweise noch andere Firewalls die ich nicht kenne.

HTH

W
 
Original geschrieben von -Nuke-
BOAH! ;)

Na warum eine extra FireWall? OS X hat eine der besten Firewalls eingebaut. Man kann sie halt nur nicht grafisch hochgradig konfigurieren. Dazu braucht man das Terminal. Das nimmt einem BrickHouse ab.
Zum Vergrößern anklicken....


[schleichwerbung]
Oder man liest sich die inzwischen schon dreiteilige Serie Erweiterte Konfiguration der Mac OS X Firewall auf meiner HP durch .
Fortsetzung folgt.
[/schleichwerbung] ;)
 
Also kann man auch statt little snitch net barrier benutzen, oder schränkt das die leistung von OS X ein?
 
Original geschrieben von Woulion
Hi

Jetzt wollen wir doch mal begrifflich etwas aufräumen:

Eine Firewall dient in der Regel dazu, Zugriffe von Aussen nach Innen zu verhindern, und deswegen sind die per default meist so konfiguriert, das von innen alles raus geht und von aussen nichts rein. Zu dieser Kategorie zählen ipfw, Brickhouse, Netbarrier, sunShield, iptables....

Einige Firewalls (NetBarrier) kontrollieren zusätzlich noch den traffic von innen nach aussen.
...
Zum Vergrößern anklicken....
 

Also doch Diskussion ??

Wenn man den Begriff Firewall klären will, würde ich die Definition aus RFC 2828 vorschlagen. Fettdruck von mir, weil ich behaupte es wird der Datenverkehr in beiden Richtungen kontrolliert bzw. kann kontrolliert werden (und zwar bei allen oben genannten und nicht nur von Netbarrier).
...
$ firewall
(I) An internetwork gateway that restricts data communication
traffic to and from one of the connected networks (the one said to
be "inside" the firewall) and thus protects that network's system
resources against threats from the other network (the one that is
said to be "outside" the firewall). (See: guard, security
gateway.)
...
Zum Vergrößern anklicken....

Außerdem denke ich, wir reden hier primär von Paketfiltern.
Dass Little Snitch einigen Datenverkehr unbesehen durchlässt, kann ich bestätigen.
Die ipfw ist da wesentlich "gewissenhafter"
 
nu bekomm doch erst mal deinen mac, gewöhn dich an ihn und erfreue dich dran und dann siehste weiter..
ich hab jetzt seit nem halben jahr einen und die eingebaute firewall (die ich nicht irgendwie besonders konfiguriert habe) hält bis jetzt alles ab was so an nicht stattfindenden angriffen stattfindet :p
nein, im ernst.. wozu der aufwand? 99,9%der viren&trojaner-attacken sind gegen windows-nutzer gerichtet, nicht an mac-user...
ich lebe bis jetzt recht gut ohne viren-proggi und zusätzliche firewall
(obwohls mich shcon iteressieren würde welche programme da so alles nach hause telefonieren wollen... aber damit kann ich eigentlich noch leben, da in der regel wohl wirklich nur nach updates gesucht wird..)
 
@maceis

Ein wenig Diskussion hat ja noch nie geschadet. :D

Deiner Definition stimme ich voll und ganz zu, ich wollte halt für das nicht so technische Publikum die Unterschiede zwischen beispielsweise ipfw und LittleSnitch aufzeigen, da mir das in den vorangegangenen Beiträgen doch etwas zu stark durcheinanderging.

BTW: Das Alerting kann LittleSnitch aber wirklich sehr nett, ebenso die Konfiguration "on the fly"

Morgen gerne mehr an dieser Stelle, jetzt muss ich schlafen

W
 
Original geschrieben von Woulion
@maceis

Ein wenig Diskussion hat ja noch nie geschadet. :D
...
Morgen gerne mehr an dieser Stelle, jetzt muss ich schlafen
...
Zum Vergrößern anklicken....
 

Über dieses Thema kann man diskutieren bis zur Erschöpfung ;)
Das Thema ist uferlos und da lernt man auch so schnell nicht aus.
Aber es waren ja nur links gefragt :D

Ne jetzt mal im ernst.
Im Grunde müsste man das etwas strukturieren.
1. Was macht eigentlich eine Firewall; welche Arten/Konzepte gibt es ?
2. Wann braucht man überhaupt eine Firewall (in welcher Umgebung, bei welcher Anbindung)
3. Wie muss ich meine Firewall eigentlich einstellen ?
4. Bin ich mit einer Firewall eigentlich "sicher" ?
5. Kann man meine Firewall austricksen ? - oder gar von außen "abschießen" ?
6. Finden überhaupt Angriffe auf "normale" Rechner statt (Stichwort: "Ich hab doch nix, was einen Hacker interessieren könnte")
...
...
97. Gute Nacht Woulion ;)

----
[edit]
... oder schränkt das die leistung von OS X ein?
Zum Vergrößern anklicken....
Jede Firewall verbraucht Resourcen. Ist doch klar.
Je mehr Regeln man hat ums so mehr Resourcen werden verbraucht.
Besonders dann, wenn die Reihenfolge der Regeln ungeschickt gewählt wurde.
Die Regeln müssen komplett im RAM gehalten werden.
Jedes Datenpaket muss durch die Regeln geschickt werden, bis eine passt.
Das verbraucht RAM, CPU und Zeit.

Aber keine Angst; Dein G5 packt das :D
[/edit]
 
Zuletzt bearbeitet:
Also im Grunde, falls man eine firewall will, nimmt man die interne (konfigurirt mit BrickHouse) + NetBarrier, oder die interne und littlesnitch. Ich denke das dürfte für meine Zwecke reichen....



Ich hoffe ich hab alles kapiert, und was ich da geschrieben hab ist richtig.
 
Original geschrieben von möchtegernmacer
Also im Grunde, falls man eine firewall will, nimmt man die interne (konfigurirt mit BrickHouse) + NetBarrier, oder die interne und littlesnitch. Ich denke das dürfte für meine Zwecke reichen....



Ich hoffe ich hab alles kapiert, und was ich da geschrieben hab ist richtig.
Zum Vergrößern anklicken....
 

Die interne ipfw und Netbarrier zusammen dürfte nicht funktionieren, da i. d. R. immer nur eine Firewall aktiv sein kann.
Sobald Du Netbarrier aktivierst, wirst Du auf die interne nicht mehr zugreifen können.
Das mach auch keinen Sinn und kann zu nicht kalkulierbaren Sicherheitslücken führen (Seiteneffekte).
Von der Frage wie das konfiguriert werden soll einmal ganz abgesehen (z. B in welcher Reihenfolge werden Pakete geprüft; wie wird mit widersprüchlichen Einstellungen umgegangen etc.).

Es gibt einige wichtige Unterschied zwischen der eingebauten ipfw und Programmen wie Netbarrier, den Du bei Deiner Entscheidung evtl. berücksichtigen solltest.

1. Die ipfw läuft im Kernel. Ihr ist damit kein "Prozess" zugeordnet, den man beenden kann.
Nachinstallierte Firewalls dagegen laufen als normaler Prozess und man kann Sie "abschießen" (z. b. mit besonders präparierten IP-Paketen).

2. Die ipfw ist Open Source. Man kann sich daher sicher sein, dass keine "versteckten" Funktionen integriert sind und dass Sicherheitslücken entdeckt werden.
Nachinstallierte Firewalls sind dagegen i. d. R. proprietäre Produkte.
Du misstraust z. b. Deiner Adobe Software, weil sie "nach Hause telefonieren" könnte.
Wer aber garantiert Dir, dass z. B. NetBarrier nicht nach Hause telefoniert.
So gibt es beispielsweise jede Menge Firmen, die am Sutfverhalten von Internetnutzern stark interessiert sind (und dafür bezahlen).

3. Duch den Einsatz einer proprietären Firewall Sofware setzt man sich m. E. der Gefahr von erheblichen Sicherheitslücken aus.
Wenn Du einbisschen liest, wirst Du herausfinden, dass etliche Firewallprogramme (die ja mit root-Rechten laufen müssen) von außen angreifbar sind und dadurch erst die Komprimitierung eines System ermöglichen.
Aber gut: Dafür blinkt ab nd zu mal was.

Falls Du noch mehr darüber lesen möchtest.
"Personal Firewalls" - Sinn oder Unsinn?
Hier ein Zitat:
Was sagen Fachleute zu Personal Firewalls?

Hier scheiden sich die Geister: Einige "Sicherheitsexperten" halten einige Personal Firewalls für die ultimative Methode zum Sichern des heimischen PCs, bekannte Hacker bezeichnen Nutzer dieser Systeme schlichtweg als Idioten.
Zum Vergrößern anklicken....

Little Snitch ist afaik kein PacketFilter Firewall, sonder ein Programm, dass den Aufbau von Netzwerk Sockets überwacht.
----
Die Entscheidung ist natürlich Deine Sache.
Wenn Du auf das gelegentlich Erscheinen einer Meldung stahst, die nach Sicherheit riecht, installier Dir was immer schön bunt ist.

Wenn Du was für die Sicherheit Deines Systems tun willst, sieh´zu, dass Du Deinen Rechner Deinen Bedürfnissen entsprechend richtig konfigurierst, lern´ ein wenig über Netzwerkdienste und vielleicht über die Möglichkeiten der ipfw und verwende eine sauber konfigurierten Router.

Was das nach Hause telefonieren angeht: wenn ein Hersteller das wirklich will, schafft er es auch. Die größten Probleme damit habe ohnehin die Kameraden, die Photoshop aus dem Netz zihen und Angst haben, dass sie erwischt werde.
 
@maceis:

die Kameraden, die Photoshop aus dem Netz zihen und Angst haben, dass sie erwischt werde.
Zum Vergrößern anklicken....

...nur um das klar zu stellen: Du hast damit natürlich nicht mich gemeint, denn ich habe mein PS legal in USA gekauft. Ich kanns nur zur Hölle nicht leiden, wenn eine SW was auch immer für Daten von meinem Rechner aus wohin auch immer hinschickt, basta. Nenn' es Paranoia, ich bin bisher gut gefahren damit.

Und noch etwas, wenn man die ganzen Fred's zum Thema hier liest, kommt es mir vor als wenn wir uns alle irgendwie einlullen so nach dem Motto "ich hab' einen Mac, mir kann ja nix passieren". Ich sage "Wachsam bleiben"! Paranoia eben.

--dryhabanero
 
Aber man sieht es wieder. Die Marketing-Abteilung von Symantec hat großartige Arbeit geleistet.

Das merke ich bei den meisten Windows-Usern, die eine solche FireWall installiert haben. Wenn da nicht alle 3 Minuten irgendetwas aufblinkt das irgendein Müll geblockt wurde, dann sind die nicht Glücklich. Bei Symantec wurde sogar herausgefunden das die FireWall standardmäßig nach einer gewissen Zeit ne Meldung ausgibt. Da braucht man kein Geld ausgeben. Die systeminternen Firewalls von den Betriebssystemen reichen mehr als aus und sind meist besser. Des weiteren halten die auch die Klappe und schreien einen nicht gleich bei jedem Müll an.

Das "nach Hause telefonieren" zu blocken finde ich auch witzig. Ich frag mich nur wie ihr lebt. Wenn ich mir das so vorstelle müsst ihr ja in einem Strahlenschutzbunker leben.

Weil wenn dann müsst ihr auch folgendes Betrachten:

- die Post (bzw. Postfrau/Postmann) weiß wo ihr irgendwas bestellt, wann ihr was nicht bezahlt habt, oder wann ihr Brief vom Finanzamt bekommt, etc.

- welchen Radiosender ihr eingeschaltet habt, lässt sich auch leicht herausfinden, dazu reicht es mal kurz vor eurem Haus zu parken

- euer Internet-Anbieter weiß, wann, wo und wie lange ihr im Netz wart

- welchen Fernseh-Sender ihr oft guckt ist genauso leicht rauszufinden wie mit dem Radio

- euer Handy ist auch ganz leicht zu orten. Hat jemand die Nummer, kann derjenige rausfinden wo du dich gerade aufhätlst, bzw. wo dein Handy gerade ist

- die US Regierung wertet sogar deine Online-Bestellungen (z.B. bei Amazon) aus, bevor du ins Land "darfst"

- dein Monitor-Kabel sendet genug Strahlung aus, dass man das Monitor-Bild noch in ein paar Metern Entfernung empfangen und auswerten kann.


Das sind mal nur ein paar Beispiele. Und da stört es euch wenn irgendein Programm mal kurz ne Meldung nach Hause schickt "ich bin hier, gibt´s was neues"?

Naja. Macht was ihr wollt.
 
Original geschrieben von -Nuke-

- welchen Radiosender ihr eingeschaltet habt, lässt sich auch leicht herausfinden, dazu reicht es mal kurz vor eurem Haus zu parken

- welchen Fernseh-Sender ihr oft guckt ist genauso leicht rauszufinden wie mit dem

- dein Monitor-Kabel sendet genug Strahlung aus, dass man das Monitor-Bild noch in ein paar Metern Entfernung empfangen und auswerten kann.
Zum Vergrößern anklicken....
 

Bei diesen 3 Punkten muss ich wiedersprechen:

Radio und Fernseher (terrestrischer Empfang) sind passive Empfangsgeräte, und lassen sich NICHT in dieser Weise "abhören". Wellen sind frei :)
Wenn das von dir beschriebene möglich wäre, müsste die GEZ keine Spione mehr von Haustür zu Haustür schicken.

Monitorkabel (normalerweise geschirmt) senden nicht genügend Strahlen aus...erst die Strahlung, die von der Elektronenröhre abgesendet wird reicht dafür aus.

Wer das selber mal in lustiger Weise ausprobieren will, googelt einfach mal nach "Tempest for eliza"

cu
Carsten
 
Original geschrieben von cla
 

Bei diesen 3 Punkten muss ich wiedersprechen:

Radio und Fernseher (terrestrischer Empfang) sind passive Empfangsgeräte, und lassen sich NICHT in dieser Weise "abhören". Wellen sind frei :)
Wenn das von dir beschriebene möglich wäre, müsste die GEZ keine Spione mehr von Haustür zu Haustür schicken.

Monitorkabel (normalerweise geschirmt) senden nicht genügend Strahlen aus...erst die Strahlung, die von der Elektronenröhre abgesendet wird reicht dafür aus.

Wer das selber mal in lustiger Weise ausprobieren will, googelt einfach mal nach "Tempest for eliza"

cu
Carsten
Zum Vergrößern anklicken....

Zum TV/Radio. Ich habe mal im TV was darüber gesehen. Das geht irgendwie über die Rückstrahlung vom Radio, bzw. TV-Empfänger. Das die GEZ das nicht macht, liegt wohl daran das es illegal ist. ;) Alles was du in deiner Wohnung machst ist dir überlassen. Sie ist unverletzlich. Darum kannst du die GEZ auch vor der Tür stehen lassen. ;)

Zum Monitor. Oder so, ist ja auch egal. Aber es geht. :)

Gerade deswegen finde ich es komisch das sich jemand um ein paar Programme sorgen macht.
 
Monitorkabel (normalerweise geschirmt) senden nicht genügend Strahlen aus...erst die Strahlung, die von der Elektronenröhre abgesendet wird reicht dafür aus.
Zum Vergrößern anklicken....

Ich denke, dass das etwas schwierig wird, wenn man mehr als einen Monitor in der Umgebung hat, denk zum Beispiel mal an einen Wohnblock.... Also ich möchteden jenigen sehen, der bei 10 oder 20 eingeschalteten Monitoren deinen herausfiltern kann...
 
Original geschrieben von möchtegernmacer
Ich denke, dass das etwas schwierig wird, wenn man mehr als einen Monitor in der Umgebung hat, denk zum Beispiel mal an einen Wohnblock.... Also ich möchte den jenigen sehen, der bei 10 oder 20 eingeschalteten Monitoren deinen herausfiltern kann...
Zum Vergrößern anklicken....
 

Bei Sichtverbindung ist das Monotorbild auch von der Rückseite noch aus mehreren hundert Metern abzugreifen. Aber das nur am Rande.

Das nach Hause telefonieren dient (zumindest bei Adobe) nicht zur Suche nach Updates (das gibts auch, ist aber IMHO mehr eine Alibi-Funktion) sondern zum Übemitteln der Seriennummer.
Bei geschätzten 30-40% illegaler Nutzung zwar nicht schön, aber irgendwo verständlich.
Wer sich mit der ipfw auskennt, kann das trotzdem unterbinden.

Die Ausführungen von -Nuke- sind IMHO nicht von der Hand zu weisen.

Die Entwicklung dieses Freds bestätigt außerdem meine Beobachtung, dass es bei diesem Thema früher oder später immer zu höchst emotionalen Reaktionen kommt :D
 
Es ist eben auch ein recht emotionaler Gedanke zu meinen, irgendjemand könnte mich erwischen etwas unantsändiges getan zu haben. Und wer hat nicht mindestens ein "illegales" Progrämmchen auf der Platte.

Da hilft nur die Devise: gelobt sei was hart macht

oder: die sollen doch erst mal kommen und mir mein unregistriertes StuffIt abnehmen.

Die Emotion kommt meineserachtens von dem Gedanken, wir seien gar nicht so frei und unbeobachtet wie wir denken und da kann man wirklich schon Angst bekommen,

aber: gelobt sei was hart macht.

Ich erinnere mich noch an den Volklzählungsboykott vor 20 oder 30 Jahren in D, wo man irgendeine Nummer mit der Person verankern wollte. Hier in Spanien hat jeder eine Kennummer (Documento Nacional de Identificación) und wenn du ein Einschreiben bei der Post aufgibst, musste nur diese Nummer als Absender angeben, und wenn du beim Zahnarzt 'ne Sitzung hast, will der nur deine Nummer registrieren, und, und

Was also wollen wir machen: gelobt sei....

und Nieder mit allen FeuerWänden
 
Habe seit einem Monat den NetBarrier installiert, läuft problemlos.Interessant ist wieviele Portscanns es in diesem ersten Monat gegeben hat und wie schön man diese mit ner Traceroute verfolgen und den entsprechenden Server auf eine Sperrliste setzen kann......
 
Macpain schrieb:
Habe seit einem Monat den NetBarrier installiert, läuft problemlos.Interessant ist wieviele Portscanns es in diesem ersten Monat gegeben hat und wie schön man diese mit ner Traceroute verfolgen und den entsprechenden Server auf eine Sperrliste setzen kann......
Zum Vergrößern anklicken....

Auch wenn dieser Thread schon etwas asbach ist...

Was ist an Portscans denn so "böses"? Und pass mal auf, das du dir nicht damit selbst ins Bein schießt, wenn du die Rechner auf eine Sperrliste setzt.

1. sind die Rechner von denen aus gescannt wird meist keine Server, sondern willkürliche Clients, die sich über einen normalen Dial-In-Provider eingewählt haben...in ein paar Minuten kann also die entsprechende IP schon jemand ganz anderen gehören, der damit gar nichts mehr zu tun hat. Es ist also die Arbeit nicht wert, jede entsprechende IP in eine Blacklist aufzunehmen.

2. wer garantiert dir, das der Scanner seine eigene IP verwendet? Vielleicht will er dich bloß ärgern, und fälscht diese. Er könnte z.B. die IP deines Routers beim Provider verwenden...dann sperrst du dich selber aus.

cla
 
Zurück
Oben Unten