löchrige leopard firewall

Ansonsten, such mal bei macupdate.com nach fwbuilder, das Programm kann Dir dann auch noch auf die Beine helfen...

macupdate sagt: No results for "fwbuilder". Doch dafür gibt es noch dies: http://www.fwbuilder.org/ Aber ehrlich gesagt, das sieht mir aus, als bräuchte ich ein Programmierstudium um eine Firewall einzustellen. Läßt sich als Alternative auch dieses Intego Firewall Dingens einsetzen?

domeru
 
Viel spannender wie die Aussagen "OSX ist sicher", "Du brauchst Dir keine Sorgen machen" oder so was in der Art, ist die Art und Weise, wie Heise das geprüft hat.

Da seid ihr "Helden" noch nicht drauf gekommen, oder? :cool:

Alles "Tests" sind im lokalen Netz durchgeführt worden. Nix im Internet. Die Zeitangabe über den NTP-Daemon ist so was von harmlos und uninteressant.

Ich habe eben mal zwei Tests durchgeführt, übrigens mit dem Heise-Netzscan, also dem LFD-Niedersachsen-Derivat. Nichts war zu sehen, gar nichts.

ich hab es auch getestet mit dem dem timeserver, das funktioniert auch ausserhalb des lokalen netzes...
es geht übrigens nicht darum, dass die zeitangabe über den daemon harmlos ist, sondern eher ob man nicht z.b. durch das query an den NTP schicken das system durch puffer-überläufe kompromittieren kann...
 
  • Gefällt mir
Reaktionen: Wolfsbein
Eine grobe Nachlässigkeit von Apple.

Dienste haben einfach nichts im Internet zu suchen und schon gar nicht sowas wie nen ntpd. Der braucht nicht nach außen lauschen. Besondersx, weil das einfach unnütz ist auf nem normalen PC. Kombiniert man das ganze mit der oben angesprochenen Anitversionswut, können sich da schon leicht Sicherheitslücken finden. Die durch die alte Version natürlich schon länger bekannt sind.

So langsam sollten den Leuten auffallen, dass MacOSX nicht per se sicher ist.

Und Sandboxing scheint auch nicht das wahre zu sein. Besonders, weil es nach Aussagen hier im Forum nicht wirklich vernünftig ist. Ich bin gespannt, bis das jemand mal auseinandernimmt.
 
wenn man solche sachen liest wie:

"Mit der neuen Version seines Betriebssystems Max OS X hat sich Apple auch intensiv der Sicherheit gewidmet und vorab erste Features vorgestellt.

Insgesamt meldet Apple kurz vor der Einführung von Mac OS X Leopard elf besondere Verbesserungen, die die Sicherheit des Betriebssystems erhöhen sollen.

. Eine Anwendungs-basierte Firewall soll es dem Nutzer erlauben, die Zugangsrechte jeder einzelnen Anwendung individuell festzulegen. Auch werden alle Anwendungen entweder von Apple oder einem Third-Party-Entwickler signiert sein."

Da wird einem schon ein wenig mulmig. Was ist mit den anderen Security featuren? Ähnliche qualität?

http://www.silicon.de/enid/security_management/30585
 
Und Sandboxing scheint auch nicht das wahre zu sein.

Zumal der Feld-, Wald- und Wiesen-User schnell überfordert sein dürfte, wenn er beurteilen soll, welche Anwendung welche Rechte haben soll.

Für ein userfreundliches System empfehlen sich immer vernünftige Grundeinstellungen, die weiteres Nachdenken überflüssig machen - das hat bei 10.4 gut funktioniert, finde ich.

Ansonsten werden wir jetzt wohl in der Realität willkommen geheißen ... :D
 
@ domeru: Was die Integofirewall betrifft:

Nur so als Beispiel für ausgehenden Netzwerkverkehr: Ich habe auf meinem PPC-Mac mal Integos Netbarrier unter Leo installiert und dann Virtual PC (7.0.3) gestartet. Das verbindet sich mit dem Internet, ohne daß Intego oder auch Little Snitch einen Laut von sich geben. Nice.
 
Ich bin jetzt nicht so der Sicherheitsexperte.

Aber ist es nicht besser diese Aufgabe von dem Router erledigen zu lassen? Sagt man doch immer.

Wieso sollte es hier ander sein, als bei Windows?
 
Apropos laufende Dienste.
Hier mal ein Screenshot von mir, nachdem ich die automatische Zeiteinstellung abgeschaltet habe. Wie kann ich eigentlich dieses Printersharing ausschalten (ist nicht aktiviert in den Systemeinstellungen)? Der 5353 hat was mit Domainnamen zu tun, oder nicht? Und für was war nochmal der 49152 gut? (da steht ja gar nichts dazu)

In den Verzeichnisdiensten ist ja nur ein ldap-Dienst abwählbar. Ich erinnere mich nicht mehr, aber hatte man unter Tiger dort nicht mehr Optionen?
 

Anhänge

  • NetBarrier X4Schnappschuss001.jpg
    NetBarrier X4Schnappschuss001.jpg
    10,8 KB · Aufrufe: 151
Jetzt passiert genau das, was ich befürchtet habe.

Ein jeder, der sich unsicher fühlt, schließt alle Dienste, die er genannt bekommt, oder wo er selbst meint, dass er sie nicht braucht.

Ohne Rücksicht auf Verluste.

Nur mal so, neben bei, den IPP brauchst Du spätestens dann, wenn Du im lokalen Netzwerk drucken willst und den Drucker über das IPP angebunden hast. IPP heißt nicht anderes wie "InternetPrintProtokoll" (Sinngemäß).

Der Mac unter OSX arbeitet als Unix-System, also muss auch die entsprechenden Gegebenheiten beachtet werden, da gehört es auch dazu, dass der IPP läuft, sonst ist kein drucken im Netzwerk möglich. Der Mac arbeitet, wie auch das große böse Internet, mit TCP/IP, beide haben die selbe Adressirrung, beide haben die selben Dienste.

Und wenn ich mir die Dienste und Ports bei mir ansehe (immer noch die Standard-Installation ohne "Besonderheiten", fällt mir nicht wirklich etwas ungewöhnliches auf:

Active Internet connections (including servers)
Proto Recv-Q Send-Q Local Address Foreign Address (state)
tcp4 0 0 localhost.ipp *.* LISTEN
tcp6 0 0 localhost.ipp *.* LISTEN
udp4 0 0 *.rockwell-csp2 *.*
udp4 0 0 *.* *.*
udp4 0 0 192.168.1.10.ntp *.*
udp6 0 0 Macintosh.ntp *.*
udp6 0 0 localhost.ntp *.*
udp4 0 0 localhost.ntp *.*
udp6 0 0 localhost.ntp *.*
udp6 0 0 *.ntp *.*
udp4 0 0 *.ntp *.*
udp6 0 0 *.mdns *.*
udp4 0 0 *.mdns *.*
udp4 0 0 *.* *.*
icm6 0 0 *.* *.*

Bevor ihr Euch verrückt macht, schaut einfach mal über einen Portscan auf euer System, was nun wirklich als "offen" gemeldet wird:

Heise Port-Scan. Der Dienst ist leider vom LFD verschwunden und wird in Zusammenarbeit mit Heise weitergeführt...

Wenn jemand einen genaueren und ausführlicheren Test machen möchte, sollte mal bei www.port-scan.de vorbei schauen...

Macht Euch doch mal nicht so verrückt, ihr seit doch (weitestgehend alle hinter einem Router, der leistet schon gute Dienste, wenn er halbwegs sauber konfiguriert ist (was bereits vom Hersteller vorgenommen ist).
 
Mach mit Nmap einen Scan von außen, bei mir z.B. ist der Kerberos Port 88 von aussen erreichbar.
 
Zuletzt bearbeitet:
@ domeru: Was die Integofirewall betrifft:

Nur so als Beispiel für ausgehenden Netzwerkverkehr: Ich habe auf meinem PPC-Mac mal Integos Netbarrier unter Leo installiert und dann Virtual PC (7.0.3) gestartet. Das verbindet sich mit dem Internet, ohne daß Intego oder auch Little Snitch einen Laut von sich geben. Nice.

Sehr interessant. Nur sag mir doch bitte noch, ob dieses Verhalten jetzt Leo spezifisch ist, oder auf Tiger auch schon so war.

domeru
 
"...Wer also auf Nummer sicher gehen will, schaltet die Firewall lieber richtig scharf und wählt die Option "Alle eingehenden Verbindungen blockieren" -- in der Hoffnung, dass dies auch wirklich alle eingehenden Anfragen an Netzwerkdienste abweist..."

macht ihr man..
 
Sehr interessant. Nur sag mir doch bitte noch, ob dieses Verhalten jetzt Leo spezifisch ist, oder auf Tiger auch schon so war.

domeru
Das war auch schon beim Tiger so und würde mich sehr wundern, wenn es anders wäre.

Das MacOSX gibt die Netzwerk-Verbindung zu VirtualPC direkt durch...
 
"...Wer also auf Nummer sicher gehen will, schaltet die Firewall lieber richtig scharf und wählt die Option "Alle eingehenden Verbindungen blockieren" -- in der Hoffnung, dass dies auch wirklich alle eingehenden Anfragen an Netzwerkdienste abweist..."
Nicht wirklich Sinnvoll, damit wird der Rechner von der Außenwelt abgeschnitten.

Wenn schon so extrem, dann müssten alle Verbindungen, die von Innen etabliert sind, auch von außen zugelassen werden. Aber im Prinzip ist die Vorgehensweise schon richtig ;)
 
Nach ein wenig stöbern habe ich folgendes gefunden:

Waterroof

Ein Frontend, dass eine individuelle Konfiguration der internen Firewall erlaubt. Wer sich also probieren will, hier ist ein Tool, dass zumindest ein wenig Starthilfe gibt, auch wenn dennoch ein erhebliches Maß an wissen sinnvoll ist ;)
 
Kleiner Nachtrag von mir:

Für Waterroof habe ich auch ein Regelwerk, dass über den Menüpunkt "Tools/Rules Configuration/Import rules from file" eingebunden werden kann.

Die folgenden Zeilen einfach als reine Text-Datei auf dem Desktop speichern und dann importieren. ;)

add 01000 allow ip from any to any via lo0
add 01000 allow ip from any to any via lo0
add 01010 deny log ip from any to 127.0.0.0/8
add 01010 deny log ip from any to 127.0.0.0/8
add 01011 deny log ip from 127.0.0.0/8 to any
add 01011 deny log ip from 127.0.0.0/8 to any
add 02100 deny log ip from 224.0.0.0/3 to any in
add 02100 deny log ip from 224.0.0.0/3 to any in
add 02101 deny log tcp from any to 224.0.0.0/3 in
add 02101 deny log tcp from any to 224.0.0.0/3 in
add 02200 allow udp from any 5353 to any via en*
add 02200 allow udp from any 5353 to any via en*
add 02201 allow ip from any to 224.0.0.251 via en*
add 02201 allow ip from any to 224.0.0.251 via en*
add 02500 check-state
add 02500 check-state
add 02520 deny ip from any to any frag in
add 02520 deny ip from any to any frag in
add 02530 deny tcp from any to any established in
add 02530 deny tcp from any to any established in
add 02550 reset tcp from any to any dst-port 113 in
add 02550 reset tcp from any to any dst-port 113 in
add 02600 allow udp from any 67-68 to any dst-port 67-68
add 02600 allow udp from any 67-68 to any dst-port 67-68
add 02610 allow udp from any to 255.255.255.255 dst-port 67-68
add 02610 allow udp from any to 255.255.255.255 dst-port 67-68
add 02630 allow icmp from any to any icmptypes 3,4
add 02630 allow icmp from any to any icmptypes 3,4
add 02631 allow icmp from any to any icmptypes 0,11 in
add 02631 allow icmp from any to any icmptypes 0,11 in
add 02632 allow icmp from any to any icmptypes 8 out
add 02632 allow icmp from any to any icmptypes 8 out
add 03000 allow udp from any 1024-65535 to any dst-port 53 out keep-state
add 03000 allow udp from any 1024-65535 to any dst-port 53 out keep-state
add 03010 allow udp from any to any dst-port 1024-65535,123 out keep-state
add 03010 allow udp from any to any dst-port 1024-65535,123 out keep-state
add 03020 allow tcp from any to any dst-port 21 out setup keep-state
add 03020 allow tcp from any to any dst-port 21 out setup keep-state
add 03500 allow tcp from any to any out setup keep-state
add 03500 allow tcp from any to any out setup keep-state
add 03501 allow ip from any to any out keep-state
add 03501 allow ip from any to any out keep-state
 
  • Gefällt mir
Reaktionen: franz_steidl
Das dazugehörige Firewall-Script habe ich im Netz gefunden:

Firewall-Script
 
Zuletzt bearbeitet von einem Moderator:
Das MacOSX gibt die Netzwerk-Verbindung zu VirtualPC direkt durch...
Das kommt darauf an was man in VirtualPC eingestellt hat. Bei der Einstellung "Virtueller Switch" ist es so wie Du geschrieben hast. Bei Der Einstellung "Gemeinsam genutztes Netzwerk" tritt Mac OS X wie ein Hardware-Router auf. Dann bekommt das Windows seinen eigenen IP-Bereich. Allerdings hatte ich in letzter Zeit festgestellt, dass es damit Probleme gibt, denn Datenübertragungen zwischen dem Windows und meinem Subversion-Server brachen immer wieder ab, während es in der Einstellung "Virtueller Switch" funktioniert.

Meine Regeln für ipfw, um Windows in der Einstellung "Gemeinsam genutztes Netzwerk" den Internetzugang zu verbieten ist
Code:
00010 skipto 51 tcp from 192.168.0.0/16 to 192.168.0.0/16 dst-port 29000-29500
00011 skipto 51 udp from 192.168.0.0/16 to 192.168.0.0/16 dst-port 29000-29500
00012 deny tcp from any to any dst-port 29000-29500
00013 deny udp from any to any dst-port 29000-29500

EDIT: Ich hatte übrigens in der Nacht noch dem Autor geschrieben und dieser hat mir sogar noch in der Nacht kurz darauf geantwortet. Allerdings bin ich seine Antworten noch nicht ganz durchgegangen, da ich noch nicht alles verifizieren konnte.
 
Das kommt darauf an was man in VirtualPC eingestellt hat. Bei der Einstellung "Virtueller Switch" ist es so wie Du geschrieben hast. Bei Der Einstellung "Gemeinsam genutztes Netzwerk" tritt Mac OS X wie ein Hardware-Router auf. Dann bekommt das Windows seinen eigenen IP-Bereich.
Und bei der Einstellung "Gemeinsam genutztes Netzwerk" tritt OSX als Router auf und die Firewall nimmt wieder ihre Arbeit auf ;)
 
Zurück
Oben Unten