Little Snitch su Mac: a cosa serve davvero un firewall applicativo

Il firewall integrato di macOS protegge il Mac da ciò che arriva. Little Snitch protegge il Mac da ciò che parte. È una differenza di una riga, e apre un capitolo intero: per anni gli utenti Mac hanno ignorato le connessioni in uscita perché «tanto non c'è malware», e per anni quella frase è stata falsa — dal trojan Flashback in poi. Questa guida spiega a cosa serve un firewall applicativo, come configurarlo senza impazzire, e cosa imparare dalle connessioni che rivela.

Due firewall, due domande

Il firewall di sistema, quello nelle Preferenze, filtra le connessioni in entrata: decide chi può bussare alle porte del computer. Funziona bene, ma la maggior parte del software moderno non aspetta di essere contattato — chiama casa. Aggiornamenti, telemetria, sincronizzazione, pubblicità, e sì: anche malware. Un firewall applicativo in uscita risponde a una domanda diversa: «questa app, può parlare con quel server?». Le due difese si completano; nessuna delle due è sostitutiva dell'altra.

Cosa fa Little Snitch

• Regole per applicazione e per destinazione: non «Safari sì o no», ma «Safari può parlare con questi domini, questi no»;
• modalità silenziosa: nega tutto ciò che non è esplicitamente permesso — la configurazione più sicura per chi parte seria;
• indicatore nel menu: un ago che mostra il traffico in tempo reale, e un clic per vedere chi lo genera;
• istantanee di rete: la mappa completa di processi, connessioni e server, con risoluzione dei domini;
• scadenza delle regole: i permessi possono durare «questa volta», «oggi», «finché non revoco» — l'opposto del sì per sempre.

Un'ora con Little Snitch è un corso di networking

Il primo effetto dell'installazione è di solito lo stupore: l'applicazione per gli appunti che contatta un server di analisi, il lettore PDF che «invia statistiche», il software libero che scarica componenti. Nessuna congiura: è l'ecosistema attuale, fatto di telemetria di progetto. Ma la differenza tra saperlo e non saperlo è la differenza tra decidere e subire. Con il tempo si impara il pattern sano di ogni app che si usa — e si riconosce subito l'anomalia, il processo che parla quando non dovrebbe, la destinazione che non c'entra nulla con il programma.

Il primo giorno è il più rumoroso: ogni applicazione chiede, e la tentazione di dire sempre sì per farlo finire è forte. Il metodo che funziona: concedere con scadenza breve («questa volta») tutto ciò che sembra legittimo, e promuovere a permanenti solo le regole che ritornano. Nel giro di un weekend avrete una mappa reale delle comunicazioni — e la sorpresa di quanti processi parlano senza necessità apparente.

Alternative e integrazioni

Little Snitch è un prodotto commerciale maturo, con prova gratuita completa; non è l'unica via. LuLu, di Objective-See, è un firewall in uscita gratuito e open source, essenziale e affidabile, perfetto per chi vuole la domanda «chi parte?» senza il macchinario completo. Chi desidera solo la osservazione può cominciare con gli strumenti inclusi — Monitoraggio Attività mostra le connessioni socket per processo — e passare al firewall quando vuole agire, non solo guardare. L'approccio consigliato: osservare una settimana, poi decidere le regole.

Configurazione consigliata

1. partire in modalità «chiedi» per qualche giorno, per mappare le proprie abitudini;
2. creare regole permanenti solo per i domini funzionali (aggiornamenti del vendor, sincronizzazione scelta);
3. negare per impostazione predefinita tutto l'analitics e la telemetria che non serve;
4. rivedere le regole ogni pochi mesi: il software cambia, e le eccezioni invecchiano male;
5. documentare le eccezioni fatte per lavoro: sono le prime a essere dimenticate e le ultime a essere giustificate.

E quando il sospetto riguarda il sito web più che il computer, il discorso cambia registro: le intrusioni lato server si affrontano con il protocollo per gli account di hosting violati e per i WordPress compromessi.