macOS Firewall uitgelegd: Wat het echt doet

De ingebouwde macOS-firewall is een applicatielaag-firewall die inkomende netwerkverbindingen filtert. Wanneer ingeschakeld, kan hij:

Alle inkomende verbindingen blokkeren behalve die voor basis internetdiensten (DHCP, Bonjour, IPSec). Toestaan dat bepaalde gedeelde apps verbinding maken. De stealth-modus activeren, die voorkomt dat je Mac reageert op ping-verzoeken en poortscans.

Dit beschermt tegen externe bedreigingen: iemand in hetzelfde netwerk die toegang wil tot je Mac, geautomatiseerde poortscanners en kwaadaardige verbindingspogingen. Daar werkt hij goed voor.

Wat de macOS-firewall NIET doet: hij bewaakt, filtert of blokkeert geen uitgaande verbindingen.

Dat betekent dat elke app op je Mac vrij is om:

• Zich te verbinden met elke server wereldwijd
• Onbeperkt gegevens te sturen
• trackers, analytics-diensten en advertentienetwerken te contacteren
• Telemetrie, gebruiksgegevens en apparaat-informatie te verzenden
• Naar de server van de ontwikkelaar te bellen

De firewall stopt dat niet. Hij waarschuwt je niet. Hij logt het niet eens. Apple heeft de macOS-firewall ontworpen voor netwerkbeveiliging (aanvallen voorkomen), niet voor privacy (datadiefstal voorkomen).

Apple zou uitgaande firewallbediening aan macOS kunnen toevoegen, maar kiest daar om goede redenen niet voor. Een strikte uitgaande firewall zou bij de eerste start van veel apps in de weg zitten: stel je voor dat elke nieuwe app je vraagt om verbindingen naar 10 tot 20 domeinen toe te staan. Het zou ook botsen met Apple’s eigen services, die regelmatig contact opnemen met Apple-servers voor iCloud, App Store, Siri en analyses.

Apple kiest er in plaats daarvan voor om privacy te reguleren via beoordelingsbeleid voor de App Store en privacylabels. Maar zoals we hebben gezien, worden privacylabels door ontwikkelaars zelf ingevuld en zijn ze vaak onnauwkeurig.

Om je Mac goed te beschermen, heb je zowel inkomende als uitgaande firewallbescherming nodig:

Laat de macOS-firewall voor inkomende bescherming ingeschakeld. Het is gratis, ingebouwd en doet waarvoor het bedoeld is.

Voeg een per-app firewall van derden toe voor uitgaande controle. Tools zoals NetMute monitoren elke uitgaande verbinding, identificeren welke app deze heeft geïnitieerd en laten je per app blokkeren of toestaan. NetMute gaat nog verder met tracker-detectie en privacy-score.

Deze twee-laags aanpak dekt beide richtingen af.

Hier is de aanbevolen netwerkbeveiligingsinstelling voor elke Mac-gebruiker:

1. Schakel de macOS-firewall in (Systeeminstellingen → Netwerk → Firewall → Aan). Schakel de stealthmodus in voor extra bescherming.

1. Installeer een firewall per app zoals NetMute voor controle over uitgaand verkeer en privacybewaking.

1. Gebruik een VPN op onbetrouwbare netwerken voor encryptie.

1. Stel netwerkprofielen in: verschillende beveiligingsniveaus voor thuis, werk en openbare wifi.

Deze combinatie biedt: inkomende bescherming (Apple), uitgaande controle (NetMute) en encryptie (VPN).