firewall per app su Mac

a chi serve un firewall per singola app

il motivo tipico è notare che un programma parla con internet più di quanto dovrebbe: un'utility che chiama un server di licenze a ogni avvio, un aiutante in background che sincronizza qualcosa che nessuno ha chiesto, un gioco che raggiunge indirizzi che non c'entrano col giocarci. macOS stesso non dice quali programmi sono connessi in questo momento, né dove: la scheda rete del Monitoraggio Attività mostra byte trasferiti, non indirizzi.

l'altro motivo è voler mettere la regola in anticipo: bloccare un server per un programma di cui non ti fidi del tutto, o togliere del tutto la rete a un programma installato ma inutilizzato, senza toccare router, dns o una vpn che coinvolgerebbe tutto insieme.

cosa mostra, e cosa fa un clic

ogni programma che si è collegato compare in un elenco con gli indirizzi che ha raggiunto. un clic sull'etichetta del programma lo taglia dalla rete per intero; aprilo, e un singolo indirizzo può essere bloccato da solo — un controllo di licenza, per esempio, mentre il resto del suo traffico continua a passare. una regola di indirizzo vince sempre su quella del programma, quindi un'eccezione non richiede di riaccendere tutto l'interruttore.

una regola non ha bisogno che il programma si sia già collegato. ogni app installata compare nell'elenco, si sia già collegata oppure no, quindi un programma può essere bloccato prima ancora di averne l'occasione.

• blocca un intero programma, o un suo solo indirizzo, con un clic
• imposta una regola prima ancora che un programma si colleghi — sceglilo dall'elenco o dalla cartella Applicazioni
• carica un elenco di indirizzi da un file (uno per riga, o un file hosts) e bloccali per tutti i programmi in una volta — una riga può anche indicare un programma: `com.example.app license.example.com`
• salva le regole attuali di nuovo in un file
• ordina l'elenco per comparsa, per nome, o dal più recente

il giro completo — cosa significa ogni etichetta e sezione della finestra — è nell'istruzione, nella tua lingua: blocco del traffico nell'istruzione

come funziona il filtro stesso

hop fa questo con il filtro di rete che macOS offre proprio per questo compito — un'estensione di sistema, della stessa categoria su cui sono costruiti LuLu e Little Snitch. la prima volta che il modulo parte, macOS ti chiede di consentirlo nelle impostazioni di sistema; è una finestra di sistema una tantum, che hop non può saltare né approvare in anticipo.

il filtro decide al primo pacchetto di una connessione e non guarda mai dentro: blocca un server intero, mai una sua pagina, perché è quanto in profondità può vedere un filtro che agisce a livello di connessione. se il filtro si ferma, per un aggiornamento di macOS, un blocco, qualsiasi cosa, internet continua a funzionare; nulla viene bloccato finché il filtro non torna. disattivare il modulo nelle impostazioni ferma proprio i tuoi blocchi, non l'accesso alla rete del tuo Mac.

la descrizione di Apple stessa del framework di estensioni di rete su cui si basa questo tipo di app (pagina in inglese): Network Extension, Apple Developer documentation

discreto di default, e una richiesta facoltativa

il modulo è attivo di default e non blocca nulla da solo: senza regole impostate, ogni connessione passa esattamente come senza hop installato. non porta con sé nessun elenco di tracker o server pubblicitari da bloccare in anticipo, e non inizierà a tagliare programmi in silenzio — ogni blocco nell'elenco lo hai messo tu.

chiedere per le nuove connessioni è un'impostazione a parte, disattivata di default. attivata, una scheda in alto a destra chiede per una connessione che nessuna regola copre — solo per quell'indirizzo, o per tutto il programma — invece di lasciare che hop decida da solo.

cosa non è, e dove sta il limite

hop non è una vpn e non instrada né ispeziona il tuo traffico lungo il tragitto: una connessione o passa senza modifiche, o viene rifiutata al primo pacchetto. non può filtrare per url o pagina dentro una connessione cifrata — https nasconde tutto ciò che sta oltre l'indirizzo del server, quindi «blocca solo questa pagina» non è una regola che questo tipo di filtro può esprimere, né su hop né su un firewall per app costruito allo stesso modo.

non è nemmeno un blocco dns né un filtro di contenuto per quel che mostra una scheda del browser: quelli funzionano risolvendo o riscrivendo i nomi, un altro livello con altri compromessi. e non raccoglie nulla di ciò che vede: l'elenco degli indirizzi e le regole che imposti restano su questo Mac.

frequently asked questions

hop vede o salva il mio traffico?

no. il filtro decide al primo pacchetto di una connessione e non guarda mai dentro; hop non decifra nulla, e l'elenco degli indirizzi resta su questo Mac.

è la stessa cosa di una vpn?

no. hop non instrada nulla e non ha server. o lascia passare una connessione senza modifiche, o la blocca al primo pacchetto — quel che succede dentro una connessione consentita non lo vede né lo tocca.

può bloccare un indirizzo senza bloccare tutta l'app?

sì. apri il programma per vedere i suoi indirizzi, e bloccane uno qualsiasi da solo — una regola di indirizzo vince sempre sull'interruttore del programma stesso.

cosa succede se il filtro di rete smette di funzionare?

il tuo internet continua a funzionare. nulla viene bloccato finché il filtro non torna, e disattivare il modulo ferma solo i blocchi che hai impostato — mai l'accesso alla rete del tuo Mac.

devo autorizzare qualcosa perché funzioni?

una volta sola. la prima volta che il modulo parte, macOS chiede di consentire il filtro di rete di hop nelle impostazioni di sistema — la stessa richiesta una tantum che serve a qualsiasi firewall per app di questo tipo.

rallenta internet?

il filtro deve guardare solo il primo pacchetto di ogni nuova connessione, non il traffico in sé, quindi i trasferimenti in corso non vengono toccati.

in cosa differisce da LuLu o Little Snitch?

la stessa idea, e sotto lo stesso tipo di filtro di macOS. la versione di hop vive nella barra dei menu accanto ai suoi altri moduli invece che come app a sé, e mantiene gli stessi limiti: blocca server interi, mai pagine, e non decifra nulla.