将 Mac 直接放在互联网上是否安全？

Question

过去，我一直在 Windows PC 和互联网之间运行 NAT 路由器。我想知道我是否仍然需要这个，或者 OSX 防火墙是否足以让我将 Mac 直接放在互联网上。

Answer 1

虽然我不介意将我的 Mac 连接到任何网络，但我没有明确的答案。不过，有些注释太长而无法发表评论：

OS X 内置防火墙是一个应用程序防火墙：接受传入连接是按应用程序授予的，而不是按端口授予的。一旦获得许可，应用程序可以打开它喜欢的任何端口，但我想这对于您信任的软件来说不是问题。此外，它仅适用于传入连接：始终允许所有传出连接（但对于 NAT 防火墙也是如此）。根据 Apple 的“ Mac OS X 10.5 Leopard：关于应用程序防火墙”：

所有已由系统 [..] 信任的证书颁发机构进行数字签名的应用程序 [..] 都被允许接收传入连接。Leopard 中的每个 Apple 应用程序都经过 Apple 签名并允许接收传入连接。

在 10.6 中，后者变得更加明确（并且可以禁用）为“自动允许签名软件接收传入连接。允许由有效证书颁发机构签名的软件提供从网络访问的服务。 ”：

因此，即使防火墙处于活动状态，默认情况下，您运行的每个类似服务器的 Apple 应用程序都允许接受传入连接。（或者，也许在 10.6 中它甚至适用于任何签名的应用程序？）此类软件中的错误可能会危及您的计算机。我不知道这会如何影响 Bonjour 和文件共享等内容。

如果防火墙处于活动状态，则任何非 Apple 软件（或至少是未签名的软件）首先需要您的许可才能接受传入连接。当此类软件更新时，它可能会也可能不会再次需要您的许可：

签名的应用程序 [..] 可以从数学上证明它确实是您过去表示信任的同一供应商的同一应用程序的新版本。结果是要求您确认选择的对话框结束，您无法通过合理方式验证其安全性。

Answer 2

当然，人们可以继续讨论理论上没有什么是安全的，永远，以及所有这些。

但出于实际目的，是的，将 Mac 直接放在 Internet 上通常是足够安全的。（每个人都这样做 - 好吧，无论如何，大多数人- 而且不太可能发生任何不好的事情。）特别是如果您没有在您的机器上打开任何额外的服务（如 httpd 等）。

也就是说，请（让自动更新程序）使用最新的安全修复程序让您的 Mac OS X 始终保持最新状态，并检查其内置防火墙是否已启用。