Rischi e misure di protezione

Comprendi a chi concedi accesso, dove inizia e finisce la cifratura e cosa verificare prima di condividere una connessione o modificare la rete.

Esposizione di rete e autenticazione

Rischi dell’ascolto su 0.0.0.0

0.0.0.0 ascolta su tutte le interfacce IPv4, non solo sulla rete Wi-Fi attuale. Non rende di per sé la porta pubblica su Internet: l’accessibilità dipende da inoltro porte, firewall e routing. Senza autenticazione, un servizio raggiungibile può diventare un proxy aperto: terzi possono consumare banda, accedere alle risorse raggiungibili dal Mac o dalle rotte proxy e causare abusi associati al suo IP pubblico. Preferisca un indirizzo privato specifico. Se serve 0.0.0.0, attivi l’autenticazione e limiti gli indirizzi di origine tramite firewall. Non esponga direttamente la porta HTTP/SOCKS non cifrata a una rete non attendibile. L’autenticazione da sola non cifra la connessione.

Rischi senza autenticazione

Senza autenticazione, qualsiasi client ammesso dai controlli di accesso della porta può usare il proxy senza credenziali. Un indirizzo privato o la stessa rete Wi-Fi non garantiscono affidabilità; le richieste non possono essere attribuite con certezza ai singoli utenti. Terzi possono consumare banda o accedere alle risorse raggiungibili e gli abusi possono essere associati al suo IP pubblico. Attivi l’autenticazione, salvo accesso rigorosamente limitato a dispositivi fidati in una rete isolata.

Inoltri e porte SOCKS

Un inoltro locale espone il servizio di destinazione tramite il Mac. Uno remoto espone, tramite il server SSH, un servizio raggiungibile dal Mac. L’ascolto remoto di loopback appartiene al server, non al Mac; altri utenti autorizzati del server potrebbero accedervi. Un’esposizione più ampia dipende anche da politiche SSH e firewall del server. Mantieni l’autenticazione propria di database, desktop remoti e servizi web.

L’ascolto SSH SOCKS ordinario è distinto dalla condivisione di rete autenticata. Le credenziali della condivisione non lo proteggono automaticamente. Preferisci 127.0.0.1 e verifica ascolto, permessi e firewall prima di ampliare l’accesso. :: è un indirizzo jolly IPv6, non una limitazione alle reti private. Vedi inoltro locale e remoto.

Cifratura e identità del server SSH

SSH cifra il tunnel tra Mac e server SSH, ma non automaticamente i tratti client–ascolto o server–destinazione. Usa HTTPS end-to-end o la cifratura del protocollo di destinazione quando necessario. Server SSH e destinazione devono comunque essere affidabili. Un tunnel non rende sicuro un servizio non attendibile né garantisce anonimato.

Verifica la prima impronta della chiave host tramite un canale affidabile. Indaga sulle modifiche prima di reimpostare la fiducia; non disattivare il controllo rigoroso per evitare un avviso. Password, chiave privata e OTP autenticano te; la chiave host autentica il server. Vedi fiducia SSH.

Copertura di routing e DNS

Verifica ordine delle regole, regola predefinita e DNS della regola corrispondente. DIRECT sceglie esplicitamente l’accesso diretto. Configura il ripiego senza supporre che un errore PROXY passi automaticamente a DIRECT. Risoluzione e connessione dell’app possono seguire percorsi diversi. DNS tramite proxy non trasforma il normale DNS upstream TCP/53 in DoH.

Un proxy HTTP manuale, SSH SOCKS o il routing trasparente non è un VPN universale né un blocco del traffico garantito. Le app possono ignorare il proxy, usare DNS proprio, riutilizzare connessioni o inviare traffico non supportato. HTTP CONNECT non fornisce inoltro UDP generico. Verifica app, protocollo e percorso IPv4/IPv6. Vedi regole, DNS e limiti SOCKS.

Rischi della modalità gateway

La modalità gateway è sperimentale e non supporta autenticazione con nome utente e password né multiutente. L’autenticazione della modalità proxy non protegge questo traffico; il filtro IP non verifica le identità. Usi solo una LAN fidata e isolata, limitando gli IP di origine. Le modifiche all’inoltro IP e ai filtri dei pacchetti richiedono autorizzazione amministrativa e possono interrompere la rete. Il collegamento con il Mac non viene cifrato; IPv6 può aggirare le regole. Con più gateway, percorsi di andata e ritorno diversi possono causare timeout, disconnessioni o errori di inoltro. Stop del Mac, chiusura dell’app o cambi di indirizzo interrompono la condivisione. Ripristini poi gateway e DNS originali dei client. Questo avviso descrive rischi, non una procedura di configurazione verificata.

Gestione Enterprise e certificati

Le impostazioni Enterprise sono disponibili solo nell’edizione Enterprise. L’accesso Web/API può esporre configurazione e controlli autorizzati; console e file sono particolarmente sensibili. Inizializza l’amministratore localmente, limita accesso di rete e ruoli e concedi solo i controlli necessari. Il blocco dell’app non sostituisce l’autenticazione API, amministratore o proxy.

Usa HTTPS verificato sui percorsi non affidabili. Il client deve fidarsi della CA privata e il certificato deve coprire il nome usato. Importa solo identità attendibili e proteggi le chiavi private. Il TLS del proxy HTTPS protegge solo il proprio ascolto, senza cifrare la porta HTTP/SOCKS separata né aggiungere UDP. Reimpostare il token API è indipendente dalle sessioni web amministratore. Vedi Enterprise e TLS.

Credenziali, backup e condivisione

URL proxy e comandi shell copiati possono includere password esposte da sincronizzazione degli appunti, cronologia o log. Oscura credenziali, token, indirizzi e dati personali prima di condividere diagnosi. Proteggi le chiavi SSH e usa credenziali separate con permessi minimi.

Un backup della configurazione può contenere credenziali nel contenuto cifrato con password. Conserva backup e password in sicurezza e separatamente. Non include file di chiavi private, identità TLS/chiavi private CA, account amministratore/token API, attività Enterprise o dati di sblocco dell’app; prepara un recupero separato. I QR escludono credenziali ma rivelano la configurazione. Chi possiede QR e password può importare. La scadenza non revoca copie già importate. Vedi copertura del backup e QR.

Automazione e connessioni non sorvegliate

Verifica script locali/remoti e azioni dopo connessione prima dell’attivazione: usano i permessi dell’account Mac o SSH corrispondente. Ispeziona destinazioni, ascolti, regole e script dei profili importati. Gruppi di avvio e tentativi automatici possono riaprire più connessioni senza altri clic. Il blocco dell’app non interrompe tunnel attivi. Verifica membri e impostazioni di avvio/riprova prima di lasciare il Mac non sorvegliato. Vedi automazione.

Disponibilità, privacy e responsabilità

Stop, modifiche di rete, limiti upstream e troppe connessioni possono interrompere servizi o esaurire risorse. SSH verde non prova la disponibilità della destinazione. Statistiche e cronologie sono indicatori, non prove di sicurezza né registri di fatturazione completi. Condividi solo reti e servizi autorizzati. I fornitori mantengono le proprie regole; gli abusi possono essere associati all’IP di uscita. Vedi risoluzione problemi.

Prima di rendere accessibile un servizio

• Identifica chi raggiunge ogni ascolto, incluse reti instradate e utenti del server remoto.
• Attiva autenticazione e cifratura appropriate; verifica identità SSH/TLS.
• Verifica origini, ordine, regola predefinita e DNS; prova prima un client autorizzato.
• Verifica avvio, tentativi, gruppi e script; prepara impostazioni originali e recupero separato di chiavi/certificati.
• Controlla risorse e connessioni e interrompi condivisioni non più necessarie.

Se sospetti un utilizzo non autorizzato

1. Interrompi condivisione, ascolto o connessione interessati; ferma anche il servizio di gestione se quell’accesso è coinvolto.
2. Riduci l’esposizione firewall/router e revoca account, credenziali o token interessati. Reimpostare un token non disconnette il browser.
3. Conserva i log necessari privatamente e verifica accessi a server/destinazione, regole, gruppi e azioni di avvio.
4. Ripristina gateway/DNS originali dei client modificati; riattiva solo il necessario e verifica con un client attendibile.