[Q] Little Snitch 3 et connexions entrantes

Manfred La Cassagnère <derfnam@wanadoo.fr> wrote:

Bonjour tout le monde,

j'ai une question sur Little Snitch 3. J'utilise le pare-feu intégré aux
prefs système de Mavericks pour gérer les connexions entrantes sur mon
Mac. Je voudrais donc désactiver la gestion de certaines de ces
connexions par Little Snitch, qui me semble faire doublon, mais /sans
faire de bêtise/...

Les préférences système te permettent de gérer les connexions entrantes
application par application. Si une application reçoit pour la première
fois une connexion entrante, tu en seras prévenu et le système te
demandera si tu l'acceptes ou pas. Dans les options de coupe-feu de
l'onglet Coupe-feu des Préférences Sécurité se trouve la liste des
autorisations et des refus par application, liste que tu peux modifier
au demeurant.

Dans les options de coupe-feu, il ne faut surtout pas cocher "Bloquer
toutes les connexions entrantes" ou inversement "Autoriser
automatiquement les logiciels signés à recevoir des connexions
entrantes" parce que ces réglages généraux prendront la main sur les
réglages par application.

Little Snitch de son coté agit de façon globale. Il va par exemple
autoriser toutes les connexions UDP entrantes quelque soit
l'application.

Prenons le cas où tu ne veux autoriser les connexions UDP entrantes que
pour certaines applications. Tout se passe dans les préférences système,
il ne faut surtout pas modifier les réglages de Little Snitch.

Tu utilises VLC qui reçoit des connexions UDP entrantes. Lorsque cela ce
produit pour la première fois, une fenêtre du système va s'afficher et
te demander si tu l'acceptes ou pas. Si tu dis oui, VLC fera partie de
la liste des applications autorisées à recevoir des connexions entrantes
et le système ne te demandera plus jamais de confirmation.

Tu utilises QuickTime Player qui lui-aussi reçoit des connexions UDP
entrantes. Mais cette fois, tu refuses. QuickTime Player figurera dans
la liste des options de coupe-feu des préférences système avec le
réglage "Bloquer les connexions entrantes". A l'avenir, les connexions
entrantes de QuickTime Player seront bloquées en amont par le système et
Little Snitch ne les verra jamais passer.

LMA <lma@nowhere.invalid> wrote:

Manfred La Cassagnère <derfnam@wanadoo.fr> wrote:

> Bonjour tout le monde,
>
> j'ai une question sur Little Snitch 3. J'utilise le pare-feu intégré aux
> prefs système de Mavericks pour gérer les connexions entrantes sur mon
> Mac. Je voudrais donc désactiver la gestion de certaines de ces
> connexions par Little Snitch, qui me semble faire doublon, mais /sans
> faire de bêtise/...

Les préférences système te permettent de gérer les connexions entrantes
application par application. Si une application reçoit pour la première
fois une connexion entrante, tu en seras prévenu et le système te
demandera si tu l'acceptes ou pas. Dans les options de coupe-feu de
l'onglet Coupe-feu des Préférences Sécurité se trouve la liste des
autorisations et des refus par application, liste que tu peux modifier
au demeurant.

Dans les options de coupe-feu, il ne faut surtout pas cocher "Bloquer
toutes les connexions entrantes" ou inversement "Autoriser
automatiquement les logiciels signés à recevoir des connexions
entrantes" parce que ces réglages généraux prendront la main sur les
réglages par application.

Little Snitch de son coté agit de façon globale. Il va par exemple
autoriser toutes les connexions UDP entrantes quelque soit
l'application.

[Snip]

Merci pour ta réponse longue et détaillée.
Je profite de ta synthèse et du paragarphe concernant les prefs système
pour soumettre le problème suivant. La première fois que j'ai installé
Transmission, je l'ai bien sûr autorisé. Malgré cela, le système me
redemande à chaque lancement si je veux l'autoriser ou pas, alors que
dans les prefs système > Sécurité et confidentialité, il est bien marqué
"Autoriser les connexions entrantes" à la ligneTransmission. Que se
passe-t-il, et comment régler ça?

Par ailleurs, je résume pour plus de clarté la question de mon post
initial: peut-on /sans risque/ empêcher Little Snitch de gérer les
connexions entrantes, puisqu'elles sont justement déjà gérées par le
coupe-feu du système?
--
Manfred
42° 42' 0" N, 9° 26' 59" E.
iMac Intel Core 2 Duo, OS X 10.9.5.
"I would trade all my technology for an afternoon with Socrates."(S.J.)

Manfred La Cassagnère <derfnam@wanadoo.fr> wrote:

La première fois que j'ai installé Transmission, je l'ai bien sûr
autorisé. Malgré cela, le système me redemande à chaque lancement si je
veux l'autoriser ou pas, alors que dans les prefs système > Sécurité et
confidentialité, il est bien marqué "Autoriser les connexions entrantes" à
la ligneTransmission. Que se passe-t-il, et comment régler ça?

Je rencontre le même problème avec VLC sous Yosemite et je n'ai pas
trouvé de solution ;-( Je n'avais pas constaté ce problème avant la
version 2.2 de VLC.

Par ailleurs, je résume pour plus de clarté la question de mon post
initial: peut-on /sans risque/ empêcher Little Snitch de gérer les
connexions entrantes, puisqu'elles sont justement déjà gérées par le
coupe-feu du système?

Quel est l'intérêt ? Soit les connexions de l'application X sont
acceptées par le système et Little Snitch ne les bloquera pas, soit
elles sont refusées par le système et Little Snitch n'en aura jamais
connaissance puisqu'elles seront bloquées en amont. Et si d'aventure un
process qui n'est lancé ni par le système ni par toi tente d'effectuer
des connexions entrantes, Little Snitch affichera une alerte.

A mon avis, modifier les réglages des connexions entrantes dans Little
Snitch représente un risque.

LMA <lma@nowhere.invalid> wrote:

Manfred La Cassagnère <derfnam@wanadoo.fr> wrote:

> La première fois que j'ai installé Transmission, je l'ai bien sûr
> autorisé. Malgré cela, le système me redemande à chaque lancement si je
> veux l'autoriser ou pas, alors que dans les prefs système > Sécurité et
> confidentialité, il est bien marqué "Autoriser les connexions entrantes" à
> la ligneTransmission. Que se passe-t-il, et comment régler ça?

Je rencontre le même problème avec VLC sous Yosemite et je n'ai pas
trouvé de solution ;-( Je n'avais pas constaté ce problème avant la
version 2.2 de VLC.

> Par ailleurs, je résume pour plus de clarté la question de mon post
> initial: peut-on /sans risque/ empêcher Little Snitch de gérer les
> connexions entrantes, puisqu'elles sont justement déjà gérées par le
> coupe-feu du système?

Quel est l'intérêt ? Soit les connexions de l'application X sont
acceptées par le système et Little Snitch ne les bloquera pas, soit
elles sont refusées par le système et Little Snitch n'en aura jamais
connaissance puisqu'elles seront bloquées en amont. Et si d'aventure un
process qui n'est lancé ni par le système ni par toi tente d'effectuer
des connexions entrantes, Little Snitch affichera une alerte.

A mon avis, modifier les réglages des connexions entrantes dans Little
Snitch représente un risque.

Ok...
--
Manfred
42° 42' 0" N, 9° 26' 59" E.
iMac Intel Core 2 Duo, OS X 10.9.5.
"I would trade all my technology for an afternoon with Socrates."(S.J.)

LMA <lma@nowhere.invalid> wrote:

Quel est l'intérêt ? Soit les connexions de l'application X sont
acceptées par le système et Little Snitch ne les bloquera pas, soit
elles sont refusées par le système et Little Snitch n'en aura jamais
connaissance puisqu'elles seront bloquées en amont.

En résumé, les règles de connexions entrantes de Little Snitch ne
« servent à rien » : soit Little Snitch ne bloque pas, soit il n'a pas
connaissance des connexions entrantes.

Dès lors, question con : pourquoi donc les laisser « à la vue » de
l'utilisateur, au risque de le jeter dans des abîmes de perplexité ?

--
[SbM]
"If the French were really intelligent, they'd speak English" (W. Sheed)

SbM <someone@nowhere.com> wrote:

LMA <lma@nowhere.invalid> wrote:

> Quel est l'intérêt ? Soit les connexions de l'application X sont
> acceptées par le système et Little Snitch ne les bloquera pas, soit
> elles sont refusées par le système et Little Snitch n'en aura jamais
> connaissance puisqu'elles seront bloquées en amont.

En résumé, les règles de connexions entrantes de Little Snitch ne
« servent à rien » : soit Little Snitch ne bloque pas, soit il n'a pas
connaissance des connexions entrantes.

Dès lors, question con : pourquoi donc les laisser « à la vue » de
l'utilisateur, au risque de le jeter dans des abîmes de perplexité ?

+1... Je trouve à l'usage que LS est plutôt "velu" comme soft!
--
Manfred
42° 42' 0" N, 9° 26' 59" E.
iMac Intel Core 2 Duo, OS X 10.9.5.
"I would trade all my technology for an afternoon with Socrates."(S.J.)

SbM <someone@nowhere.com> wrote:

En résumé, les règles de connexions entrantes de Little Snitch ne
« servent à rien » : soit Little Snitch ne bloque pas, soit il n'a pas
connaissance des connexions entrantes.

Erreur de ma part que j'ai constatée à la suite d'un test. Non seulement
les connexions entrantes sont interceptées par Little Snitch quelque
soit les réglages système mais en plus il les intercepte avant le
système.

L'ordre est inverse, le système n'aura jamais connaissance d'une
connexion bloquée par Little Snitch. C'est pourquoi il vaut mieux que
Little Snitch la laisse passer par défaut.

lma@nowhere.invalid (LMA) Wrote in message:

SbM <someone@nowhere.com> wrote:

En résumé, les règles de connexions entrantes de Little Snitch ne
« servent à rien » : soit Little Snitch ne bloque pas, soit il n'a pas
connaissance des connexions entrantes.

Erreur de ma part que j'ai constatée à la suite d'un test. Non seulement
les connexions entrantes sont interceptées par Little Snitch quelque
soit les réglages système mais en plus il les intercepte avant le
système.

L'ordre est inverse, le système n'aura jamais connaissance d'une
connexion bloquée par Little Snitch. C'est pourquoi il vaut mieux que
Little Snitch la laisse passer par défaut.

Donc il vaut mieux que je désactive ces règles de connexion
entrante de LS?
--
Manfred


----Android NewsGroup Reader----
http://usenet.sinaapp.com/

Manfred <derfnam@wanadoo.fr> wrote:

> L'ordre est inverse, le système n'aura jamais connaissance d'une
> connexion bloquée par Little Snitch. C'est pourquoi il vaut mieux que
> Little Snitch la laisse passer par défaut.
>

Donc il vaut mieux que je désactive ces règles de connexion
entrante de LS?

Non, si tu le fais, Little Snitch considère qu'il n'y a pas
d'autorisation et bloque la connexion. Résultat, toutes les connexions
entrantes sur la machine seront rejetées.

La raison est que les connexions entrantes de type UDP entre autres
véhiculent des informations (audio, video, camera embarquée, images
satellite) que le système doit traiter en temps réel et où la vitesse de
transmission est une donnée critique. Dés lors que la connexion est
établie, l'émetteur envoie ses données en continu sans se préoccuper du
cas où la réception serait bloquée. Dans ces conditions Little Snitch
n'affiche jamais de message d'alerte car une partie du flux serait
perdue de toute façon. Et même s'il enregistrait le flux en attendant un
hypothétique accord, les données ne seraient plus en temps réel ce qui
dans certains contextes est inacceptable. Il y a une autorisation et il
accepte le flux ou il n'existe pas de règle et il le rejette.

> > L'ordre est inverse, le système n'aura jamais connaissance d'une
> > connexion bloquée par Little Snitch. C'est pourquoi il vaut mieux que
> > Little Snitch la laisse passer par défaut.
> >
>
> Donc il vaut mieux que je désactive ces règles de connexion
> entrante de LS?

Non, si tu le fais, Little Snitch considère qu'il n'y a pas
d'autorisation et bloque la connexion. Résultat, toutes les connexions
entrantes sur la machine seront rejetées.

La raison est que les connexions entrantes de type UDP entre autres
véhiculent des informations (audio, video, camera embarquée, images
satellite) que le système doit traiter en temps réel et où la vitesse de
transmission est une donnée critique. Dés lors que la connexion est
établie, l'émetteur envoie ses données en continu sans se préoccuper du
cas où la réception serait bloquée. Dans ces conditions Little Snitch
n'affiche jamais de message d'alerte car une partie du flux serait
perdue de toute façon. Et même s'il enregistrait le flux en attendant un
hypothétique accord, les données ne seraient plus en temps réel ce qui
dans certains contextes est inacceptable. Il y a une autorisation et il
accepte le flux ou il n'existe pas de règle et il le rejette.

Ok, donc on ne touche à rien... merci pour ces explications détaillées!
A+
--
Manfred
42° 42' 0" N, 9° 26' 59" E.
iMac Intel Core 2 Duo, OS X 10.9.5.
"I would trade all my technology for an afternoon with Socrates."(S.J.)