Mac OS X 10.5 Leopard: アプリケーション・ファイアウォールについて
概要
Mac OS X 10.5 Leopard では、アプリケーション・ファイアウォールと呼ばれる新しいテクノロジーが導入されています。
ファイアウォールの基本的な目的の 1 として、利用しているコンピュータに対するネットワーク上のほかのコンピュータからの接続を制御するという目的があります。多くの場合、ファイアウォール ソフトウェアでアプリケーションのネットワーク接続を制御するには、アプリケーションが通信で利用するネットワークポートやプロトコルが必要です。
注記：この記事は、Mac OS X 10.5.1 以降に付属のアプリケーション・ファイアウォールのバージョンに適用されます。お使いのシステムが該当するバージョン以外の場合は、Mac OS X 10.5.1 以降にアップデートしてください。
Leopard のファイアウォールは、アプリケーション・ファイアウォールです。この種類のファイアウォールでは、接続をポートごとではなく、アプリケーションごとに制 御できます。これによって、経験が少ない場合でもファイアーウォールの機能を簡単に利用できます。また、正規版のアプリケーション用に開いているネット ワークポートを不正なアプリケーションによる制御から保護することも可能です。
ファイアウォールは、TCP と UDP に適用されます。このプロトコルは、さまざまなアプリケーションでもっと一般的に利用されているインターネットプロトコルです。AppleTalk には影響を与えません。詳細設定でステルスモードを有効にすると、ファイアウォールによって着信 ICMP「ping」がブロックされる場合があります。
初期の“ipfw”テクノロジーでは、現在もターミナルのコマンドラインからアクセス可能ですが、アプリケーション・ファイア ウォールでは、ipfw で設定したルールを優先します。たとえば、ipfw で着信パケットをブロックするルールを設定すると、アプリケーション・ファイアウォールはそのパケットを処理しません。
この記事は、Mac OS X 10.5.1 以降に付属のアプリケーション・ファイアウォールのバージョンに適用されます。
対象製品
Mac OS X 10.5
アプリケーションファイアフォールの設定
以下の手順に従います。
- アップルメニューの「システム環境設定」を選択します。
- 「セキュリティ」をクリックします。
- 「ファイアウォール」タブをクリックします。
- ファイアウォールで利用するモードを選択します。
アプリケーション・ファイアウォールの 3 つの動作モード
1. すべての受信接続を許可
このモードは、もっとも「オープンな」（セキュリティが一番低い）モードです。Mac OS X はコンピュータへのすべての受信接続をブロックしません。Leopard のデフォルトモードです。Mac OS X 10.4.x からのアップグレードの場合、アプリケーション・ファイアウォールはデフォルトでこのモードになります。
2. 必須サービスのみ許可
このモードは、もっとも保守的な（セキュリティが一番高い）モードです。Mac OS X はコンピュータの操作に必要不可欠なサービスのリストにある接続以外のすべての接続をブロックします。
次のシステムサービスは、受信接続が許可されています。
- configd (DHCP およびほかのネットワーク構成サービスを実装するシステムサービス）
- mDNSResponder（Bonjour を実装するシステムサービス）
- racoon（IPSec を実装するシステムサービス）
3. 特定のサービスおよびアプリケーションにアクセスを設定
このモードはもっとも融通の利くモードです。システム上のあらゆるアプリケーションごとに、受信接続の許可または拒否を選択できます。
「+」（プラス）ボタンをクリックすると、このリストにアプリケーションを追加できます。アプリケーションを選択して「-」（マイナス）ボタンをクリック すると、リストから選択したアプリケーションを削除できます。アプリケーション名を「control」キーを押しながらクリックすると、アプリケーション の場所を Finder に表示するオプションを選択できます。
このリストにアプリケーションを追加した後、追加したアプリケーションの受信接続を許可するか、または拒否するかを選択できます。このリストには、コマンドラインで実行するアプリケーションも追加可能です。
このリストにアプリケーションを追加すると、Mac OS X によってアプリケーションにデジタル署名が行われます（まだ署名が行われていない場合）。その後、このアプリケーションが変更されると、そのアプリケー ションの受信接続を許可するか、または否定するかを確認するメッセージが表示されます。アプリケーションがアプリケーション自身を変更することは基本的に ありません。これは、変更を通知する安全機能です。
デジタル署名されたアプリケーション
このリストにないアプリケーションでも、システムが信用する認証局によってデジタル署名されていれば（コードサイニングの目的での署名）、そのアプリケー ションの受信接続を受け付けることができます。Leopard に付属のアップル製アプリケーションは、すべてアップルによって署名されているため、受信接続を受け付けることができます。デジタル署名されたアプリケー ションの接続を拒否する場合は、先にそのアプリケーションをリストに追加し、その後、接続の拒否を選択することで、明示的に示す必要があります。
アプリケーション・ファイアウォールのリストにない署名なしアプリケーションを実行すると、そのアプリケーションの接続を許可または拒否するオプションを 選択するためのダイアログが表示されます。「許可」を選択すると、Mac OS X 10.5 によってアプリケーションの署名が行われ、アプリケーション・ファイアウォールのリストに自動で追加されます。「拒否」を選択すると、Mac OS X 10.5 によってアプリケーションの署名が行われ、アプリケーション・ファイアウォールのリストに自動で追加された後、接続を拒否するように設定されます。
一部のアプリケーションでは、コードサイニングを使わずにアプリケーションを実行すると、統合性のセルフチェックが行われます。このようなアプリケーショ ンがアプリケーション・ファイアウォールで認識されると、そのアプリケーションに署名は行われませんが、アプリケーションを実行するたびにダイアログが表 示されます。これは、アプリケーションデベロッパによって署名されたバージョンのアプリケーションにアップグレードすることで、回避できる場合がありま す。