In questo articolo Indice dei contenuti 3 sezioni
Sono tanti i programmi installati su Windows che si collegano a Internet senza chiedere alcun permesso, dai browser alle utility fino agli aggiornamenti automatici. PacketHound nasce proprio per cambiare questa abitudine e porta sui PC Microsoft un controllo delle connessioni in uscita simile a quello di Little Snitch, lo storico firewall applicativo per macOS arrivato più di recente anche su Linux. Ogni applicazione sconosciuta deve ottenere un’autorizzazione prima di poter comunicare con l’esterno.
Il firewall di Windows 11 in effetti sorveglia il traffico di rete, ma nella configurazione predefinita lascia passare le connessioni in uscita a meno che una regola non le vieti espressamente. Il progetto è distribuito con licenza GPLv3 e funziona su Windows 10 dalla versione 1809 e su Windows 11, soltanto a 64 bit. La scelta più curiosa sta nel fatto che non introduce driver aggiuntivi e si appoggia direttamente agli strumenti di sicurezza già presenti nel sistema.
Come PacketHound trasforma il firewall in un sistema di permessi
Il software imposta DefaultOutboundAction su Block per tutti e tre i profili, cioè Domain, Private e Public. Così un programma privo di regole esplicite resta tagliato fuori dalla rete. Per scoprire chi tenta di collegarsi viene attivata la funzione di controllo chiamata Filtering Platform Connection e viene monitorato l’evento 5157, quello che segnala una connessione bloccata indicando applicazione, indirizzo IP, porta e protocollo.
Quando il tentativo arriva da un programma di terze parti ancora senza regola compare una finestra che propone tre strade, cioè autorizzare (Allow), bloccare (Block) oppure rimandare la scelta. Le regole create da PacketHound finiscono direttamente nel firewall di sistema e restano consultabili dalla console avanzata, che si apre premendo Windows+R e digitando wf.msc.
Le decisioni possono essere piuttosto granulari. Un’applicazione può ricevere il via libera verso qualsiasi destinazione, verso un singolo indirizzo IP o soltanto verso un host o un dominio con i relativi sottodomini. Siccome Windows Firewall ragiona per indirizzi IP e non per nomi DNS, l’elenco degli IP associati va tenuto aggiornato e se il server cambia indirizzo la prima connessione potrebbe fallire. Più siti ospitati sullo stesso IP, come capita spesso con le CDN, finiscono poi per condividere lo stesso permesso. Per vincolare una regola a una porta specifica bisogna invece modificarla in seguito tramite wf.msc. I permessi possono durare indefinitamente o fino alla chiusura del programma, mentre le sezioni Activity e Rules mostrano i tentativi bloccati e consentono di gestire le regole, comprese quelle legate a software ormai rimossi.
Componenti di sistema, installer e limiti
Bloccare tutto alla cieca metterebbe in difficoltà Windows Update, Microsoft Defender e altri servizi. Per questo un eseguibile viene considerato attendibile solo se percorso, proprietà del file e firma digitale Authenticode risultano tutti in regola. Il file deve appartenere a TrustedInstaller o SYSTEM e avere una firma Microsoft Windows valida, quindi non basta piazzarlo in System32. Le utility dei produttori hardware restano separate dai componenti di sistema anche con certificazione WHQL. Strumenti come PowerShell, cmd, curl, certutil, bitsadmin, mshta, rundll32 e regsvr32 continuano invece a chiedere il permesso, perché pur essendo legittimi possono facilitare il download di componenti malevoli.
Gli installer che estraggono file in cartelle temporanee con nomi sempre diversi vengono riconosciuti tramite la firma. Dopo un’autorizzazione il programma ricorda nome del file e firmatario, ricontrolla la firma prima di applicare la regola e tiene aperto il file per impedirne la sostituzione. Se però l’installer prova a collegarsi prima che la regola sia pronta, la prima connessione salta. È comunque possibile sospendere la protezione per 5 minuti, 15 minuti o un’ora, con le regole di blocco esplicite che restano attive.
Il vero limite rispetto a Little Snitch è proprio questo. La connessione non viene trattenuta in attesa della risposta ma prima bloccata, poi letta attraverso l’evento 5157 e solo dopo sottoposta all’utente, così l’applicazione deve riprovare. Un browser in genere aggiorna la pagina da solo, mentre alcuni installer considerano definitivo il primo errore. Servirebbe un driver WFP in modalità kernel firmato, una complessità evitata deliberatamente. Sui PC aziendali eventuali Group Policy possono prevalere sulle modifiche locali e l’auditing fa crescere il numero di eventi nel registro Security.
Installazione e disinstallazione
Il programma si scarica dal sito ufficiale e il codice sorgente su GitHub consente di verificarne l’implementazione. Si basa su .NET 10 ed esiste anche un installer autonomo che non richiede il runtime separato. Servono privilegi amministrativi visto che vengono modificate regole firewall e politica di auditing. I componenti finiscono in Program Files e l’avvio automatico può essere configurato con l’Utilità di pianificazione. Disinstallando PacketHound tramite installer si ripristinano le impostazioni precedenti, con la possibilità di decidere se conservare le regole create.
Fonte: TecnoAndroid