Die Analytik ist bei mir in Luminar bereits abgeschaltet - auch bei obigem Screenshot schon.
Für Updates muss Luminar auch nicht Facebook, Yandex, Doubleclick oder Yahoo fragen.

Was in Little Snitch abschalten?

Hast Du gute Gründe die Abschaltung von Little Snitch zu empfehlen?

Little Snitch installiert, um den Netzverkehr lesen zu können, eine Kernel-Erweiterung (kext). Dadurch hat Little Snitch root-Rechte. Little Snitch schaut sich jeden Netzverkehr an und ist darum durch jeden beliebigen Netzverkehr angreifbar. Die root-Rechte versprechen bei Erfolg fette Beute: Die volle Kontrolle über Little Snitch und den Rechner.

Wer sein System absichern will, sollte nicht dessen Angriffsoberfläche erhöhen, sondern reduzieren. Je weniger Software mit root-Rechten läuft, desto besser. Das ist ein ureigenes Unix-Prinzip. Wer sein System mit 3rd-Party-Kexts zusemmelt, kann gleich ein Einladungsschild außen anbringen, denn in jeder Software sind Fehler. Man kann das Risiko nur minimieren, indem man möglichst wenig unter root laufen läßt.

Kann Little Snitch wirklich allen Verkehr, der vom Rechner nach außen geht oder reinkommt kontrollieren? Prinzipbedingt: Nein! Warum? Jede Software auf dem Rechner kann kompromittiert sein. Little Snitch ist nicht das einzige Stück Code, was unter root auf dem Mac läuft. Eine Malware, die ebenfalls als Trojaner oder durch einen Bug oder sonstwie auf den Rechner kommt, und auch root-Rechte hat oder diese durch einen anderen Bug erlangt, kann Little Snitch einfach aushebeln, an den nötigen Stellen blind machen, täuschen, Netzverkehr vor Little Snitch verstecken, Litte Snitch völlig nutzlos machen.

Kann aber nicht eine andere Software vielleicht …? Nein! Die einzige Möglichkeit, zuverlässig zu kontrollieren, was der Rechner mit dem Netz macht, ist, den Verkehr auf dem nächsten Router zum Internet zu untersuchen. Keine Firewall, keine Software auf dem Rechner selbst kann Dir sagen, welcher Traffic wirklich rein- oder rausgeht auf Deinem Computer.

Wozu ist Little Snitch überhaupt noch gut dann? Um gutmütige Software, die nichts verbergen will, zu überprüfen. Um bösartige Software damit zu checken, ist ein Ansatz, der auf dem Opfer-Rechner läuft, völlig untauglich. Ich weiß, daß viele von Euch Little Snitch lieben. Es tut mir leid.

Allerdings kam Luminar 4 ohne diesen Schalter auf den Markt. Daher habe ich noch die vielen Einträge

Mit Big Sur gibt es keine Kernel Extensions mehr. Dann ist eh Schluss!

Ja!

Widersprechen sich da nicht zwei Mac-Sicherheitsgurus?

Letztendlich ist es eine Frage des Vertrauens in den Hersteller

Ich kann mich nicht zu den »Gurus« zählen.

Ich sehe Little Snitch nicht unbedingt als Sicherheitswerkzeug, sondern als Kontrolle.

Ich würde her empfehlen einen Raspberry mit piHole drauf zu verwenden. Dann muß man wenigstens nicht den eigenen Rechner kompromittieren. Und es erlaubt meiner Meinung nach noch wesentlich mehr Kontrolle. Und das im ganzen Netzwerk.

Gibt es für die Protokollierung der aufgerufenen Webseiten was sinnvolles? Gibt es dafür eine RaspberryPi-Lösung oder ähnliches? Oder kann ich da was per Docker meiner ebenfalls vorhandenen Synology Diskstation laufen lassen?

Die im Zweifel nix nützt.

Mir sollte man grundsätzlich nicht vertrauen!

Wollte dich ja nicht grundsätzlich diskreditieren, sondern lediglich aufzeigen wie schwierig die Frage bzgl. des Vertrauens ist.

Welche Zweifel? Du weißt ja nicht, was ich ansonsten zwischen LAN und WAN noch so alles habe...

Auf Applikationsebene schauen, wer wohin telefoniert und das ggf. unterbinden, kann Little Snitch jedenfalls recht komfortabel und übersichtlich.

Die Lösung mit dem Raspberry Pi finde ich technisch sehr ansprechend - aber auch da braucht’s Vertrauen und vor allem etwas Versiertheit. Und, für den gemeinen Durchschnittsanwender ist das eher zu komplex. Es gibt nix Gefährlicheres als eine löchrig konfigurierte „Sicherheitslösung“. Da ist ja Little Snitch noch ungefährlicher.

Pihole hingegen könnte zwar alles mitschneiden, allerdings nutzt das bei Https deutlich weniger, als eine Quelle, die direkt auf der Zielplattform installiert ist.

gfhfkgfhfk
Danke. Dann werde ich mir wirklich mal in den kommenden Wochen so einen RaspberryPi zulegen. NextCloud könnte auch noch drauf.

Bei Kauf unbedingt auf ein passendes Gehäuse und Netzteil achten.

PiHole trackt bzw. blockt nur die DNS Abfragen. Etwas anderes ist es, wenn man einen HTTPS Proxy installiert. Wenn man das macht, dann werden auch HTTPS Connects ausgehebelt, wenn man einen transparent Proxy nimmt, dann besteht keinerlei Chance diesen zu umgehen.

Danke für deine Tipps. Wenn PiHole die DNS-Abfragen trackt, sehe ich doch die Domainnamen und nicht nur die IPs, oder?
Auf jeden Fall würde ich der Einfachheit halber ein Starter Kit mit dem Modell 4B und 4GB kaufen, damit die Nextcloud gut läuft. Ich befürchte, dass meine Synology 216+II für Nextcloud per Docker zu langsam ist. Würde so ein geripptes Armor-Aluminiumgehäuse genug Kühlung liefern oder doch am besten einfach das offizielle weiß-rote Gehäuse und passive Kühlkörper?

Ja!

Danke für deine Tipps. Wenn PiHole die DNS-Abfragen trackt, sehe ich doch die Domainnamen und nicht nur die IPs, oder?

Auf jeden Fall würde ich der Einfachheit halber ein Starter Kit mit dem Modell 4B und 4GB kaufen, damit die Nextcloud gut läuft. Ich befürchte, dass meine Synology 216+II für Nextcloud per Docker zu langsam ist. Würde so ein geripptes Armor-Aluminiumgehäuse genug Kühlung liefern oder doch am besten einfach das offizielle weiß-rote Gehäuse und passive Kühlkörper?

Also entweder verstehe ich Dich falsch, oder Du mich. Ich meinte damit, daß eine Software, die auf meinem Rechner installiert ist und mit derart hoher Berechtigung läuft, so ziemlich alles machen kann. Ist das gleich wie bei Quellen-TKÜ: ich muß vor der Verschlüsselung sitzen, um alles mitzubekommen.

Und genau das kann Pihole eben nicht (wie Du ja geschrieben hast). Weswegen ich es als die wesentlich sichere Lösung einstufe, als Little Snitch. Aber vielleicht habe ich mich zu missverständlich ausgedrückt.

Little Snitch 5 für Big Sur wird nicht mehr auf Kernel Extensions aufbauen, richtig. Es wird das Network Extension Framework von Apple nutzen. Die aktuelle Beta läuft schon recht zuverlässig.