Waarskuwing oor gefiltreerde of gemoniteerde Mac-VPN: wat dit toelaat
Die macOS-kennisgewing is 'n toestemmingsversoek oor wat die operateur op die gedekte pad kan inspekteer, nie 'n malware-oordeel of bewys dat jou verkeer gedekripteer word nie.
Daardie waarskuwing is 'n toestemmingsstrokie, nie 'n diagnose nie. Wanneer macOS sê 'n konfigurasie sal verkeer filtreer of monitor, sê dit vir jou dat 'n komponent wat jy goedgekeur het die pad kan sien wat dit dek, en vra of dit aanvaarbaar is. Die dialoog kan nie vir jou sê wie die komponent bestuur, wat dit aanteken, of dit enigiets dekripteer nie. Daardie antwoorde lê in die profiel, die uitbreidingslys en die sertifikate op die masjien, so begin daar eerder as om die sin weer te lees.
Lees die kennisgewing as 'n vraag oor omvang
Elke aktiveringskennisgewing wys na twee dinge sonder om hulle duidelik te noem: die uitbreiding wat verkeer sal hanteer en die konfigurasie wat verkeer daarin lei. Op huidige macOS is hierdie komponente NetworkExtension-stelseluitbreidings, en die installering of aktivering van een vereis goedkeuring in Stelselinstellings. Die bewoording bly breed omdat die bedryfstelsel geen manier het om te weet of die goedkeurder 'n IT-afdeling, 'n intekening-VPN of 'n filteragent saam met iets anders is nie.
Daarom dek dieselfde teks drie verskillende reëlings. 'n Bestuurde Mac ontvang 'n profiel van toestelbestuur, 'n persoonlike Mac kry 'n konfigurasie van 'n app wat jy geïnstalleer het, en 'n sekuriteitsproduk kan 'n filter installeer wat homself nooit as 'n VPN voordoen nie. Nie een van daardie etikette beslis die bedoeling nie. Hulle sê net vir jou watter party eerste gevra moet word.
Twee opdragte skei daardie gevalle vinnig. Die eerste lys geïnstalleerde stelseluitbreidings en of elkeen aktief is, en die tweede lys konfigurasieprofiele met hulle vragte en ondertekenende organisasie.
systemextensionsctl list
profiles show -type configurationOnderskei 'n tonnel van 'n filter
'n Pakkiettonnel gee die Mac 'n roete en dra alles wat die roetetable daarin stuur. 'n Inhoudsfilter sit op vloeivlak, kry 'n blik op elke verbinding, en kan dit toelaat, blokkeer of herlei. 'n Produk kan albei gelyk lewer, en die waarskuwing verander nie wanneer dit dit doen nie. Die verskil maak saak omdat die bewyse wat jy kan insamel en die foute wat jy sal sien verskil.
Kyk na die uitbreidingskategorie eerder as die bemarkingsnaam. 'n Tonnel verskyn gewoonlik as 'n VPN-konfigurasie en as 'n netwerkuittbreiding, terwyl 'n filter glad geen VPN-diens mag hê nie. As die produk albei modes bied, kies die aktiewe konfigurasie een, en die wissel van modes kan verander wat gedek word sonder om die verskaffer te verander.
Die VPN-dienslys is die vinnigste manier om te sien of 'n tonnel bestaan. 'n Filter wat nie 'n VPN is nie, sal nie daarin verskyn nie, wat self nuttige inligting is.
scutil --nc list'n Gekoppelde kenteken is nie bewys van dekking nie. Programme kan deur reëls per app uitgesluit word, en verkeer na plaaslike netwerke omseil dikwels die tonnel per ontwerp. Wanneer een toepassing optree asof dit onbewaak is, vermoed 'n roete of 'n uitsluiting voordat jy aanvaar die monitor is stukkend.
Wat die operateur leer sonder om vragte te lees
Metadata is nie 'n troosprys nie. Adresse, poorte, DNS-name, verbindingstye, greptellings en die identiteit wat gemagtig het, is alles sigbaar vir die komponent op die pad. Herhaalde besoeke aan een gasheer op dieselfde uur bou 'n roetine, en 'n roetine kan meer sê as 'n enkele bladsy.
Dit is die eerlike antwoord op die gewone vraag. Die operateur kan sien waar en wanneer, selfs wanneer die inhoud verseël bly.
Sigbaarheid van vragte vereis 'n tweede, harder verandering. 'n Korrek gevalideerde HTTPS-sessie bly ondeursigtig vir 'n tonnel of 'n vloeifilter, en so ook plaaslike lêers en verkeer wat nooit die gedekte pad binnegaan nie. Die lees van bladsytekste vereis 'n sertifikaatowerheid wat die Mac reeds vertrou, wat beteken 'n onderskepssertifikaat wat met sy eie goedkeuring geïnstalleer is. Daardie stap skuif die grens van metadata na inhoud en verdien afsonderlike ondersoek.
Die omvang stop ook by die toestel. 'n Tonnel op een skootrekenaar dek nie 'n foon, 'n tablet of iemand anders se masjien op dieselfde Wi-Fi nie, en 'n korporatiewe kliënt kan nie die kafee se ander klante inventariseer nie. Toestelbestuursagteware kan meer insamel as wat die tonnel blootstel, maar dit is 'n aparte beheer met 'n ander beleideienaar.
| Artifact | Visible on the covered path | Extra step required |
|---|---|---|
| Destination address and port | Yes | None |
| DNS names and query timing | Usually | None |
| HTTPS request and response bodies | No | Trusted root certificate |
| Files already stored on the Mac | No | Endpoint agent |
| Other devices on the same Wi-Fi | No | Separate enrollment |
Ondersoek die sertifikaatstoor voordat jy paniekerig raak
'n Vertroude wortel is die verskil tussen om verkeer te sien en om dit te lees. Ondersoek die stelselsleutelring vir owerhede wat jy nie herken nie, en let op enige wat rondom die tyd van die kennisgewing verskyn het. 'n Bestuurde Mac kan wettig 'n inspeksiewortel dra wat deur die werkgewer gestoot is, en dan hoort die gesprek by die administrateur. 'n Persoonlike Mac wat een per ongeluk bekom het, het 'n bevinding wat die moeite werd is om op te tree. Teken die algemene naam, die uitreiker en die datum bygevoeg aan, sodat die vraag later beantwoord kan word.
Vergelyk daardie lys met wat toestelbestuur rapporteer. As die profiellys en die sertifikaatlys verskil, is die sertifikaatlys die een wat besluit wat die Mac sal aanvaar.
Twee opdragte dek die meeste van die kontrole. Die eerste druk konfigurasieprofiele; die tweede druk sertifikate in die admin-beheerde stelselsleutelring, wat is waar 'n bygevoegde wortel gewoonlik beland.
profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychainStandaard Apple-wortels leef in 'n aparte sleutelring en is nie die bekommernis hier nie. 'n Leë resultaat van die tweede opdrag is algemeen op 'n persoonlike Mac. 'n Gevulde resultaat verdien 'n onderwerp-vir-onderwerp lees voordat jy dit ignoreer.
Besluit, en skryf dan neer waarom
Goedkeuring is redelik wanneer jy die operateur, die komponent en die rede kan noem, en wanneer die versoek ooreenstem met 'n keuse wat jy of jou organisasie gemaak het. Ondersoek is die regte reaksie wanneer die kennisgewing sonder konteks opdaag, veral na 'n netwerkverandering of 'n onverwante installasie. Verbreek eers die verbinding, vang die profielidentifiseerder en die uitbreiding vas, en besluit dan. Verwydering is 'n derde pad, en dit herstel vroeëre roetering sonder om die rekening aan te raak.
Behandel toestemming en verwydering as aparte besluite wat op verskillende tye geneem word. Om vandag 'n filter goed te keur verplig jou nie om dit te hou nie, en die verwydering van 'n profiel vee nie bedienerkant-rekords uit van wat waargeneem is terwyl dit aktief was nie.
As die kennisgewing gevolg het op 'n opdatering van sagteware wat jy reeds gebruik, lees daardie weergawe se vrystellingsnotas voordat jy klik. Verskaffers verander wel uitbreidingsargitektuur tussen vrystellings, en 'n nuwe filter kan met 'n roetine-opdatering opdaag. As die kennisgewing gevolg het op 'n aansluiting by 'n nuwe netwerk, behandel die tydsberekening as bewyse en ondersoek wat verander het.
Hou 'n kort rekord: profielnaam, uitbreidingsidentifiseerder, operateur, sertifikaatduimafdruk as een bygevoeg is, en die datum. Die volgende persoon kan van daardie tydlyn begin eerder as van die bewoording van 'n dialoog.