’n Openbare rekenaar met ’n VPN gebruik: wat om eerste na te gaan
’n Tonnel beskerm die pad, nie die masjien aan weerskante nie. Besluit wie die gasheer beheer, wat op die skyf bly, en hoe om toegang te trek voordat jy aanmeld.
Geleende masjien, dringende taak, en ’n VPN-kliënt wat belowe om alles te versleutel: die volgorde voel veilig en is dit nie. ’n Tonnel beskerm die pad tussen twee eindpunte, en die eindpunt voor jou is die deel wat jy nie kan verifieer nie. Drie stappe hieronder bepaal of die toestel hoegenaamd bruikbaar is, hoe om geloofsbriewe daarvan weg te hou, en wat om daarna te doen sodat ’n tydelike sessie nie ’n permanente kopie word nie.
Die tonnel begin nadat die gasheer die data al gesien het
Versleuteling vind by die VPN-kliënt plaas, wat as ’n program op die masjien loop. Alles bokant daardie program, insluitend die blaaier, die bedryfstelsel en enige uitbreiding of drywer met genoeg toegang, hanteer jou data voordat dit versleutel word. Dit is nie ’n fout in die protokol nie; dit is waar die protokol sit.
Om die uitgangsadres na te gaan bewys dus byna niks oor die gasheer nie. ’n Masjien kan alle verkeer deur ’n skoon uitgang stuur en steeds elke toetsaanslag aanteken, en die twee feite is nie in stryd nie.
Die nuttige raamwerk is om te vra wat die gasheer kan sien eerder as wat die netwerk kan. Op ’n masjien wat iemand anders administreer, is daardie versameling groter as wat jy kan opsom.
Stap een: stel vas wie die toestel beheer
Beheer is ’n vraag oor administratiewe regte en fisieke toegang, nie oor beleefdheid nie. As ’n ander persoon sagteware kan installeer, ’n drywer kan laai, ’n toestel kan koppel of ’n beeld kan herstel, is die masjien se gedrag nie iets wat jy deur daarna te kyk kan vasstel nie. Administrasie is ’n vermoë, en vermoëns wys nie in ’n skermskoot nie. Vra die persoon wat die masjien vir jou gegee het.
Soek die gewone tekens, en hanteer elkeen as bewyse oor beheer eerder as bewys van veiligheid. Nie een daarvan is op sigself beslissend nie.
- ’n Gaste- of kioskrekening wat nie sagteware kan installeer nie, is ’n beter beginpunt as ’n administrateursrekening wat iemand vir jou gegee het.
- ’n Bestuurde toestel met ’n bekende eienaar en ’n ondersteuningskontak is beter as ’n onbewaakte terminal, selfs wanneer die terminal skoner lyk.
- ’n Masjien waar jy nie kan bepaal wie laas aangemeld het nie, is ’n masjien wie se toestand jy nie kan beskryf nie.
Nie een van hierdie kontroles maak ’n gedeelde gasheer betroubaar nie. Hulle sê vir jou of die risiko beperk genoeg is om met ’n beperkte taak voort te gaan, wat ’n ander en eerliker vraag is. Teken die antwoord aan voordat jy voortgaan.
Stap twee: hou geloofsbriewe van die gasheer af
’n Lewende profiel is nie ’n boekmerk nie. ’n OpenVPN-profiel kan ingebedde sertifikate en ’n private sleutel bevat, en om dit in te voer skryf daardie materiaal na ’n toestel wat nie joune is nie. Dieselfde geld vir ’n blaaiersessie wat ’n koekie stoor, en vir enige wagwoordbestuurder wat ’n kluis plaaslik kas.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Verkies die minste blywende toegang wat die diens ondersteun. ’n Webportaal wat per sessie verifieer en ’n tweede faktor vereis, laat minder agter as ’n lessenaarkliënt met ’n gestoorde profiel, en ’n sessie wat eindig wanneer die blaaier sluit, is beter as een wat ’n herbegin oorleef.
Kyk dan wat die masjien hou. Op ’n gedeelde Linux-gasheer is die profielligging maklik om te inspekteer, en op Windows neem die ekwivalente soektog een opdrag. Om ’n vorige gebruiker se profiel te vind, is ’n nuttige herinnering dat joune op dieselfde manier hanteer sou word.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueStap drie: beëindig toegang vanaf ’n plek wat jy vertrou
Om plaaslik skoon te maak is die moeite werd en is nie genoeg nie. Meld by die diens af, sluit die blaaier, verwyder enige afgelaaide lêer, en doen dan die stap wat werklik saak maak: trek die sessie of die geloofsbrief van ’n toestel af wat jy beheer.
Daardie laaste handeling is die een wat mense oorslaan, want die plaaslike skerm lyk skoon. ’n Sessietoken wat deur sagteware op die gasheer gekopieer is, bly werk nadat jy weg is, en dit maak nie saak dat die blaaier gesluit is nie. Intrekking is die enigste stap wat aanvaar dat die gasheer dalk vyandig was. Dit is ook die enigste een wat steeds werk as dit so was.
As ’n private sleutel of herstelgeheim die masjien aangeraak het, hanteer dit as blootgestel en roteer dit eerder as om na kopieë te soek. Vir ’n rekening wat ’n tweede faktor gebruik het, hersien ook die toestelle en sessies wat die verskaffer lys, want ’n token wat tydens jou besoek uitgereik is, kan nog aktief wees.
Skryf die uitkoms neer terwyl dit vars is: watter toestel, watter rekening, wat geïnstalleer is, wat ingetrek is en wanneer. Daardie nota is wat die volgende persoon in staat stel om die enigste vraag te antwoord wat daarna saak maak, naamlik of iets steeds toegang het.
’n Privaat beheerde toestel het steeds instandhouding nodig, en dit gee jou ’n basis om die eindpunt te bestuur wat ’n geleende terminal nooit sal gee nie. Die tonnel was die maklike deel.