ফিল্টার বা নজরদারিযুক্ত Mac VPN সতর্কবার্তা: এটি কী অনুমোদন করে
macOS বিজ্ঞপ্তিটি একটি সম্মতির অনুরোধ — আচ্ছাদিত পথে অপারেটর কী পরিদর্শন করতে পারে তা নিয়ে; এটি ম্যালওয়্যার সম্পর্কে রায় বা আপনার ট্রাফিক ডিক্রিপ্ট হচ্ছে তার প্রমাণ নয়।
সেই সতর্কবার্তা একটি অনুমতিপত্র, রোগনির্ণয় নয়। macOS যখন বলে কোনো কনফিগারেশন ট্রাফিক ফিল্টার বা নজরদারি করবে, তখন এটি আপনাকে জানায় যে আপনার অনুমোদিত একটি উপাদান তার আচ্ছাদিত পথটি দেখতে পায়, এবং জিজ্ঞাসা করে এটি গ্রহণযোগ্য কি না। ডায়ালগটি আপনাকে বলতে পারে না উপাদানটি কে চালায়, কী রেকর্ড করে, বা কিছু ডিক্রিপ্ট করে কি না। এসব উত্তর প্রোফাইলে, এক্সটেনশন তালিকায় এবং মেশিনের সার্টিফিকেটে থাকে, তাই বাক্যটি আবার পড়ার বদলে সেখান থেকে শুরু করুন।
বিজ্ঞপ্তিটিকে পরিধির প্রশ্ন হিসেবে পড়ুন
প্রতিটি সক্রিয়করণ বিজ্ঞপ্তি দুটি জিনিসের দিকে ইঙ্গিত করে, স্পষ্টভাবে নাম না নিয়েই: যে এক্সটেনশন ট্রাফিক সামলাবে এবং যে কনফিগারেশন ট্রাফিককে তার দিকে চালায়। বর্তমান macOS-এ এই উপাদানগুলি NetworkExtension সিস্টেম এক্সটেনশন, এবং এগুলির একটি ইনস্টল বা সক্রিয় করতে সিস্টেম সেটিংসে অনুমোদন লাগে। ভাষা বিস্তৃত থাকে কারণ অপারেটিং সিস্টেম জানতে পারে না অনুমোদনকারী কোনো আইটি বিভাগ, সাবস্ক্রিপশন VPN, নাকি অন্য কিছুর সঙ্গে আসা ফিল্টারিং এজেন্ট।
তাই একই লেখা তিনটি ভিন্ন ব্যবস্থাকে আচ্ছাদন করে। ম্যানেজড Mac ডিভাইস ম্যানেজমেন্ট থেকে প্রোফাইল পায়, ব্যক্তিগত Mac আপনার ইনস্টল করা অ্যাপ থেকে কনফিগারেশন পায়, এবং কোনো নিরাপত্তা পণ্য এমন ফিল্টার ইনস্টল করতে পারে যা নিজেকে কদায় VPN হিসেবে উপস্থাপন করে না। এই লেবেলগুলির কোনোটিই উদ্দেশ্য নির্ধারণ করে না। এগুলি কেবল বলে প্রথমে কোন পক্ষকে জিজ্ঞাসা করবেন।
দুটি কমান্ড এই ক্ষেত্রগুলিকে দ্রুত আলাদা করে। প্রথমটি ইনস্টল করা সিস্টেম এক্সটেনশন এবং প্রতিটি সক্রিয় কি না তা তালিকাভুক্ত করে, দ্বিতীয়টি কনফিগারেশন প্রোফাইল তাদের পেলোড ও স্বাক্ষরকারী সংস্থাসহ তালিকাভুক্ত করে।
systemextensionsctl list
profiles show -type configurationটানেল ও ফিল্টার আলাদা করুন
প্যাকেট টানেল Mac-কে একটি রুট দেয় এবং রাউটিং টেবিল যা পাঠায় তা বহন করে। কনটেন্ট ফিল্টার ফ্লো স্তরে বসে, প্রতিটি সংযোগ দেখে, এবং তা অনুমোদন, ব্লক বা পুনর্নির্দেশ করতে পারে। একটি পণ্য একসঙ্গে দুটোই দিতে পারে, এবং তখন সতর্কবার্তা বদলায় না। পার্থক্যটি গুরুত্বপূর্ণ কারণ আপনি যে প্রমান সংগ্রহ করতে পারেন এবং যে ব্যর্থতা দেখবেন তা আলাদা।
মার্কেটিং নাম নয়, এক্সটেনশন বিভাগ দেখুন। টানেল সাধারণত একটি VPN কনফিগারেশন ও নেটওয়ার্ক এক্সটেনশন হিসেবে দেখা যায়, আর ফিল্টারের কোনো VPN পরিষেবা নাই এমনও হতে পারে। পণ্যটি দুটি মোডই দিলে সক্রিয় কনফিগারেশন একটি বেছে নয়, এবং মোড বদলালে ভেন্ডর না বদলেও আচ্ছাদিত পরিধি বদলাতে পারে।
VPN পরিষেবার তালিকা টানেল আছে কি না দেখার দ্রুততম উপায়। যে ফিল্টার VPN নয় তা এতে দেখা যাবে না, এবং এটি নিজেই উপকারী তথ্য।
scutil --nc listসংযুক্ত ব্যাজ আচ্ছাদনের প্রমাণ নয়। প্রতি-অ্যাপ নিয়মে অ্যাপ বাদ দেওয়া যায়, এবং স্থানীয় নেটোয়ার্কে ট্রাফিক প্রায়শই নকশা অনুযায়ী টানেল এড়িয়ে যায়. যখন কোনো অ্যাপ নিজেকে অনিরীক্ষিত মনে করে, মনিটর নষ্ট ধরে নেআর আগে রুট বা বাদ দেওয়ার কথা ভাবুন।
অপারেটর পেলোড না পড়েই কী জানতে পারে
মেটাডেটা সান্ত্বনার পুরস্কার নয়। ঠিকানা, পোর্ট, DNS নাম, সংযোগের সময়, বাইট সংখ্যা এবং যে পরিচয় প্রমাণিত হয়েছে — সবই পথের উপাদানটির কাছে দৃশ্যমান। একই হোস্টে একই সময়ে বারবার যাওয়া একটি রুটিন তৈরি করে, আর রুটিন একটি পৃষ্ঠার চেয়ে বেশি বলতে পারে।
সাধারণ প্রশ্নের সত উত্তর এটিই। অপারেটর দেখতে পায় কোথায় ও কখন, এমনকি বিষয়বস্তু সিলমোহর থাকলেও।
পেলোডের দৃশ্যমানতার জন্য দ্বিতীয়, আরও জোরালো পরিবর্তন দরকার। সঠিকভাবে যাচাই করা HTTPS সেশন টানেল বা ফ্লো ফিল্টারের কাছে অস্বচ্ছ থাকে, যেমন থাকে স্থানীয় ফাইল ও যে ট্রাফিক কদায় আচ্ছাদিত পথে ঢোকে না। পৃষ্ঠার মূল অংশ পড়তে Mac যে সার্টিফিকেট কর্তৃপক্ষকে ইতিমধ্যে বিশ্বাস করে তা লাগে, অর্থাৎ নিজস্ব অনুমোদনে ইনস্টল করা একটি আটকানো সার্টিফিকেট। সেই পদক্ষেপ সীমাকে মেটাডেটা থেকে বিষয়বস্তুর দিকে সরায় দেয় এবং আলাদা যাচাইের দাবি করে।
পরিধি ডিভাইসেই থামে। একটি ল্যাপটপের টানেল একই Wi-Fi-এ থাকা ফোন, ট্যাবলেট বা অন্য কারো মেশিন আচ্ছাদন করে না, এবং কর্পোরেট ক্লায়েন্ট ক্যাফের অন্য গ্রাহকদের তালিকাভুক্ত করতে পারে না। ডিভাইস ম্যানেজমেন্ট সফটওয়্যার টানেল যা প্রকাশ করে তার চেয়ে বেশি সংগ্রহ করতে পারে, কিন্তু সেটি ভিন্ন নীতিমালার মালিকের আলাদা নিয়ন্ত্রণ।
| Artifact | Visible on the covered path | Extra step required |
|---|---|---|
| Destination address and port | Yes | None |
| DNS names and query timing | Usually | None |
| HTTPS request and response bodies | No | Trusted root certificate |
| Files already stored on the Mac | No | Endpoint agent |
| Other devices on the same Wi-Fi | No | Separate enrollment |
আতঙ্কিত হওয়ার আগে সার্টিফিকেট ভাণ্ডার পরীক্ষা করুন
বিশ্বস্ত রুট হলো ট্রাফিক দেখা ও পড়ার মধ্যে পার্থক্য। সিস্টেম কীচেইনে এমন কর্তৃপক্ষ খুঁজুন যাদের আপনি চেনেন না, এবং বিজ্ঞপ্তির সময়ের আশেপাশে যেগুলি এসেছে তা নোট করুন। ম্যানেজড Mac বৈধভাবে নিয়োগকর্তার পাঠানো পরিদর্শন রুট বহন করতে পারে, তখন কথাটি প্রশাসকের সাথে। ব্যক্তিগত Mac যদি ভুলে একটি পেয়ে থাকে, সেটি ব্যবস্থা নেয়ার মতো একটি ফলাফল। সাধারণ নাম, ইস্যুকারী ও যোগ করার তারিখ লিখে রাখুন যাতে প্রশ্নটি পরে উত্তর দেওয়া যায়।
এই তালিকাটি ডিভাইস ম্যানেজমেন্ট যা জানায় তার সঙ্গে তুলনা করুন। প্রোফাইল তালিকা ও সার্টিফিকেট তালিকা অমিল হলে সার্টিফিকেট তালিকাই ঠিক করে Mac কী গ্রহণ করবে।
দুটি কমান্ড পরীক্ষার বেশিরভাগ অংশ কভার করে। প্রথমটি কনফিগারেশন প্রোফাইল ছাপে; দ্বিতীয়টি প্রশাসক-নিয়ন্ত্রিত সিস্টেম কীচেইনের সার্টিফিকেট ছাপে, যেখানে যোগ করা রুট সাধারণত জমা হয়।
profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychainস্টক Apple রুট আলাদা কীচেইনে থাকে এবং এখানে উদ্বেগের বিষয় নয়। দ্বিতীয় কমান্ড থেকে খালি ফলাফল ব্যক্তিগত Mac-এ সাধারণ। ভরা ফলাফল অবহেলা করার আগে বিষয়ভিত্তিকভাবে পড়ার যোগ্য।
সিদ্ধান্ত নিন, তারপর কারণ লিখে রাখুন
অনুমোদন যুক্তিসঙ্গত যখন আপনি অপারেটর, উপাদান ও কারণের নাম বলতে পারেন, এবং যখন অনুরোধটি আপনি বা আপনার সংস্থা যে সিদ্ধান্ত নিয়েছে তার সঙ্গে মিলে। তদন্ত হেলো সঠিক প্রতিক্রিয়া যখন বিজ্ঞপ্তি প্রসঙ্গহীনভাবে আসে, বিশেষত নেটওয়ার্ক পরিবর্তন বা অসম্পর্কিত ইনস্টলের পরে। প্রথমে সংযোগ বিচ্ছিন্ন করুন, প্রোফাইল শনাক্তকারী ও এক্সটেনশন ধরে রাখুন, তারপর সিদ্ধান্ত নিন। অপসারণ তৃতীয় পথ, এবং এটি অ্যাকাউন্ট স্পর্শ না করেই আগের রাউটিং ফিরিয়ে দেয়।
সম্মতি ও অপসারণকে আলাদা সময়ে নেয়া আলাদা সিদ্ধান্ত হিসেবে দেখুন। আজ ফিল্টার অনুমোদন করলে তা রাখতে আপনি বাধ্য থাকেন না, আর প্রোফাইল অপসারণ করলে সক্রিয় থাকার সময় যা দেখা হয়েছে তার সার্ভার-পার্শের রেকর্ড মুছে যায় না।
বিজ্ঞপ্তি যদি আপনি ইতিমধ্যে চালানো সফটওয়্যারের আপডেটের পরে আসে, ক্লিক করার আগে সেই সংস্করণের রিলিজ নোট পড়ুন। ভেন্ডররা সংস্করণের মধ্যে এক্সটেনশন স্থাপত্য সির্তিই বদলায়, এবং রুটিন আপডেটের সঙ্গেই নতুন ফিল্টার আসতে পারে। বিজ্ঞপ্তি যদি নতুন নেটওয়ার্কে যোগ দেওয়ার পরে আসে, সময়টিকে প্রমান হিসেবে দেখুন এবং কী বদলেছে তা পরীক্ষা করুন।
সংক্ষিপ্ত রেকর্ড রাখুন: প্রোফাইলের নাম, এক্সটেনশন শনাক্তকারী, অপারেটর, যোগ করা হলে সার্টিফিকেটের থাম্বপ্রিন্ট এবং তারিখ। পরের ব্যক্তি ডায়ালগের ভাষা নয়, সেই সময়রেখা থেকেই শুরু করতে পারবে।