Upozornění na filtrovanou nebo sledovanou Mac VPN: co povoluje

Toto upozornění je povolení, ne diagnóza. Když macOS oznámí, že konfigurace bude filtrovat nebo sledovat provoz, sděluje vám, že komponenta, kterou jste schválili, vidí cestu, kterou pokrývá, a ptá se, zda je to přijatelné. Dialog vám nemůže říci, kdo komponentu spravuje, co zaznamenává ani zda něco dešifruje. Tyto odpovědi jsou v profilu, seznamu rozšíření a certifikátech na stroji, proto začněte tam, místo abyste znovu četli větu.

Čtěte oznámení jako otázku na rozsah

Každé oznámení o aktivaci ukazuje na dvě věci, aniž by je jasně pojmenovalo: rozšíření, které bude obsluhovat provoz, a konfiguraci, která provoz do něj směruje. V současném macOS jsou tyto komponenty systémová rozšíření NetworkExtension a instalace nebo aktivace jednoho vyžaduje schválení v Nastavení systému. Formulace zůstává široká, protože operační systém nemůže vědět, zda schvalujícím je IT oddělení, předplatné VPN nebo filtrovací agent přiložený k něčemu jinému.

Proto stejný text pokrývá tři různá uspořádání. Spravovaný Mac dostává profil od správy zařízení, osobní Mac dostává konfiguraci od aplikace, kterou jste nainstalovali, a bezpečnostní produkt může nainstalovat filtr, který se nikdy neprezentuje jako VPN. Žádná z těchto značek nerozhoduje o záměru. Jen vám říkají, které strany se máte zeptat první.

Dva příkazy tyto případy rychle oddělí. První vypíše nainstalovaná systémová rozšíření a zda je každé aktivní, druhý vypíše konfigurační profily s jejich obsahem a organizací, která je podepsala.

systemextensionsctl list
profiles show -type configuration

Rozlište tunel od filtru

Paketový tunel dává Macu trasu a nese vše, co do něj směrovací tabulka pošle. Filtr obsahu sedí na úrovni toku, vidí každé spojení a může je povolit, zablokovat nebo přesměrovat. Produkt může dodávat obojí najednou a upozornění se tím nemění. Rozdíl je důležitý, protože důkaže, které můžete shromáždit, a selhání, která uvidíte, jsou odlišné.

Kontrolujte kategorii rozšíření, ne marketingový název. Tunel se obvykle objevuje jako konfigurace VPN a jako síťové rozšíření, zatímco filtr nemusí mít vůbec žádnou službu VPN. Pokud produkt nabízí oba režimy, aktivní konfigurace vybírá jeden a přepnutí režimu může změnit pokrytí, aniž by se změnil dodavatel.

Seznam služeb VPN je nejrychlejší způsob, jak zjistit, zda tunel existuje. Filtr, který není VPN, se v něm neobjeví, což je samo o sobě užitečná informace.

scutil --nc list

Odznak připojeno není důkazem pokrytí. Aplikace lze vyloučit pravidly pro jednotlivé aplikace a provoz do místních sítí často tunel záměrně obchází. Když se jedna aplikace chová, jako by nebyla sledována, podezírejte trasu nebo vyloučení, než usoudíte, že monitor je rozbitý.

Co se operátor dozví, aniž by četl obsah

Metadata nejsou útěchou. Adresy, porty, názvy DNS, časy připojení, počty bajtů a identita, která se ověřila, jsou pro komponentu na cestě viditelné. Opakované návštěvy jednoho hostitele ve stejnou hodinu vytvářejí rutinu a rutina může říci víc než jedna stránka.

To je poctivá odpověď na obvyklou otázku. Operátor vidí kde a kdy, i když obsah zůstává zapečetěný.

Viditelnost obsahu vyžaduje druhou, hlasitější změnu. Správně ověřená relace HTTPS zůstává pro tunel nebo tokový filtr neprůhledná, stejně jako místní soubory a provoz, který na pokrytou cestu nikdy nevstoupí. Čtení těl stránek vyžaduje certifikační autoritu, které Mac už důvěřuje, tedy odposlouchávací certifikát nainstalovaný s vlastním schválením. Tento krok posouvá hranici od metadat k obsahu a zaslouží si samostatné zkoumání.

Rozsah se také zastavuje u zařízení. Tunel na jednom notebooku nepokrývá telefon, tablet ani stroj jiné osoby na stejné Wi-Fi a firemní klient nemůže inventarizovat ostatní hosty kavárny. Software pro správu zařízení může shromáždit víc, než tunel odhalí, ale to je samostatná kontrola s jiným vlastníkem politiky.

Prohlédněte úložiště certifikátů, než začnete panikařit

Důvěryhodný kořen je rozdíl mezi sledováním provozu a jeho čtením. Prohlédněte systémovou klíčenku a hledejte autority, které neznáte, a poznamenejte si ty, které se objevily kolem doby oznámení. Spravovaný Mac může legitimně nést inspekční kořen vložený zaměstnavatelem a pak rozhovor patří správci. Osobní Mac, který takový získal náhodou, má zjištění, které stojí za akci. Zapište běžný název, vydavatele a datum přidání, aby na otázku šlo později odpovědět.

Porovnejte tento seznam s tím, co hlásí správa zařízení. Pokud se seznam profilů a seznam certifikátů rozcházejí, rozhoduje o tom, co Mac přijme, seznam certifikátů.

Dva příkazy pokrývají většinu kontroly. První vypíše konfigurační profily; druhý vypíše certifikáty v systémové klíčence spravované administrátorem, kam obvykle přidaný kořen doputuje.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Standardní kořeny Apple žijí v samostatné klíčence a tady nejde o starost. Prázdný výsledek druhého příkazu je na osobním Macu běžný. Naplněný výsledek si zaslouží čtení subjekt po subjektu, než ho odmítnete.

Rozhodněte a pak zapište proč

Schválení je rozumné, když umíte pojmenovat operátora, komponentu a důvod a když žádost odpovídá volbě, kterou jste učinili vy nebo vaše organizace. Vyšetřování je správná reakce, když oznámení přijde bez kontextu, zejména po změně sítě nebo nesouvisející instalaci. Nejprve se odpojte, zachyťte identifikátor profilu a rozšíření, pak rozhodněte. Odstranění je třetí cesta a obnoví dřívější směrování, aniž by se dotklo účtu.

Berte souhlas a odstranění jako samostatná rozhodnutí učiněná v různou dobu. Schválení filtru dnes vás nezavazuje si ho ponechat a odstranění profilu nesmaže serverové záznamy o tom, co bylo pozorováno, dokud byl aktivní.

Pokud oznámení následovalo po aktualizaci softwaru, který už používáte, přečtěte si poznámky k vydání dané verze, než kliknete. Dodavatelé mezi vydáními architekturu rozšíření opravdu mění a nový filtr může přijít s rutinní aktualizací. Pokud oznámení následovalo po připojení k nové síti, berte načasování jako důkaz a prohlédněte, co se změnilo.

Veďte krátký záznam: název profilu, identifikátor rozšíření, operátor, otisk certifikátu, pokud byl přidán, a datum. Další člověk může začít z této chronologie místo z formulace dialogu.