Výzvy k oprávněním VPN na Macu: které vlastně schvalujete?
Souhlas s konfigurací sítě, přístup ke klíčence, firewall a úplný přístup k disku jsou čtyři různá oprávnění. Schvalte to, které má doložený účel.
Klient VPN si žádá oprávnění a vy kliknete na Povolit, protože alternativa je spojení, které se nenaváže. Právě tímto návykem skončí stroj se širokými oprávněními, která nikdo nedokáže vysvětlit. Výzvy nejsou zaměnitelné: každá schvaluje jinou schopnost a stejný název aplikace se může objevit před všemi. Než se rozhodnete, přečtěte si větu pod ikonou.
Čtyři oprávnění za obvyklými výzvami
Uložení konfigurace VPN je první. V macOS aplikace používající nativní Personal VPN API potřebuje při prvním uložení konfigurace výslovné svolení, a proto se dialog objeví při instalaci, ne při připojení. Odmítnutí ponechá klienta nainstalovaného, ale neschopného uložit profil – to je stav, ze kterého se lze dostat.
Klíčenka je druhý. Načtení uloženého hesla pro konkrétní položku je jiné rozhodnutí než důvěra v server, který ho dostane. Firewall je třetí a jeho ovládání aplikací řídí příchozí spojení, ne to, kterým rozhraním váš provoz odchází. Úplný přístup k disku je čtvrtý a právě ten se uděluje ze špatných důvodů.
| Prompt | What you are approving | What it does not prove |
|---|---|---|
| Save a VPN configuration | The configuration operation itself | That the gateway is legitimate or that the account works |
| Access a Keychain item | This component reading this credential | Trust in the server or access for other apps |
| Allow incoming connections | Traffic reaching the app from the network | That outgoing traffic uses the tunnel |
| Full Disk Access | Broad access to protected data | Anything about VPN configuration or login |
Úplný přístup k disku není nikdy oprava VPN
Referenční příručka Apple o soukromí popisuje úplný přístup k disku jako široký přístup zahrnující data jiných aplikací, zálohy a některá administrativní nastavení. Files & Folders je užší ovládání podle umístění, které pokrývá většinu legitimních potřeb práce se soubory.
Některé bezpečnostní produkty skutečně dokumentují funkci, která široký přístup potřebuje, a když ano, žádost má uvést komponentu a verzi. Co byste neměli přijmout, je dialog konfigurace sítě, na který se odpovídá oprávněním k disku, protože se první dialog pořád vracel.
Tato dvě oprávnění nemají nic společného. Udělení jednoho, aby umlčelo druhé, vám nechá více rozdaného přístupu a stejný nevyřešený problém.
Postup: co dělat s nečekanou výzvou
Začněte tím, že zachytíte přesné znění a název komponenty, a pořiďte snímek obrazovky místo parafráze. Znění se mezi verzemi mění a právě přesná věta je to, co dodavatel nebo správce rozpozná. Snímek také ukončí spory o tom, co dialog skutečně říkal.
Pak zjistěte, co si oprávnění žádá. Zkontrolujte verzi aplikace a kdo ji podepsal a ověřte, že jde o klienta, kterého považujete za nainstalovaný, a ne o pomocný nástroj, aktualizátor nebo zbytek po produktu, který jste odstranili.
Rozhodněte podle jedné otázky: má tato komponenta v této verzi doloženou potřebu této schopnosti? Pokud dokumentace dodavatele nic takového neuvádí, výzvu odmítněte a zjistěte, proč se objevila, protože nevysvětlená žádost je informace, ne překážka.
Až se rozhodnete, zopakujte jeden běžný pokus o připojení a poznamenejte, zda se něco změnilo. Oprávnění udělené uprostřed nesouvisejícího problému se později hodnotí těžko, a proto je pořadí stejně důležité jako odpověď.
Proč se stejná výzva vrací
Opakované svolení obvykle znamená, že se rozhodnutí neukládá tam, kde ho komponenta čeká, že položku znovu vytvořila reinstalace, nebo že ji resetuje správa. Poznamenejte, kdy se objeví: při spuštění, při připojení, při odpojení nebo po restartu. Toto načasování zúží příčinu rychleji než kterýkoli protokol, který si potom přečtete.
Na spravovaném Macu může skutečná odpověď přijít z konfiguračního profilu, ne z vašeho kliknutí; v takovém případě opětovné kliknutí na Povolit nic nevyřeší. Než budete mačkat stejné tlačítko dál, zeptejte se správce, která politika tu komponentu řídí.
Pokud výzva spolehlivě následuje určitou akci, je to použitelný záznam o chybě. Pokud se objevuje náhodně, zaznamenejte na den časové značky a hledejte vzorec v tom, co jiného stroj dělal.
Nechte po sobě záznam, který použije někdo jiný
Zapište komponentu, schopnost, důvod a datum na stejné místo, kde držíte zbytek konfigurace. Budoucí vy si nebude pamatovat, který dialog byl pro co schválen. Jeden řádek na oprávnění stačí; inventář, který nikdo neudržuje, je horší než žádný.
Test dobrého rozhodnutí je tady jednoduchý: dokážete vysvětlit, proč toto oprávnění existuje, aniž byste otevřeli aplikaci? Pokud ne, je kandidátem na revizi a příručka nastavení soukromí a zabezpečení je místo, kde začít číst, co každé z nich skutečně pokrývá.