Defnyddio cyfrifiadur cyhoeddus gyda VPN: beth i’w wirio yn gyntaf
Mae twnnel yn amddiffyn y llwybr, nid y peiriant ar y naill ben na’r llall. Penderfynwch pwy sy’n rheoli’r gwesteiwr, beth sy’n aros ar y disg, a sut i ddirymu mynediad cyn i chi fewngofnodi.
Peiriant benthyg, tasg frys, a chleient VPN sy’n addo amgryptio popeth: mae’r dilyniant yn teimlo’n ddiogel ac nid yw. Mae twnnel yn amddiffyn y llwybr rhwng dau ben, a’r pen o’ch blaen yw’r rhan na allwch ei gwirio. Mae’r tri cham isod yn penderfynu a yw’r ddyfais yn ddefnyddiadwy o gwbl, sut i gadw manylion mewngofnodi oddi arni, a beth i’w wneud wedyn fel na ddaw sesiwn dros dro yn gopi parhaol.
Mae’r twnnel yn dechrau ar ôl i’r gwesteiwr weld y data yn barod
Mae amgryptio’n digwydd yn y cleient VPN, sy’n rhedeg fel rhaglen ar y peiriant. Mae popeth uwchlaw’r rhaglen honno, gan gynnwys y porwr, y system weithredu ac unrhyw estyniad neu yrrydd â digon o fynediad, yn trin eich data cyn iddo gael ei amgryptio. Nid yw hynny’n ddiffyg yn y protocol; dyna lle mae’r protocol yn eistedd.
Felly nid yw gwirio’r cyfeiriad allan yn profi bron ddim am y gwesteiwr. Gall peiriant lwybro’r holl draffig drwy allanfa lân ac eto gofnodi pob gwasgiad bysell, ac nid yw’r ddau ffaith yn gwrthdaro.
Y ffordd ddefnyddiol yw gofyn beth y gall y gwesteiwr ei arsylwi yn hytrach na beth y gall y rhwydwaith ei wneud. Ar beiriant y mae rhywun arall yn ei weinyddu, mae’r set honno’n fwy nag y gallwch ei rhestru.
Cam un: sefydlwch pwy sy’n rheoli’r ddyfais
Mae rheolaeth yn gwestiwn o hawliau gweinyddol a mynediad corfforol, nid o gwrteisi. Os gall rhywun arall osod meddalwedd, llwytho gyrrwr, cysylltu dyfais neu adfer delwedd, nid yw ymddygiad y peiriant yn rhywbeth y gallwch ei sefydlu drwy edrych arno. Mae gweinyddu’n allu, ac nid yw galluoedd yn ymddangos mewn sgrinlun. Gofynnwch i’r person a roddodd y peiriant i chi.
Chwiliwch am yr arwyddion arferol, a thriniwch bob un fel tystiolaeth am reolaeth yn hytrach na phrawf o ddiogelwch. Nid oes yr un ohonynt yn bendant ar ei phen ei hun.
- Mae cyfrif gwestai neu giosg na all osod meddalwedd yn fan cychwyn gwell na chyfrif gweinyddwr a roddwyd i chi gan rywun.
- Mae dyfais reoledig â pherchennog hysbys a chyswllt cymorth yn well na therfynell heb neb yn gofalu amdani, hyd yn oed pan fo’r derfynell yn edrych yn lanach.
- Mae peiriant na allwch benderfynu pwy fewngofnododd ddiwethaf yn beiriant na allwch ddisgrifio ei gyflwr.
Nid yw’r un o’r gwiriadau hyn yn gwneud gwesteiwr a rennir yn ddibynadwy. Maent yn dweud wrthych a yw’r risg wedi’i chyfyngu’n ddigonol i barhau â thasg gyfyngedig, sy’n gwestiwn gwahanol ac yn fwy gonest. Cofnodwch yr ateb cyn i chi barhau.
Cam dau: cadwch fanylion mewngofnodi oddi ar y gwesteiwr
Nid yw proffil byw yn nod tudalen. Gall proffil OpenVPN gynnwys tystysgrifau mewnosod a allwedd breifat, ac mae ei fewnforio’n ysgrifennu’r deunydd hwnnw i ddyfais nad yw’n eiddo i chi. Mae’r un peth yn wir am sesiwn porwr sy’n storio cwci, ac am unrhyw reolwr cyfrinair sy’n cadw’r gladdgell yn lleol.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Ffafriwch y mynediad lleiaf parhaol y mae’r gwasanaeth yn ei gefnogi. Mae porth gwe sy’n dilysu fesul sesiwn ac yn gofyn am ail ffactor yn gadael llai ar ôl na chleient bwrdd gwaith â phroffil wedi’i gadw, ac mae sesiwn sy’n gorffen pan fydd y porwr yn cau yn well na sesiwn sy’n goroesi ailgychwyn.
Yna gwiriwch beth mae’r peiriant yn ei gadw. Ar westeiwr Linux a rennir mae lleoliad y proffil yn hawdd i’w archwilio, ac ar Windows mae’r chwiliad cyfatebol yn cymryd un gorchymyn. Mae dod o hyd i broffil defnyddiwr blaenorol yn atgof defnyddiol y byddai eich un chi’n cael yr un driniaeth.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueCam tri: terfynwch fynediad o rywle yr ydych yn ymddiried ynddo
Mae glanhau’n lleol yn werth ei wneud ac nid yw’n ddigon. Allgofnodwch o’r gwasanaeth, cauwch y porwr, tynnwch unrhyw ffeil a lawrlwythwyd, ac yna gwnewch y cam sy’n wirioneddol bwysig: dirymwch y sesiwn neu’r manylion mewngofnodi o ddyfais yr ydych yn ei rheoli.
Y cam olaf hwnnw yw’r un y mae pobl yn ei hepgor, oherwydd bod y sgrin leol yn edrych yn lân. Mae tocyn sesiwn a gopïwyd gan feddalwedd ar y gwesteiwr yn parhau i weithio ar ôl i chi gerdded i ffwrdd, ac nid oes ganddo ots bod y porwr wedi cau. Dirymu yw’r unig gam sy’n tybio y gallai’r gwesteiwr fod wedi bod yn elyniaethus. Dyma hefyd yr unig un sy’n dal i weithio os felly y bu.
Os bu allwedd breifat neu gyfrinach adfer yn cyffwrdd â’r peiriant, triniwch hi fel un sydd wedi’i datgelu a’i chylchdroi yn hytrach na chwilio am gopïau. Ar gyfer cyfrif a ddefnyddiodd ail ffactor, adolygwch hefyd y dyfeisiau a’r sesiynau y mae’r darparwr yn eu rhestru, oherwydd gall tocyn a roddwyd yn ystod eich ymweliad fod yn weithredol o hyd.
Ysgrifennwch y canlyniad tra mae’n ffres: pa ddyfais, pa gyfrif, beth a osodwyd, beth a ddirymwyd a phryd. Y nodyn hwnnw sy’n caniatáu i’r person nesaf ateb yr unig gwestiwn sy’n bwysig wedyn, sef a oes unrhyw beth yn dal i gael mynediad.
Mae angen cynnal a chadw ar ddyfais o dan reolaeth breifat o hyd, ac mae’n rhoi sail i chi reoli’r pen na fydd terfynell fenthyg byth yn ei rhoi. Y twnnel oedd y rhan hawdd.