Advarsel om filtreret eller overvåget Mac VPN: hvad den tillader

Advarslen er en tilladelse, ikke en diagnose. Når macOS siger, at en konfiguration vil filtrere eller overvåge trafik, fortæller det dig, at en komponent, du har godkendt, kan se den rute, den dækker, og spørger, om det er acceptabelt. Dialogen kan ikke fortælle, hvem der driver komponenten, hvad den registrerer, eller om den dekrypterer noget. Svarene ligger i profilen, udvidelseslisten og certifikaterne på maskinen, så start der i stedet for at læse sætningen igen.

Læs meddelelsen som et spørgsmål om omfang

Hver aktiveringsmeddelelse peger på to ting uden at navngive dem klart: den udvidelse, der skal håndtere trafik, og den konfiguration, der leder trafik ind i den. På nuværende macOS er disse komponenter NetworkExtension-systemudvidelser, og installation eller aktivering af en kræver godkendelse i Systemindstillinger. Formuleringen forbliver bred, fordi styresystemet ikke kan vide, om godkenderen er en IT-afdeling, en abonnements-VPN eller en filtreringsagent, der følger med noget andet.

Derfor dækker samme tekst tre forskellige opsætninger. En administreret Mac modtager en profil fra enhedsstyring, en personlig Mac får en konfiguration fra en app, du har installeret, og et sikkerhedsprodukt kan installere et filter, der aldrig præsenterer sig som en VPN. Ingen af disse mærkater afgør hensigten. De fortæller dig kun, hvilken part du skal spørge først.

To kommandoer skiller de tilfælde hurtigt. Den første viser installerede systemudvidelser og om hver enkelt er aktiv, og den anden viser konfigurationsprofiler med deres indhold og den signerende organisation.

systemextensionsctl list
profiles show -type configuration

Skeln en tunnel fra et filter

En pakketunnel giver Mac'en en rute og bærer alt, hvad routingtabellen sender ind i den. Et indholdsfilter sidder på flowniveau, ser hver forbindelse og kan tillade, blokere eller omdirigere den. Et produkt kan levere begge på én gang, og advarslen ændrer sig ikke, når det gør. Forskellen betyder noget, fordi de beviser, du kan indsamle, og de fejl, du vil se, er forskellige.

Kontroller udvidelseskategorien frem for marketingnavnet. En tunnel vises normalt som en VPN-konfiguration og som en netværksudvidelse, mens et filter måske slet ikke har nogen VPN-tjeneste. Hvis produktet tilbyder begge tilstande, vælger den aktive konfiguration én, og skift af tilstand kan ændre det dækkede uden at ændre leverandøren.

Listen over VPN-tjenester er den hurtigste måde at se, om der findes en tunnel. Et filter, der ikke er en VPN, vises ikke i den, hvilket i sig selv er nyttig information.

scutil --nc list

Et tilsluttet-mærke er ikke bevis på dækning. Apps kan udelukkes af regler pr. app, og trafik til lokale netværk omgår ofte tunnelen ved design. Når en applikation opfører sig, som om den ikke overvåges, så mistænk en rute eller en udelukkelse, før du antager, at overvågningen er brudt.

Hvad operatøren lærer uden at læse indhold

Metadata er ikke en trøstepræmie. Adresser, porte, DNS-navne, forbindelsestider, byttetællinger og den identitet, der blev godkendt, er alle synlige for komponenten på ruten. Gentagne besøg på én vært på samme time bygger en rutine, og en rutine kan sige mere end en enkelt side.

Det er det ærlige svar på det sædvanlige spørgsmål. Operatøren kan se hvor og hvornår, selv når indholdet forbliver forseglet.

Synlighed af indhold kræver en anden, kraftigere ændring. En korrekt valideret HTTPS-session forbliver uigennemsigtig for en tunnel eller et flowfilter, og det samme gør lokale filer og trafik, der aldrig kommer ind på den dækkede rute. Læsning af sideindhold kræver en certifikatmyndighed, som Mac'en allerede stoler på, hvilket betyder et aflytningscertifikat installeret med sin egen godkendelse. Det trin flytter grænsen fra metadata til indhold og fortjener særskilt granskning.

Omfanget stopper også ved enheden. En tunnel på én bærbar dækker ikke en telefon, en tablet eller en anden persons maskine på samme Wi-Fi, og en virksomhedsklient kan ikke opgøre cafeens øvrige gæster. Enhedsstyringssoftware kan indsamle mere, end tunnelen afslører, men det er en separat kontrol med en anden politikejer.

Inspicér certifikatlageret, før du går i panik

En betroet rod er forskellen mellem at se trafik og at læse den. Inspicér systemnøgleringen for myndigheder, du ikke genkender, og notér dem, der dukkede op omkring meddelelsens tidspunkt. En administreret Mac kan legitimt bære en inspektionsrod, som arbejdsgiveren har skubbet, og så hører samtalen til administratoren. En personlig Mac, der har fået en ved et uheld, har et fund, der er værd at handle på. Notér det fælles navn, udstederen og datoen for tilføjelse, så spørgsmålet kan besvares senere.

Sammenlign den liste med det, enhedsstyringen rapporterer. Hvis profillisten og certifikatlisten er uenige, er det certifikatlisten, der afgør, hvad Mac'en accepterer.

To kommandoer dækker det meste af kontrollen. Den første udskriver konfigurationsprofiler; den anden udskriver certifikater i den administrativt styrede systemnøglering, hvor en tilføjet rod normalt ender.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Standard Apple-rødder bor i en separat nøglering og er ikke bekymringen her. Et tomt resultat fra den anden kommando er almindeligt på en personlig Mac. Et fyldt resultat fortjener en gennemlæsning emne for emne, før du afviser det.

Beslut, og skriv så ned hvorfor

Godkendelse er rimelig, når du kan navngive operatøren, komponenten og grunden, og når anmodningen svarer til et valg, du eller din organisation har truffet. Undersøgelse er det rigtige svar, når meddelelsen kommer uden kontekst, især efter en netværksændring eller en urelateret installation. Afbryd først forbindelsen, notér profilidentifikatoren og udvidelsen, og beslut så. Fjernelse er en tredje vej, og den genskaber den tidligere routing uden at røre kontoen.

Behandl samtykke og fjernelse som separate beslutninger, der træffes på forskellige tidspunkter. At godkende et filter i dag forpligter dig ikke til at beholde det, og fjernelse af en profil sletter ikke serverens registreringer af, hvad der blev observeret, mens den var aktiv.

Hvis meddelelsen fulgte en opdatering af software, du allerede kører, så læs pågældende versions udgivelsesnoter, før du klikker. Leverandører ændrer faktisk udvidelsesarkitektur mellem udgivelser, og et nyt filter kan ankomme med en rutineopdatering. Hvis meddelelsen fulgte en tilslutning til et nyt netværk, så behandl tidspunktet som bevis og inspicér, hvad der ændrede sig.

Hold en kort registrering: profilnavn, udvidelsesidentifikator, operatør, certifikatfingeraftryk hvis et blev tilføjet, og datoen. Den næste person kan starte fra den tidslinje i stedet for fra formuleringen i en dialog.