Warnung zu gefiltertem oder überwachtem Mac-VPN: was sie erlaubt

Diese Warnung ist eine Erlaubnis, keine Diagnose. Wenn macOS meldet, dass eine Konfiguration den Datenverkehr filtern oder überwachen wird, teilt es Ihnen mit, dass eine von Ihnen genehmigte Komponente den von ihr abgedeckten Pfad sehen kann, und fragt, ob das akzeptabel ist. Der Dialog kann Ihnen nicht sagen, wer die Komponente betreibt, was sie aufzeichnet oder ob sie etwas entschlüsselt. Diese Antworten stehen im Profil, in der Erweiterungsliste und in den Zertifikaten auf dem Rechner, also beginnen Sie dort, statt den Satz erneut zu lesen.

Lesen Sie den Hinweis als Frage nach dem Umfang

Jeder Aktivierungshinweis zeigt auf zwei Dinge, ohne sie klar zu benennen: die Erweiterung, die den Datenverkehr verarbeitet, und die Konfiguration, die den Datenverkehr dorthin lenkt. Unter aktuellem macOS sind diese Komponenten Systemerweiterungen von NetworkExtension, und Installation oder Aktivierung einer davon erfordert eine Zustimmung in den Systemeinstellungen. Die Formulierung bleibt weit, weil das Betriebssystem nicht wissen kann, ob der Genehmigende eine IT-Abteilung, ein Abo-VPN oder ein Filteragent ist, der mit etwas anderem mitkommt.

Deshalb deckt derselbe Text drei verschiedene Konstellationen ab. Ein verwalteter Mac erhält ein Profil aus der Geräteverwaltung, ein privater Mac bekommt eine Konfiguration von einer App, die Sie installiert haben, und ein Sicherheitsprodukt kann einen Filter installieren, der sich nie als VPN ausgibt. Keines dieser Etiketten klärt die Absicht. Sie sagen nur, welche Seite Sie zuerst fragen sollten.

Zwei Befehle trennen diese Fälle schnell. Der erste listet installierte Systemerweiterungen und ob jede aktiv ist, der zweite listet Konfigurationsprofile mit ihren Nutzdaten und der signierenden Organisation.

systemextensionsctl list
profiles show -type configuration

Unterscheiden Sie einen Tunnel von einem Filter

Ein Paket-Tunnel gibt dem Mac eine Route und trägt alles, was die Routing-Tabelle hineinschickt. Ein Inhaltsfilter sitzt auf Fluss-Ebene, sieht jede Verbindung und kann sie zulassen, blockieren oder umleiten. Ein Produkt kann beides zugleich liefern, und die Warnung ändert sich dabei nicht. Der Unterschied ist wichtig, weil die Belege, die Sie sammeln können, und die Fehler, die Sie sehen werden, verschieden sind.

Prüfen Sie die Kategorie der Erweiterung statt des Marketingnamens. Ein Tunnel erscheint meist als VPN-Konfiguration und als Netzwerkerweiterung, während ein Filter überhaupt keinen VPN-Dienst haben muss. Bietet das Produkt beide Modi, wählt die aktive Konfiguration einen, und ein Moduswechsel kann den abgedeckten Bereich ändern, ohne den Anbieter zu wechseln.

Die Liste der VPN-Dienste ist der schnellste Weg zu sehen, ob ein Tunnel existiert. Ein Filter, der kein VPN ist, erscheint darin nicht, was selbst eine nützliche Information ist.

scutil --nc list

Ein Verbunden-Symbol ist kein Beweis für Abdeckung. Apps lassen sich durch Regeln pro App ausschließen, und Datenverkehr zu lokalen Netzen umgeht den Tunnel oft konstruktionsbedingt. Wenn sich eine Anwendung verhält, als werde sie nicht beobachtet, verdächtigen Sie eine Route oder einen Ausschluss, bevor Sie annehmen, die Überwachung sei defekt.

Was der Betreiber erfährt, ohne Nutzdaten zu lesen

Metadaten sind kein Trostpreis. Adressen, Ports, DNS-Namen, Verbindungszeiten, Byte-Zahlen und die authentifizierte Identität sind für die Komponente auf dem Pfad sichtbar. Wiederholte Besuche eines Hosts zur selben Stunde bilden eine Routine, und eine Routine kann mehr sagen als eine einzelne Seite.

Das ist die ehrliche Antwort auf die übliche Frage. Der Betreiber sieht wo und wann, selbst wenn der Inhalt versiegelt bleibt.

Sichtbarkeit der Nutzdaten braucht eine zweite, lautere Änderung. Eine korrekt validierte HTTPS-Sitzung bleibt für einen Tunnel oder einen Flussfilter undurchsichtig, ebenso lokale Dateien und Datenverkehr, der nie auf den abgedeckten Pfad gelangt. Das Lesen von Seiteninhalten erfordert eine Zertifizierungsstelle, der der Mac bereits vertraut, also ein Abfangzertifikat, das mit eigener Zustimmung installiert wurde. Dieser Schritt verschiebt die Grenze von Metadaten zu Inhalten und verdient eine eigene Prüfung.

Der Umfang endet auch am Gerät. Ein Tunnel auf einem Laptop deckt kein Telefon, kein Tablet und keinen Rechner einer anderen Person im selben Wi-Fi ab, und ein Unternehmensclient kann die übrigen Gäste des Cafés nicht erfassen. Geräteverwaltungssoftware kann mehr sammeln, als der Tunnel offenlegt, aber das ist eine separate Kontrolle mit einem anderen Richtlinienverantwortlichen.

Prüfen Sie den Zertifikatsspeicher, bevor Sie in Panik geraten

Eine vertrauenswürdige Wurzel ist der Unterschied zwischen Beobachten und Lesen des Datenverkehrs. Prüfen Sie den Systemschlüsselbund auf Stellen, die Sie nicht kennen, und notieren Sie jene, die etwa zur Zeit des Hinweises auftauchten. Ein verwalteter Mac darf legitim eine Prüf-Wurzel tragen, die der Arbeitgeber eingespielt hat, und dann gehört das Gespräch dem Administrator. Ein privater Mac, der eine versehentlich erworben hat, hat einen Befund, der Handeln verdient. Notieren Sie den allgemeinen Namen, den Aussteller und das Datum der Hinzufügung, damit die Frage später beantwortet werden kann.

Vergleichen Sie diese Liste mit dem, was die Geräteverwaltung meldet. Wenn sich Profilliste und Zertifikatsliste widersprechen, entscheidet die Zertifikatsliste, was der Mac akzeptiert.

Zwei Befehle decken den Großteil der Prüfung ab. Der erste gibt Konfigurationsprofile aus; der zweite gibt Zertifikate im administrativ verwalteten Systemschlüsselbund aus, wo eine hinzugefügte Wurzel üblicherweise landet.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Die Standardwurzeln von Apple liegen in einem eigenen Schlüsselbund und sind hier nicht das Problem. Ein leeres Ergebnis des zweiten Befehls ist auf einem privaten Mac üblich. Ein gefülltes Ergebnis verdient eine Lektüre Subjekt für Subjekt, bevor Sie es verwerfen.

Entscheiden Sie und schreiben Sie dann auf, warum

Zustimmung ist vernünftig, wenn Sie Betreiber, Komponente und Grund benennen können und die Anfrage zu einer Wahl passt, die Sie oder Ihre Organisation getroffen haben. Untersuchung ist die richtige Reaktion, wenn der Hinweis ohne Kontext kommt, besonders nach einem Netzwerkwechsel oder einer unabhängigen Installation. Trennen Sie zuerst die Verbindung, erfassen Sie Profilkennung und Erweiterung, und entscheiden Sie dann. Entfernung ist ein dritter Weg, und sie stellt das frühere Routing wieder her, ohne das Konto zu berühren.

Behandeln Sie Zustimmung und Entfernung als getrennte Entscheidungen zu verschiedenen Zeiten. Ein Filter heute zu genehmigen verpflichtet Sie nicht, ihn zu behalten, und das Entfernen eines Profils löscht keine serverseitigen Aufzeichnungen darüber, was beobachtet wurde, während es aktiv war.

Wenn der Hinweis auf ein Update bereits genutzter Software folgte, lesen Sie die Versionshinweise dieser Version, bevor Sie klicken. Anbieter ändern die Erweiterungsarchitektur zwischen Versionen durchaus, und ein neuer Filter kann mit einem Routine-Update kommen. Wenn der Hinweis auf den Beitritt zu einem neuen Netzwerk folgte, behandeln Sie den Zeitpunkt als Beleg und prüfen Sie, was sich geändert hat.

Führen Sie eine kurze Aufzeichnung: Profilname, Erweiterungskennung, Betreiber, Zertifikatsfingerabdruck falls einer hinzugefügt wurde, und das Datum. Die nächste Person kann von dieser Zeitleiste ausgehen statt von der Formulierung eines Dialogs.