Ein öffentlicher Computer mit VPN: Was zuerst zu prüfen ist
Ein Tunnel schützt den Weg, nicht den Rechner an beiden Enden. Klären Sie, wer den Host kontrolliert, was auf der Platte bleibt und wie Sie den Zugriff widerrufen, bevor Sie sich anmelden.
Geliehener Rechner, dringende Aufgabe und ein VPN-Client, der alles verschlüsseln verspricht: Die Reihenfolge wirkt sicher und ist es nicht. Ein Tunnel schützt den Weg zwischen zwei Endpunkten, und der Endpunkt vor Ihnen ist der Teil, den Sie nicht überprüfen können. Die drei Schritte unten entscheiden, ob das Gerät überhaupt nutzbar ist, wie Sie Anmeldedaten davon fernhalten und was Sie danach tun, damit aus einer vorübergehenden Sitzung keine dauerhafte Kopie wird.
Der Tunnel beginnt, nachdem der Host die Daten bereits gesehen hat
Die Verschlüsselung findet im VPN-Client statt, der als Programm auf dem Rechner läuft. Alles oberhalb dieses Programms, einschließlich Browser, Betriebssystem und jeder Erweiterung oder jedem Treiber mit ausreichendem Zugriff, verarbeitet Ihre Daten, bevor sie verschlüsselt werden. Das ist kein Fehler des Protokolls; es ist der Ort, an dem das Protokoll sitzt.
Die Exit-Adresse zu prüfen beweist daher fast nichts über den Host. Ein Rechner kann den gesamten Verkehr über einen sauberen Ausgang leiten und trotzdem jeden Tastenanschlag protokollieren, und die beiden Tatsachen stehen nicht im Widerspruch.
Der nützliche Rahmen ist die Frage, was der Host beobachten kann, statt was das Netzwerk kann. Auf einem Rechner, den jemand anderes administriert, ist diese Menge größer, als Sie aufzählen können.
Schritt eins: Feststellen, wer das Gerät kontrolliert
Kontrolle ist eine Frage von Administratorrechten und physischem Zugang, nicht von Höflichkeit. Wenn eine andere Person Software installieren, einen Treiber laden, ein Gerät anschließen oder ein Image wiederherstellen kann, ist das Verhalten des Rechners nichts, was Sie durch Hinsehen feststellen können. Administration ist eine Fähigkeit, und Fähigkeiten erscheinen nicht auf einem Screenshot. Fragen Sie die Person, die Ihnen den Rechner gegeben hat.
Suchen Sie die gewöhnlichen Anzeichen und behandeln Sie jedes als Hinweis auf Kontrolle statt als Beweis für Sicherheit. Keines von ihnen ist für sich genommen entscheidend.
- Ein Gast- oder Kiosk-Konto, das keine Software installieren kann, ist ein besserer Ausgangspunkt als ein Administratorkonto, das Ihnen jemand gegeben hat.
- Ein verwaltetes Gerät mit bekanntem Eigentümer und Supportkontakt ist besser als ein unbeaufsichtigtes Terminal, selbst wenn das Terminal sauberer aussieht.
- Ein Rechner, auf dem Sie nicht feststellen können, wer sich zuletzt angemeldet hat, ist ein Rechner, dessen Zustand Sie nicht beschreiben können.
Keine dieser Prüfungen macht einen geteilten Host vertrauenswürdig. Sie sagen Ihnen, ob das Risiko begrenzt genug ist, um mit einer eingeschränkten Aufgabe fortzufahren, was eine andere und ehrlichere Frage ist. Notieren Sie die Antwort, bevor Sie weitermachen.
Schritt zwei: Anmeldedaten vom Host fernhalten
Ein lebendes Profil ist kein Lesezeichen. Ein OpenVPN-Profil kann eingebettete Zertifikate und einen privaten Schlüssel enthalten, und der Import schreibt dieses Material auf ein Gerät, das Ihnen nicht gehört. Dasselbe gilt für eine Browsersitzung, die ein Cookie speichert, und für jeden Passwortmanager, der einen Tresor lokal zwischenspeichert.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Bevorzugen Sie den am wenigsten dauerhaften Zugang, den der Dienst unterstützt. Ein Webportal, das pro Sitzung authentifiziert und einen zweiten Faktor verlangt, hinterlässt weniger als ein Desktop-Client mit gespeichertem Profil, und eine Sitzung, die beim Schließen des Browsers endet, ist besser als eine, die einen Neustart übersteht.
Prüfen Sie dann, was der Rechner behält. Auf einem geteilten Linux-Host ist der Profilspeicherort leicht zu inspizieren, und unter Windows dauert die entsprechende Suche einen Befehl. Das Profil eines früheren Nutzers zu finden, ist eine nützliche Erinnerung daran, dass mit Ihrem genauso umgegangen würde.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueSchritt drei: Den Zugriff von einem vertrauenswürdigen Ort aus beenden
Lokal aufzuräumen ist sinnvoll und nicht ausreichend. Melden Sie sich beim Dienst ab, schließen Sie den Browser, entfernen Sie jede heruntergeladene Datei und führen Sie dann den Schritt aus, auf den es wirklich ankommt: Widerrufen Sie die Sitzung oder die Anmeldedaten von einem Gerät, das Sie kontrollieren.
Genau diesen letzten Schritt lassen Menschen aus, weil der lokale Bildschirm sauber aussieht. Ein Sitzungstoken, das Software auf dem Host kopiert hat, funktioniert weiter, nachdem Sie gegangen sind, und es kümmert ihn nicht, dass der Browser geschlossen wurde. Der Widerruf ist der einzige Schritt, der annimmt, dass der Host feindlich gewesen sein könnte. Er ist auch der einzige, der noch funktioniert, wenn er es war.
Wenn ein privater Schlüssel oder ein Wiederherstellungsgeheimnis den Rechner berührt hat, behandeln Sie es als offengelegt und rotieren Sie es, statt nach Kopien zu suchen. Prüfen Sie bei einem Konto mit zweitem Faktor auch die Geräte und Sitzungen, die der Anbieter auflistet, denn ein während Ihres Besuchs ausgestelltes Token kann noch aktiv sein.
Schreiben Sie das Ergebnis auf, solange es frisch ist: welches Gerät, welches Konto, was installiert wurde, was widerrufen wurde und wann. Diese Notiz ermöglicht es der nächsten Person, die einzige danach wichtige Frage zu beantworten: ob noch etwas Zugriff hat.
Ein privat kontrolliertes Gerät braucht trotzdem Wartung, und es gibt Ihnen eine Grundlage für die Verwaltung des Endpunkts, die ein geliehenes Terminal nie geben wird. Der Tunnel war der leichte Teil.