Προτροπή διαχειριστή Mac VPN: εγκατάσταση, επέκταση ή πολιτική;

Οι προτροπές κωδικού από έναν πελάτη VPN φαίνονται εναλλάξιμες και δεν είναι. Πίσω από ένα παρόμοιο παράθυρο διαλόγου κρύβονται τέσσερις διαφορετικές ενέργειες: εγγραφή αρχείων σε προστατευμένη θέση κατά την εγκατάσταση, προσθήκη ή αλλαγή διαμόρφωσης δικτύου, ενεργοποίηση επέκτασης συστήματος που μεταφέρει κίνηση, και συμμόρφωση με πολιτική που έχει ήδη ορίσει διακομιστής διαχείρισης. Κάθε μία έχει διαφορετικό ιδιοκτήτη, διαφορετική εμβέλεια και διαφορετικό τρόπο επαλήθευσης ότι λειτούργησε. Η αντιστοίχιση του μηνύματος που βλέπετε με μία από αυτές τις τέσσερις είναι όλη η άσκηση.

Τρεις διαφορετικές εγκρίσεις φαίνονται ίδιες

Η εξουσιοδότηση του εγκαταστάτη είναι η απλούστερη περίπτωση: ένα πακέτο γράφει σε καταλόγους που ένας τυπικός χρήστης δεν μπορεί να τροποποιήσει, και το macOS ζητά διαπιστευτήρια διαχειριστή για να το επιτρέψει. Το σύστημα δεν αποφασίζει αν το λογισμικό είναι ασφαλές· αποφασίζει αν επιτρέπεται να γράψετε εκεί. Γι’ αυτό ένα πακέτο μπορεί να εγκατασταθεί καθαρά και να παραμείνει άχρηστο: η έγκριση εγκατάστασης δεν λέει τίποτα για το αν θα επιτραπεί στον κώδικα να εκτελεστεί μετά. Αφού εγκατασταθεί, η εφαρμογή μπορεί να χρειάζεται ακόμη μια δεύτερη έγκριση πριν επηρεάσει το δίκτυο.

Η εξουσιοδότηση διαμόρφωσης δικτύου καλύπτει αλλαγές στη λίστα συνδέσεων του συστήματος. Η προσθήκη υπηρεσίας VPN ή η αλλαγή ρυθμίσεων που διαμόρφωσε διαχειριστής δικτύου απαιτεί αναβάθμιση δικαιωμάτων, επειδή αυτοί οι ορισμοί επηρεάζουν κάθε λογαριασμό στον υπολογιστή. Αυτή η έγκριση παρέχει εξουσία διαμόρφωσης, όχι εξουσία κίνησης.

Η έγκριση επέκτασης είναι αυτή που έχει σημασία για το πώς ταξιδεύουν τα πακέτα. Ένας σύγχρονος πελάτης εγκαθιστά επέκταση συστήματος που το macOS φορτώνει στο σύστημα, και το macOS απαιτεί ρητή απόφαση στην Απόρρητο & Ασφάλεια ή στα Στοιχεία σύνδεσης & Επεκτάσεις πριν την ενεργοποιήσει. Τέταρτη περίπτωση είναι ένας διαχειριζόμενος Mac, όπου μια πολιτική εγκρίνει ήδη εκ των προτέρων την επέκταση και ο χρήστης δεν βλέπει καθόλου παράθυρο.

Τι αλλάζει πραγματικά κάθε έγκριση

Ένας εγκαταστάτης αλλάζει αρχεία στον δίσκο, και οι συνέπειές του τελειώνουν όταν αφαιρεθούν τα αρχεία, εκτός από υπολείμματα. Μια διαμόρφωση δικτύου προσθέτει ορισμό υπηρεσίας που εμφανίζεται στη λίστα συνδέσεων και μπορεί να επανενεργοποιηθεί από κανόνες κατά ζήτηση. Η έγκριση επέκτασης αλλάζει ποιον κώδικα θα φορτώνει και θα κρατά σε λειτουργία το σύστημα, γι’ αυτό σε ορισμένες ροές εργασίας επιβιώνει της απεγκατάστασης της ορατής εφαρμογής. Η αφαίρεση ενός πακέτου εφαρμογής δεν αφαιρεί πάντα την επέκτασή του, και μια επέκταση που μένει πίσω διατηρεί τα δικαιώματα δικτύου της.

Η διάκριση προβλέπει το σύμπτωμα. Εγκατεστημένο αλλά ποτέ συνδεμένο συνήθως σημαίνει ότι η επέκταση δεν είναι εγκεκριμένη πουθενά· συνδεμένο αλλά με ρυθμίσεις που επανέρχονται στην επόμενη αλλαγή συνήθως σημαίνει ότι μια πολιτική διαχείρισης κατέχει τον ορισμό.

Η υπογραφή και ο εκδότης καθορίζουν την απάντηση

Πριν εγκρίνετε, διαβάστε ποιος υπέγραψε το πράγμα και όχι τι υποδηλώνει το εικονίδιο του παραθύρου. Δύο τοπικοί έλεγχοι αρκούν για να δείτε την αρχή υπογραφής και αν η αξιολόγηση του συστήματος περνά σε αυτόν τον υπολογιστή.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Ένα μη υπογεγραμμένο ή μη συμβολαιογραφημένο πακέτο δεν είναι αυτόματα κακόβουλο, αλλά αξίζει διαφορετική απόφαση από ένα υπογεγραμμένο του εκδότη που είχατε κατά νου. Ένα πακέτο που έφτασε μέσω μηνύματος και όχι από τον ιστότοπο του εκδότη είναι η περίπτωση όπου η απάντηση είναι απλώς όχι.

Συγκρίνετε το αναγνωριστικό ομάδας με τη δημοσιευμένη ταυτότητα του εκδότη αντί να εμπιστεύεστε το εμφανιζόμενο όνομα της εφαρμογής, αφού τα ονόματα επαναχρησιμοποιούνται εύκολα και τα αναγνωριστικά όχι. Αν ο εκδότης δημοσιεύει το αναγνωριστικό στον οδηγό εγκατάστασης, εκείνη η σελίδα είναι η αναφορά για τη σύγκριση και επίσης το μέρος όπου πρέπει να αναφέρεται μια απόκλιση. Ένας πελάτης από μεταπωλητή, μια ανασυσκευασμένη έκδοση ή ένα φορητό αντίγραφο από φόρουμ αξίζει περισσότερη καχυποψία από τη υπογεγραμμένη λήψη του ίδιου εκδότη.

Όταν μια πολιτική κατέχει την απόφαση

Σε έναν εταιρικό Mac ο διαχειριστής μπορεί να έχει ήδη αποφασίσει. Ένα προφίλ διαχείρισης μπορεί να παραδώσει τον ορισμό VPN, να εγκρίνει εκ των προτέρων την επέκταση και να κλειδώσει τη σύνδεση ώστε να μην μπορεί να αφαιρεθεί. Σε αυτή τη διάταξη, το αίτημα εισαγωγής κωδικού είναι συχνά αίτημα παράκαμψης μιας απόφασης που δεν ήταν ποτέ δική σας.

Η μείωση της ασφάλειας εκκίνησης ή η αποσύνδεση της διαχείρισης για να εξαναγκαστεί μια εγκατάσταση αλλάζει μόνιμα το μοντέλο απειλών του υπολογιστή για να λυθεί ένα προσωρινό πρόβλημα. Αυτή η ανταλλαγή σπάνια γίνεται συνειδητά· συνήθως συμβαίνει ακολουθώντας μια ανάρτηση σε φόρουμ. Ζητήστε από τον διαχειριστή την υποστηριζόμενη διαδρομή, που μπορεί να είναι τόσο απλή όσο η επαναποστολή του προφίλ ή η έγκριση της επέκτασης στην πλευρά του διακομιστή. Αν ο διαχειριστής δεν μπορεί να την εγκρίνει, αυτή η απάντηση είναι το εύρημα, όχι εμπόδιο προς παράκαμψη.

Επιβεβαιώστε την κατάσταση μετά την έγκριση

Μόλις δοθεί μια εξουσιοδοτημένη έγκριση, επαληθεύστε τι νομίζει το σύστημα και όχι τι ισχυρίζεται ο πελάτης. Η λίστα επεκτάσεων αναφέρει την κατάσταση ενεργοποίησης χωρίς να χρειάζεται εργαλείο τρίτου.

systemextensionsctl list

Μια καταχώριση που εμφανίζεται ενεργοποιημένη ανήκει στο αναγνωριστικό ομάδας που ελέγξατε νωρίτερα· μια καταχώριση που εμφανίζεται τερματισμένη και περιμένει έγκριση χρήστη εξηγεί έναν πελάτη που ξεκινά και ποτέ δεν μεταφέρει κίνηση. Αν η προτροπή επιστρέφει μετά από κάθε προσπάθεια, καταγράψτε το ακριβές μήνυμα και την έκδοση του πελάτη, γιατί μια επαναλαμβανόμενη έγκριση συνήθως σημαίνει ότι η επέκταση αντικαθίσταται χωρίς να απενεργοποιηθεί η προηγούμενη, και αυτό είναι υπόθεση υποστήριξης, όχι πρόβλημα κωδικού. Σημειώστε την έκδοση πριν καλέσετε την υποστήριξη, αφού η διόρθωση μπορεί να υπάρχει ήδη σε νεότερη έκδοση και η συζήτηση θα ξεκινήσει εκεί.