Προειδοποίηση για φιλτραρισμένο ή παρακολουθούμενο Mac VPN: τι επιτρέπει

Αυτή η προειδοποίηση είναι άδεια, όχι διάγνωση. Όταν το macOS λέει ότι μια ρύθμιση θα φιλτράρει ή θα παρακολουθεί την κίνηση, σας λέει ότι ένα στοιχείο που εγκρίνατε μπορεί να βλέπει τη διαδρομή που καλύπτει και ρωτά αν αυτό είναι αποδεκτό. Ο διάλογος δεν μπορεί να σας πει ποιος διαχειρίζεται το στοιχείο, τι καταγράφει ή αν αποκρυπτογραφεί κάτι. Αυτές οι απαντήσεις βρίσκονται στο προφίλ, στη λίστα επεκτάσεων και στα πιστοποιητικά του μηχανήματος, οπότε ξεκινήστε από εκεί αντί να ξαναδιαβάσετε την πρόταση.

Διαβάστε την ειδοποίηση ως ερώτηση εμβέλειας

Κάθε ειδοποίηση ενεργοποίησης δείχνει δύο πράγματα χωρίς να τα ονομάζει καθαρά: την επέκταση που θα χειρίζεται την κίνηση και τη ρύθμιση που κατευθύνει την κίνηση σε αυτή. Στο τρέχον macOS αυτά τα στοιχεία είναι επεκτάσεις συστήματος NetworkExtension, και η εγκατάσταση ή ενεργοποίηση μίας απαιτεί έγκριση στις Ρυθμίσεις Συστήματος. Η διατύπωση μένει ευρεία γιατί το λειτουργικό σύστημα δεν μπορεί να γνωρίζει αν αυτός που εγκρίνει είναι τμήμα πληροφορικής, συνδρομητικό VPN ή παράγοντας φιλτραρίσματος που συνοδεύει κάτι άλλο.

Γι’ αυτό το ίδιο κείμενο καλύπτει τρεις διαφορετικές διαμορφώσεις. Ένα διαχειριζόμενο Mac λαμβάνει προφίλ από τη διαχείριση συσκευών, ένα προσωπικό Mac παίρνει ρύθμιση από εφαρμογή που εγκαταστήσατε, και ένα προϊόν ασφαλείας μπορεί να εγκαταστήσει φίλτρο που δεν παρουσιάζεται ποτέ ως VPN. Καμία από αυτές τις ετικέτες δεν καθορίζει την πρόθεση. Λένε μόνο ποια πλευρά να ρωτήσετε πρώτη.

Δύο εντολές χωρίζουν γρήγορα αυτές τις περιπτώσεις. Η πρώτη απαριθμεί τις εγκατεστημένες επεκτάσεις συστήματος και αν καθεμία είναι ενεργή, και η δεύτερη απαριθμεί τα προφίλ ρυθμίσεων με τα ωφέλιμα φορτία τους και τον οργανισμό που τα υπέγραψε.

systemextensionsctl list
profiles show -type configuration

Ξεχωρίστε τη σήραγγα από το φίλτρο

Μια σήραγγα πακέτων δίνει στο Mac διαδρομή και μεταφέρει ό, τι στέλνει ο πίνακας δρομολόγησης μέσα της. Ένα φίλτρο περιεχομένου κάθεται στο επίπεδο ροής, βλέπει κάθε σύνδεση και μπορεί να την επιτρέψει, να την μπλοκάρει ή να την ανακατευθύνει. Ένα προϊόν μπορεί να παρέχει και τα δύο μαζί, και η προειδοποίηση δεν αλλάζει όταν το κάνει. Η διαφορά μετράει γιατί τα στοιχεία που μπορείτε να συλλέξετε και οι αστοχίες που θα δείτε είναι διαφορετικά.

Ελέγξτε την κατηγορία της επέκτασης, όχι το εμπορικό όνομα. Η σήραγγα εμφανίζεται συνήθως ως ρύθμιση VPN και ως επέκταση δικτύου, ενώ το φίλτρο μπορεί να μην έχει καθόλου υπηρεσία VPN. Αν το προϊόν προσφέρει και τους δύο τρόπους, η ενεργή ρύθμιση επιλέγει έναν, και η αλλαγή τρόπου μπορεί να αλλάξει το καλυμμένο χωρίς να αλλάξει τον προμηθευτή.

Η λίστα υπηρεσιών VPN είναι ο ταχύτερος τρόπος να δείτε αν υπάρχει σήραγγα. Ένα φίλτρο που δεν είναι VPN δεν θα εμφανιστεί εκεί, κάτι που από μόνο του είναι χρήσιμη πληροφορία.

scutil --nc list

Το σήμα σύνδεσης δεν είναι απόδειξη κάλυψης. Οι εφαρμογές μπορούν να εξαιρεθούν με κανόνες ανά εφαρμογή, και η κίνηση προς τοπικά δίκτυα συχνά παρακάμπτει τη σήραγγα εξ ορισμού. Όταν μια εφαρμογή συμπεριφέρεται σαν να μην παρακολουθείται, υποψιαστείτε διαδρομή ή εξαίρεση πριν υποθέσετε ότι ο παρατηρητής χάλασε.

Τι μαθαίνει ο φορέας χωρίς να διαβάζει ωφέλιμα

Τα μεταδεδομένα δεν είναι παρηγοριά. Διευθύνσεις, θύρες, ονόματα DNS, χρόνοι σύνδεσης, μετρήσεις byte και η ταυτότητα που πιστοποιήθηκε είναι όλα ορατά στο στοιχείο της διαδρομής. Οι επαναλαμβανόμενες επισκέψεις σε έναν κόμβο την ίδια ώρα χτίζουν ρουτίνα, και μια ρουτίνα μπορεί να πει περισσότερα από μία σελίδα.

Αυτή είναι η ειλικρινής απάντηση στη συνήθη ερώτηση. Ο φορέας βλέπει πού και πότε, ακόμη και όταν το περιεχόμενο μένει σφραγισμένο.

Η ορατότητα περιεχομένου απαιτεί δεύτερη, πιο ηχηρή αλλαγή. Μια σωστά επικυρωμένη συνεδρία HTTPS μένει αδιαφανής σε σήραγγα ή φίλτρο ροής, όπως και τα τοπικά αρχεία και η κίνηση που δεν μπαίνει ποτέ στην καλυμμένη διαδρομή. Η ανάγνωση σωμάτων σελίδων απαιτεί αρχή πιστοποιητικών που το Mac εμπιστεύεται ήδη, δηλαδή πιστοποιητικό υποκλοπής εγκατεστημένο με δική του έγκριση. Αυτό το βήμα μετακινεί το όριο από τα μεταδεδομένα στο περιεχόμενο και αξίζει ξεχωριστή εξέταση.

Η εμβέλεια σταματά επίσης στη συσκευή. Μια σήραγγα σε ένα φορητό δεν καλύπτει τηλέφωνο, tablet ή μηχάνημα άλλου ατόμου στο ίδιο Wi-Fi, και ένας εταιρικός πελάτης δεν μπορεί να καταγράψει τους άλλους πελάτες της καφετέριας. Το λογισμικό διαχείρισης συσκευών μπορεί να συλλέξει περισσότερα από όσα εκθέτει η σήραγγα, αλλά αυτός είναι ξεχωριστός έλεγχος με άλλον ιδιοκτήτη πολιτικής.

Επιθεωρήστε το χώρο πιστοποιητικών πριν πανικοβληθείτε

Μια έμπιστη ρίζα είναι η διαφορά μεταξύ θέασης της κίνησης και ανάγνωσής της. Επιθεωρήστε την κλειδοθήκη συστήματος για αρχές που δεν αναγνωρίζετε, και σημειώστε όσες εμφανίστηκαν κοντά στην ώρα της ειδοποίησης. Ένα διαχειριζόμενο Mac μπορεί νόμιμα να φέρει ρίζα επιθεώρησης που ώθησε ο εργοδότης, και τότε η συζήτηση ανήκει στον διαχειριστή. Ένα προσωπικό Mac που απέκτησε μία κατά λάθος έχει εύρημα που αξίζει δράση. Καταγράψτε το κοινό όνομα, τον εκδότη και την ημερομηνία προσθήκης ώστε να μπορεί να απαντηθεί η ερώτηση αργότερα.

Συγκρίνετε αυτή τη λίστα με ό, τι αναφέρει η διαχείριση συσκευών. Αν η λίστα προφίλ και η λίστα πιστοποιητικών διαφωνούν, η λίστα πιστοποιητικών είναι αυτή που κρίνει τι θα δεχτεί το Mac.

Δύο εντολές καλύπτουν το μεγαλύτερο μέρος του ελέγχου. Η πρώτη εκτυπώνει τα προφίλ ρυθμίσεων, η δεύτερη εκτυπώνει τα πιστοποιητικά στην κλειδοθήκη συστήματος που διαχειρίζεται ο διαχειριστής, όπου συνήθως καταλήγει μια προστιθέμενη ρίζα.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Οι τυπικές ρίζες της Apple ζουν σε ξεχωριστή κλειδοθήκη και δεν είναι η ανησυχία εδώ. Ένα κενό αποτέλεσμα από τη δεύτερη εντολή είναι συνήθες σε προσωπικό Mac. Ένα γεμάτο αποτέλεσμα αξίζει ανάγνωση θέμα προς θέμα πριν το απορρίψετε.

Αποφασίστε και μετά γράψτε το γιατί

Η έγκριση είναι λογική όταν μπορείτε να ονομάσετε τον φορέα, το στοιχείο και τον λόγο, και όταν το αίτημα ταιριάζει με επιλογή που κάνατε εσείς ή ο οργανισμός σας. Η έρευνα είναι η σωστή αντίδραση όταν η ειδοποίηση φτάνει χωρίς πλαίσιο, ειδικά μετά από αλλαγή δικτύου ή άσχετη εγκατάσταση. Αποσυνδεθείτε πρώτα, καταγράψτε το αναγνωριστικό προφίλ και την επέκταση, και μετά αποφασίστε. Η αφαίρεση είναι τρίτος δρόμος, και επαναφέρει την προηγούμενη δρομολόγηση χωρίς να αγγίξει τον λογαριασμό.

Αντιμετωπίστε τη συγκατάθεση και την αφαίρεση ως ξεχωριστές αποφάσεις που λαμβάνονται σε διαφορετικές στιγμές. Η έγκριση ενός φίλτρου σήμερα δεν σας δεσμεύει να το κρατήσετε, και η αφαίρεση προφίλ δεν σβήνει αρχεία του διακομιστή για ό, τι παρατηρήθηκε όσο ήταν ενεργό.

Αν η ειδοποίηση ήρθε μετά από ενημέρωση λογισμικού που ήδη τρέχετε, διαβάστε τις σημειώσεις έκδοσης εκείνης της έκδοσης πριν κάνετε κλικ. Οι προμηθευτές αλλάζουν πράγματι αρχιτεκτονική επεκτάσεων μεταξύ εκδόσεων, και ένα νέο φίλτρο μπορεί να φτάσει με συνήθη ενημέρωση. Αν η ειδοποίηση ήρθε μετά από σύνδεση σε νέο δίκτυο, θεωρήστε το χρόνο στοιχείο και επιθεωρήστε τι άλλαξε.

Κρατήστε σύντομη καταγραφή: όνομα προφίλ, αναγνωριστικό επέκτασης, φορέας, αποτύπωμα πιστοποιητικού αν προστέθηκε, και ημερομηνία. Το επόμενο άτομο μπορεί να ξεκινήσει από αυτό το χρονολόγιο αντί από τη διατύπωση ενός διαλόγου.