Jagatud VPN-sisselogimine: mida see varjab ja mida mitte

Sisselogimise jagamine ei muuda sind nähtamatuks ega tee teisi kasutajaid sinu kolleegideks. See muudab, keda saab tuvastada ja keda eemaldada, ning jätab ühenduse kõik muud omadused sinna, kus need olid. Müüt on, et ühised mandaadid tähendavad anonüümsust või usaldust; tegelikkus on see, et need eemaldavad vastutuse ja lisavad ühised rikkerežiimid.

Mida mandaat tegelikult kontrollib

Kasutajanimi ja parool vastavad ühele küsimusele: kas seda ühendust tohib luua. Need ei otsusta, mida operaator logib, mida teised kliendid saavad kätte ega seda, kas väljumissõlm on aus. Need on teenuse eraldi omadused ja jagatud konto ei ütle nende kohta midagi.

Lüüs näeb endiselt lähteaadressi, ühenduse aega ja liikluse mahtu oma poliitika järgi. Jagatud mandaadid ei kustuta neid kirjeid; need ainult raskendavad nende sidumist isikuga. Kui operaator peab logisid, näitab logi nüüd seanssi, mis võib kuuluda kõigile, kellel mandaat on.

See on anonüümsuse vastand ja ka vastutuse vastand.

Eemaldamine ja rotatsioon mõjutavad kõiki

Unikaalsete identiteetidega saad ühe seadme välja lülitada ja ülejäänud tööle jätta. Jagatud mandaadi puhul katkestab parooli rotatsioon kõik kasutajad korraga ning ühe inimese eemaldamine tähendab salajase muutmist kõigi jaoks. Planeeri seda enne, kui selle laiali jagad. Hind ei ole ainult ebamugavus: see surub operaatorid mitte kunagi roteerima, ja nii jääb lekkinud mandaat aastateks kehtima.

Foorumisse või vestlusgruppi postitatud mandaati tuleb sellest hetkest käsitleda avalikuna.

Praktiline tagajärg on see, et jagatud sisselogimine sobib halvasti kõigele, mida peaksid üksikult auditeerima või tühistama, mis hõlmab enamikku töökohapaigaldusi ja ükskõik millist perekonna lahendust, kus üks seade läheb kaotsi.

Teised kliendid ei ole sinu kohalik võrk

Kliendivaheline kättesaadavus on konfiguratsiooni valik, mitte sõna privaatne omadus. Mõned teenused isoleerivad kliente üksteisest; teised marsruudivad nende vahel. Jagatud konto ei ütle sulle, millises olukorras sa oled.

Eelda, et teised kliendid on võõrad, kuni teenuse dokumentatsioon ütleb teisiti. Hoia hosti tulemüür sees, ära luba failijagamist tunneliliidesel ja ära käsitle VPN-aadressi rakenduse usaldussignaalina. WireGuardi enda piirangute leht ütleb selgesõnaliselt, et protokoll ei varja lõpp-punkte ega paku iseenesest anonüümsust, ja see on iga VPN-i jaoks õige mõttemudel.

Tunnel kaitseb teed, mitte vastaspooli.

Mida enne kasutamist kontrollida

Loe operaatori avaldatud poliitikat logimise, jurisdiktsiooni ja säilitamise kohta ning pane tähele, mis puudub. Pakkuja, kes ei märgi säilitusperioodi, ei ole seda lubanud. Seejärel võrdle tegelikku väljumisaadressi teenuse reklaamitud asukohaga.

curl -s https://example.net/cdn-cgi/trace | grep -E '^(ip|loc)='

Kui nähtav väljumisaadress asub riigis, mida sa ei oodanud, on profiil ja väide vastuolus ning seda tasub lahendada enne, kui sealt midagi saadad.

Tasulise teenuse puhul eelista plaani, kus mandaadid on seadme kaupa, isegi kui turundus surub jagatud varianti. See maksab veidi rohkem haldust ja ostab tühistamise võime.

Parem vaikevalik tööks ja perele

Kui seadistad juurdepääsu grupile, loo üks identiteet inimese või seadme kohta, pea nimekirja nende valdajatest ja eemalda kirjed, kui seade kasutusest kõrvaldatakse. See on rohkem tööd kui parooli saatmine ja see on vahe teenuse, mida saad hallata, ja saladuse vahel, mida sa ei suuda meenutada. Jagatud konto on mugav just sellepärast, et varjab seda tööd, ja arve saabub esimesel korral, kui keegi lahkub. Anna nimekiri sellele, kes tegeleb lahkumistega, et eemaldamine ei sõltuks vestlussõnumi meelespidamisest.

Dokumenteeri rotatsioonitee enne esimest juhtumit, mitte selle ajal. Kirjuta üles, kes saab identiteedi luua, kes selle tühistada ja kus valdajate nimekiri asub. Need kolm vastust teevad korralduse töövõimeliseks, mitte ainult mugavaks.

Jagatud sisselogimisel on kitsas kasutus: avalik väljapääs, mille peale sa privaatsuse ega vastutuse osas ei looda. Käsitle seda nii ja riskid muutuvad etteaimatavaks.