Ordenagailu publiko bat VPN-rekin erabiltzea: zer egiaztatu lehenengo
Tunelak bidea babesten du, ez mutur bateko edo besteko makina. Erabaki nor den ostalariaren kontrola duena, zer geratzen den diskoan eta nola baliogabetu sarbidea saioa hasi aurretik.
Mailegatutako makina, premiazko zeregina eta guztia zifratuko duela agintzen duen VPN bezeroa: segidak segurua dirudi eta ez da. Tunelak bi muturren arteko bidea babesten du, eta zure aurrean dagoen muturra ezin duzun egiaztatzeko zatia da. Beheko hiru pausuek erabakitzen dute gailua erabilgarria den ala ez, nola eduki kredentzialak handik urrun, eta zer egin geroago saio iragankorra kopia iraunkor bihur ez dadin.
Tunela ostalariak datuak jadanik ikusi ondoren hasten da
Zifratzea VPN bezeroan gertatzen da, makinean programa gisa exekutatzen dena. Programa horren gainetik dagoen guztiak, nabigatzaileak, sistema eragileak eta sarbide nahikoa duen edozein luzapen edo kontrolatzailek barne, zure datuak zifratu aurretik lantzen ditu. Hori ez da protokoloaren akatsa; protokoloa dagoen tokia da.
Irteera helbidea egiaztatzeak, beraz, ia ezer ez du frogatzen ostalariari buruz. Makina batek trafiko guztia irteera garbi batetik bidera dezake eta hala ere teklatu-sakatze bakoitza erregistratu, eta bi gertaerok ez dute elkarren kontra egiten.
Planteamendu erabilgarria ostalariak zer behatu dezakeen galdetzea da, sareak zer egin dezakeen baino. Beste norbaitek administratzen duen makina batean, multzo hori zerrenda dezakezuna baino handiagoa da.
Lehen pausoa: zehaztu nor den gailuaren kontrola duena
Kontrola administrazio-eskubideen eta sarbide fisikoaren kontua da, ez kortesiarena. Beste pertsona batek softwarea instala badezake, kontrolatzailea karga badezake, gailua konekta badezake edo irudi bat leheneratu badezake, makinaren portaera ez da hari begiratuta zehaztu dezakezun zerbait. Administrazioa gaitasun bat da, eta gaitasunak ez dira pantaila-argazki batean agertzen. Galdetu makina eman zizun pertsonari.
Bilatu ohiko seinaleak, eta tratatu bakoitza kontrolaren inguruko ebidentzia gisa, ez segurtasunaren froga gisa. Horietako bat ere ez da erabakigarria bere horretan.
- Softwarea instalatu ezin duen gonbidatu edo kiosko kontu bat hobea da norbaiten eskutik jasotako administratzaile kontu bat baino.
- Jabe ezaguna eta laguntza kontaktua dituen kudeatutako gailu bat hobea da zaindu gabeko terminal bat baino, terminala garbiagoa dirudien arren.
- Azken aldian nor sartu den zehaztu ezin duzun makina bat ezin duzu haren egoera deskribatu.
Egiaztapen horietako batek ere ez du ostalari partekatu bat fidagarri egiten. Arriskua zeregin mugatu baterako behar adina mugatuta dagoen esaten dizute, eta hori beste galdera eta zintzoagoa da. Idatzi erantzuna jarraitu aurretik.
Bigarren pausoa: eduki kredentzialak ostalariarengandik urrun
Profil bizia ez da laster-marka bat. OpenVPN profil batek txertatutako ziurtagiriak eta gako pribatu bat eduki ditzake, eta hura inportatzeak material hori zurea ez den gailu batean idazten du. Gauza bera gertatzen da cookie bat gordetzen duen nabigatzaile-saio batekin eta kutxa bat lokalki cachetatzen duen edozein pasahitz-kudeatzailerekin.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Hobetsi zerbitzuak onartzen duen sarbiderik iragankorrena. Saio bakoitzeko autentifikatzen duen eta bigarren faktorea eskatzen duen web atari batek gutxiago uzten du gordetako profil bat duen mahaigaineko bezero batek baino, eta nabigatzailea ixtean amaitzen den saioa hobea da berrabiaraztea gainditzen duen saio bat baino.
Gero egiaztatu zer gordetzen duen makinak. Linux ostalari partekatu batean profilaren kokapena erraza da ikuskatzen, eta Windowsen baliokidea den bilaketak komando bat besterik ez du behar. Aurreko erabiltzaile baten profila aurkitzea gogorarazpen erabilgarria da zurea modu berean tratatuko litzatekeela.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueHirugarren pausoa: amaitu sarbidea konfiantzazko leku batetik
Lokalki garbitzea merezi du eta ez da nahikoa. Amaitu zerbitzuaren saioa, itxi nabigatzailea, ezabatu deskargatutako edozein fitxategi, eta gero egin benetan garrantzitsua den pausoa: baliogabetu saioa edo kredentziala kontrolatzen duzun gailu batetik.
Azken ekintza hori da jendeak saltatzen duena, tokiko pantaila garbia dirudielako. Ostalarian softwareak kopiatutako saio-tokena lanean jarraitzen du zu joan ondoren, eta ez zaio axola nabigatzailea itxi zenetz. Baliogabetzea da ostalaria etsai izan zitekeela suposatzen duen pauso bakarra. Hala izan bazen oraindik funtzionatzen duen bakarra ere bada.
Gako pribatu batek edo berreskuratze-sekretu batek makina ukitu badu, tratatu agerian dagoen zerbait bezala eta biratu ezazu kopiak ikuskatu beharrean. Bigarren faktorea erabili zuen kontu baterako, berrikusi hornitzaileak zerrendatutako gailuak eta saioak ere, zure bisitaldian emandako tokena oraindik aktibo egon baitaiteke.
Idatzi emaitza freskoa den bitartean: zein gailu, zein kontu, zer instalatu zen, zer baliogabetu zen eta noiz. Ohar horrek ahalbidetzen dio hurrengo pertsonari garrantzia duen galdera bakarrari erantzutea: ea zerbait oraindik sarbidea duen.
Kontrol pribatuko gailu batek mantentze-lanak behar ditu oraindik, eta mailegatutako terminalak inoiz emango ez duen muturra kudeatzeko oinarria ematen dizu. Tunela zati erraza zen.