VPN ennen kirjautumista macOS:ssä: avaus, kirjautumisikkuna, istunto
FileVaultin avaus, kirjautumisikkuna ja käyttäjäistunto ovat erillisiä vaiheita. Kirjautumisessa käynnistyvä työpöytäasiakas ratkaisee niistä vain viimeisen.
Tässä on uskomus, joka maksaa ihmisille viikon: että Macilla on yksi hetki nimeltä ennen kirjautumista ja että VPN-asiakas joko käynnistyy silloin tai ei. Koneella on itse asiassa vähintään kolme hetkeä, jolloin verkkoyhteydellä on merkitystä, ja ne erottaa se, kenen on sillä hetkellä lupa pitää tunnistetietoja. Kirjautumiskohteesta käynnistetty asiakas kattaa niistä täsmälleen yhden, ja se on viimeinen.
Myytti, että yksi asetus kattaa koko käynnistyksen
Lue tuotesivu uudelleen ja katso, minkä vaiheen ominaisuus nimeää. Valintaruutu, jonka teksti on käynnistä kirjautuessa, tarkoittaa kirjautumiskohdetta, joka ajetaan sen jälkeen kun käyttäjäistunto on olemassa. Valintaruutu, jonka teksti on yhdistä tarvittaessa, tarkoittaa, että asiakas avaa yhteyden, kun liikenne vastaa sääntöä, mikä edellyttää edelleen, että asiakas ja sen tunnistetiedot ovat saatavilla.
Kumpikaan niistä ei yllä käynnistysprosessiin. Se ei ole rajoitus, jonka toimittaja olisi unohtanut poistaa; se on se, minkä käyttöjärjestelmä sallii. Ennen kuin taltio avataan, ei ole käynnissä olevaa järjestelmää, josta asiakkaan voisi käynnistää, ja uloskirjautumisen jälkeen käyttäjän salaisuudet lähtevät istunnon mukana. Kaksi erillistä seinää, eikä kumpikaan taivu toisen valintaruudun edessä.
Kun erotat vaiheet, alkuperäinen kysymys muuttaa muotoaan. Sen sijaan että kysyisit, käynnistyykö VPN ennen kirjautumista, kysyt, minkä kolmesta konkreettisesta hetkestä täytyy toimia, ja sitten huomaat, että jokaisella on eri omistaja: salauspino, verkkolaajennus tai käyttäjäistunto.
Mitä kussakin vaiheessa todella tapahtuu
Käynnistys alkaa salatulla taltiolla, joka on avattava ennen kuin on olemassa käyttökelpoinen järjestelmä mihin tahansa yleiseen työhön. Se avaus tapahtuu rajoitetussa yhteydessä rajoitetulla tunnistetietojoukolla, ja Apple dokumentoi selvästi, että salatut tiedot pysyvät saavuttamattomina ilman kelvollista avausta.
Seuraavaksi tulee kirjautumisikkuna, jossa järjestelmä on käynnissä mutta käyttäjäistuntoa ei vielä ole. Käyttäjäkontekstin laajennus on jo päättynyt, jos käyttäjä kirjautui ulos, ja järjestelmänlaajuinen laajennus voi yhä olla käynnissä, mutta käynnissä oleminen ei ole sama kuin VPN:si tarvitsemien tunnistetietojen pitäminen.
Sitten tulee istunto, jossa tavallinen asiakas voi lukea kirjautumisavainnipun, pyytää toista tekijää ja soveltaa työnnettyjä reittejä. Useimmat ominaisuudet, joita ihmiset kuvaavat ennen kirjautumista -ominaisuuksiksi, ovat itse asiassa tämä vaihe, joka käynnistyy istunnon alussa eikä ennen sitä.
| Stage | What it can use | What it cannot do |
|---|---|---|
| FileVault unlock | Credentials supplied at the console to unlock the volume | Run an ordinary VPN app or read a user keychain |
| Login window | System context, possibly a joined network | Use a user secret that only exists after login |
| User session | Login keychain, interactive MFA, full client features | Exist before the volume unlocks |
Miksi launch daemon ei voi kirjautua poissa olevan käyttäjän puolesta
Kohonneet oikeudet tuntuvat siltä, että niiden pitäisi ratkaista ongelma, eivätkä ne ratkaise. Launch daemon toimii järjestelmäprosessina, jonka takana ei ole käyttäjäistuntoa, joten avattavaa avainnippua ei ole eikä ihmistä vastaamaan pyyntöön. Se voi avata pistokkeen ja lukea tiedoston; se, mitä se ei voi tehdä, on tulla käyttäjäksi, joka omistaa tunnistetiedot. Oikeus ei ole identiteetti, ja juuri tässä kohdassa ne kaksi sekoittuvat.
Sen, mitä ihmiset rakentavat tuohon aukkoon, on skripti, jossa on salasana sisällä, ja se on pahempi ongelma kuin se, jolla he aloittivat.
Vaatimuksen rehellinen versio on kapeampi. Jos koneen on päästävä suojattuun resurssiin, kun paikalla ei ole ketään, resurssin hyväksymän identiteetin on oltava sellainen, jota kone voi ylläpitää ilman ihmistä: laitevarmenne, tunnistetieto järjestelmän avainnipussa tai tili, jonka toinen tekijä ei ole työntöilmoitus jonkun taskussa olevaan puhelimeen. Suunnittele tuo identiteetti tarkoituksella, ja vaihekysymys vastaa yleensä itse itsensä.
Windowsin ennen kirjautumista -ominaisuus ei siirry
Windowsilla on dokumentoitu ennen kirjautumista -käyttömekanismi joillekin etäkäyttötuotteille, ja nimi kulkee paremmin kuin kyky. Windowsin käyttöönotto-oppaassa kuvattu ominaisuus ei kerro mitään siitä, toteuttaako sama toimittaja vastaavan macOS:ssä.
Pyydä lausunto, joka kattaa Macin laitteiston, macOS-version, asiakasversion ja todella käyttämäsi todennusmenetelmän. Yleinen väite tuesta ei riitä, koska ero toimivan ja toimimattoman välillä on usein jossakin noista neljästä.
Jos toimittaja ei osaa vastata, se on vastaus. Suunnittele istuntovaihe ja suunnittele vaihtoehto valvomattomaan tapaukseen sen sijaan, että löytäisit aukon käyttöönoton aikana.
Mitä sen sijaan pyytää
Kirjoita vaatimus vaiheiden kielellä. Mikä resurssi, kenelle tarpeen, missä yhteydessä ja millä hyväksyttävällä viiveellä, kun yhteyttä ei vielä ole?
Jos vastaus on käyttäjä, joka kirjautuu sisään ja tarvitsee sitten tunnelin, tarvittaessa yhdistäminen ja käynnistyskohde riittävät ja ovat halpoja. Jos vastaus on kone, joka käynnistyy uudelleen yön aikana ja jonka on raportoitava, suunnittelu tarvitsee tuetun levyn avauspolun, laiteidentiteetin ja palautusprosessin, joka toimii, kun verkko ei koskaan nouse. Jos vastaus on organisaation kirjautuminen, joka riippuu tunnelista, kirjautumisen, identiteetin ja VPN:n suunnitelmat on rakennettava yhdessä, ei ostettava erikseen.
Applen FileVault-dokumentaatio on oikea lähtökohta avausvaiheelle. Kaikki sen jälkeen on asiakas- ja identiteettikysymys, jonka toimittajan lausunnon pitäisi ratkaista ennen ostoa.