Une route VPN ne donne pas accès à distance à votre Mac

Rejoindre un VPN d’entreprise ne dit rien, en soi, sur la possibilité que quelqu’un se connecte à votre Mac depuis ailleurs. Trois choses distinctes doivent s’aligner : un chemin réseau qui atteint la machine, un service d’accès en cours d’exécution et l’autorisation pour un compte donné d’utiliser ce service. Le tunnel ne fournit que la première. Tout le reste de cette page porte sur la vérification des deux autres sans présupposer la réponse.

Partez du service ou du composant installé qui fournirait l’accès à distance, et cessez de le déduire d’un indicateur d’état connecté dans la barre des menus.

Trois contrôles que les gens fusionnent en un

L’accessibilité répond à la question de savoir si les paquets peuvent arriver. Un service de partage répond à la question de savoir si quelque chose écoute sur la machine. L’autorisation répond à la question des identités que le service accepte et de ce qu’elles peuvent toucher une fois entrées. Un VPN peut changer la première réponse sans toucher aux deux autres, et c’est précisément pourquoi la question continue de produire de mauvaises conclusions dans les deux sens.

Les indications d’Apple sur Remote Login sont un bon exemple concret de cette séparation, car elles vivent à un endroit précis et portent leurs propres choix de comptes. Elles se trouvent sous Réglages du système, Général, Partage, et décrivent l’accès SSH et SFTP avec une sélection d’utilisateurs autorisés. L’accès complet au disque pour les utilisateurs distants est encore une option distincte, ce qui renforce le point : activer un service n’est pas la même chose que d’accorder toutes les capacités que le service pourrait offrir.

Vérifiez ce qui est réellement activé

Parcourez le panneau Partage et notez chaque service activé, pas seulement celui que vous attendiez. Remote Login, le partage d’écran et le partage de fichiers ouvrent chacun une surface différente, et chacun a sa propre liste d’utilisateurs. Un réglage pour SSH ne dit rien du partage d’écran, et la présence d’une fonction de partage dans le système d’exploitation ne dit rien sur son utilisation éventuelle.

Faites ensuite l’inventaire de ce qui pourrait offrir un accès par ailleurs : un agent d’assistance à distance tiers, un outil de gestion installé lors de l’enrôlement ou un serveur de partage d’écran fourni avec autre chose. Ils n’apparaissent pas dans le panneau Partage, et ce sont précisément les composants que l’on oublie lors de l’audit d’un ordinateur portable. Notez chaque agent que vous ne pouvez pas identifier, car un processus inconnu avec un port en écoute est plus intéressant qu’un processus familier sans port. Une courte liste d’inconnues vaut mieux qu’une conclusion assurée bâtie sur le seul panneau que vous avez ouvert par hasard.

Demandez à l’administrateur ce que l’enrôlement a installé

Si l’enrôlement professionnel comprenait un profil de configuration, une approbation d’administrateur ou un logiciel supplémentaire, demandez à la personne qui le gère de répondre à trois choses : quels composants ont été installés, quelles autorisations ils détiennent et ce qui reste actif après votre déconnexion. Une route VPN et un agent de point de terminaison privilégié ont des capacités très différentes, et un seul des deux est généralement visible pour l’utilisateur.

Pour un dispositif d’assistance à distance autorisé, obtenez les détails par écrit : quels utilisateurs sont autorisés, quelles opérations sont prévues, si une confirmation s’affiche et comment le dispositif est retiré à la fin de la mission. N’accordez pas un accès à tous les utilisateurs ni des autorisations de disque étendues simplement pour tester si l’assistance peut se connecter, car ce test élargit définitivement la frontière.

Si vous trouvez des preuves que vous n’attendiez pas

Un journal de connexions inconnu ou un commutateur activé est une piste, pas la preuve de l’activité d’une personne précise. Conservez les événements pertinents non secrets, notez les heures et utilisez la procédure d’incident de l’organisation ou de la plateforme plutôt que de confronter quelqu’un ou de supprimer des preuves en espérant que cela se règle tout seul.

Sur un appareil géré, faites examiner les changements proposés par son propriétaire avant de désactiver un contrôle exigé par la politique. Sur un appareil personnel joint à un réseau professionnel, demandez une limite d’enrôlement claire et une procédure de sortie prise en charge, y compris ce qui est supprimé et ce qui reste.

La réponse utile nomme le mécanisme et l’autorité qui le sous-tend. Elle ne promet jamais ni un accès illimité de l’employeur ni une sécurité complète grâce à l’étiquette d’un tunnel, et elle ne confond pas une route avec une connexion.