In iepenbiere kompjûter mei VPN brûke: wat earst te kontrolearjen
In tunnel beskermet it paad, net de masine oan beide einen. Beslis wa’t de host kontrolearret, wat op de skiif bliuwt en hoe’t jo tagong ynlûke foardat jo oanmelde.
Liende masine, driuwende taak en in VPN-klant dy’t ûnthjit alles te fersiferjen: de folchoarder fielt feilich en is it net. In tunnel beskermet it paad tusken twa einpunten, en it einpunt foar jo is it part dat jo net ferifiearje kinne. De trije stappen hjirûnder beslisse oft it apparaat hielendal brûkber is, hoe’t jo bewiisstikken derfan ôf hâlde en wat jo dêrnei dogge sadat in tydlike sesje gjin permaninte kopy wurdt.
De tunnel begjint neidat de host de gegevens al sjoen hat
Fersifering bart by de VPN-klant, dy’t as programma op ’e masine rint. Alles boppe dat programma, ynklusyf de browser, it bestjoeringssysteem en elke útwreiding of stjoerder mei genôch tagong, ferwurket jo gegevens foardat se fersifere wurde. Dat is gjin flater yn it protokol; it is it plak dêr’t it protokol sit.
It útgongsadres kontrolearje bewiist dus hast neat oer de host. In masine kin alle ferkear troch in skjinne útgong stjoere en dochs elke toetsoanslach logge, en de beide feiten binne net yn striid.
It nuttige ramt is te freegjen wat de host observearje kin ynstee fan wat it netwurk kin. Op in masine dy’t immen oars administrearret, is dy set grutter as jo opsomme kinne.
Stap ien: fêststelle wa’t it apparaat kontrolearret
Kontrôle is in kwestje fan administratyf rjocht en fysike tagong, net fan hoflichheid. As in oar persoan software ynstallearje, in stjoerder lade, in apparaat oanslute of in image weromsette kin, is it gedrach fan ’e masine net eat dat jo fêststelle kinne troch dernei te sjen. Administraasje is in fermogen, en fermogens ferskine net op in skermprint. Freegje de persoan dy’t de masine jo joech.
Sjoch nei de gewoane tekens, en behannelje elk as bewiis oer kontrôle ynstee fan bewiis fan feiligens. Gjin fan allen is op himsels beslissend.
- In gast- of kioskaccount dat gjin software ynstallearje kin, is in better útgongspunt as in administratoraccount dat immen jo joech.
- In beheard apparaat mei in bekende eigner en in stipekontakt is better as in ûnbewaakte terminal, sels as de terminal skjinner liket.
- In masine dêr’t jo net fêststelle kinne wa’t it lêst oanmeld is, is in masine waans steat jo net beskriuwe kinne.
Gjin fan dizze kontrôles makket in dielde host betrouber. Se fertelle jo oft it risiko beheind genôch is om troch te gean mei in beheinde taak, wat in oare en earliker fraach is. Skriuw it antwurd op foardat jo trochgeane.
Stap twa: hâld bewiisstikken fan ’e host ôf
In libben profyl is gjin blêdwizer. In OpenVPN-profyl kin ynbêde sertifikaten en in privee kaai befetsje, en it ymportearjen skriuwt dat materiaal nei in apparaat dat net fan jo is. Itselde jildt foar in browsersesje dy’t in cookie bewarret, en foar elke wachtwurdbehearder dy’t in kluis lokaal cachet.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Foarkar jaan oan de minst duorjende tagong dy’t de tsjinst stipet. In webportaal dat per sesje autentisearret en in twadde faktor freget, lit minder efter as in desktopklant mei in bewarre profyl, en in sesje dy’t einiget as de browser slút, is better as ien dy’t in werstart oerlibbet.
Kontrolearje dan wat de masine hâldt. Op in dielde Linux-host is it plak fan it profyl maklik te ynspektearjen, en op Windows kostet it ekwivalinte sykjen ien opdracht. It finen fan it profyl fan in eardere brûker is in nuttige herinnering dat jo eigen itselde behannele wurde soe.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueStap trije: einigje tagong fan in plak dat jo fertrouwe
Lokaal skjinnmeitsje is de muoite wurdich en is net genôch. Meld jo ôf by de tsjinst, slút de browser, ferwiderje elk downloade bestân, en doch dan de stap dy’t echt fan belang is: lûk de sesje of it bewiisstik yn út in apparaat dat jo kontrolearje.
Dizze lêste hanneling is dejinge dy’t minsken oerslaan, om’t it lokale skerm skjin liket. In sesjetoken dat troch software op ’e host kopyearre is, wurket troch nei’t jo fuortgien binne, en it kin net skele dat de browser sletten wie. Ynlûken is de iennige stap dy’t oannimt dat de host fijannich west hawwe kin. It is ek de iennige dy’t noch wurket as er dat wie.
As in privee kaai of in werstelgeheim de masine oanrekke hat, behannelje it as bleatsteld en rotearje it ynstee fan kopyen te ynspektearjen. Foar in account dat in twadde faktor brûkte, besjoch ek de apparaten en sesjes dy’t de leveransier listet, want in token útjûn tidens jo besite kin noch aktyf wêze.
Skriuw it resultaat op wylst it farsk is: hokker apparaat, hokker account, wat ynstallearre is, wat ynlutsen is en wannear. Dat notysje is wat de folgjende persoan helpt it iennige fraach te beäntwurdzjen dat dêrnei fan belang is: oft eat noch tagong hat.
In apparaat ûnder privee kontrôle hat dochs ûnderhâld nedich, en it jout jo in basis om it einpunt te behearen dy’t in liende terminal nea jaan sil. De tunnel wie it maklike part.