אזהרת VPN של Mac מסונן או מנוטר: מה היא מתירה
הודעת macOS היא בקשת הסכמה לגבי מה שהמפעיל יכול לבדוק בנתיב המכוסה, ולא פסק דין על תוכנה זדונית או הוכחה שהתעבורה שלך מפוענחת.
האזהרה הזו היא אישור, לא אבחנה. כשה-Mac אומר שהגדרה תסנן או תנטר תעבורה, הוא אומר לך שרכיב שאישרת יכול לראות את הנתיב שהוא מכסה, ושואל אם זה מקובל. תיבת הדו-שיח לא יכולה לומר לך מי מפעיל את הרכיב, מה הוא רושם או אם הוא מפענח משהו. התשובות האלה נמצאות בפרופיל, ברשימת ההרחבות ובתעודות במחשב, כך שהתחל שם במקום לקרוא את המשפט שוב.
קרא את ההודעה כשאלת היקף
כל הודעת הפעלה מצביעה על שני דברים בלי לנקוב בשמם בבירור: ההרחבה שתטפל בתעבורה וההגדרה שמפנה אליה תעבורה. ב-macOS הנוכחי רכיבים אלה הם הרחבות מערכת של NetworkExtension, והתקנה או הפעלה של אחת דורשת אישור בהגדרות המערכת. הנוסח נשאר רחב כי מערכת ההפעלה לא יכולה לדעת אם המאשר הוא מחלקת IT, VPN במנוי או סוכן סינון שמגיע עם משהו אחר.
לכן אותו טקסט מכסה שלושה סידורים שונים. Mac מנוהל מקבל פרופיל מניהול מכשירים, Mac אישי מקבל הגדרה מאפליקציה שהתקנת, ומוצר אבטחה יכול להתקין מסנן שלעולם אינו מציג את עצמו כ-VPN. אף אחת מהתוויות האלה לא מכריעה את הכוונה. הן רק אומרות לך את מי לשאול קודם.
שתי פקודות מפרידות בין המקרים האלה במהירות. הראשונה מפרטת הרחבות מערכת מותקנות ואם כל אחת פעילה, והשנייה מפרטת פרופילי הגדרה עם המטענים שלהם והארגון החותם.
systemextensionsctl list
profiles show -type configurationהבחן בין מנהרה למסנן
מנהרת מנות נותנת ל-Mac נתיב ונושאת כל מה שטבלת הניתוב שולחת לתוכה. מסנן תוכן יושב ברמת הזרימה, רואה כל חיבור ויכול לאפשר, לחסום או להפנות אותו. מוצר יכול לספק את שניהם בבת אחת, והאזהרה לא משתנה כשהוא עושה זאת. ההבדל חשוב כי הראיות שאפשר לאסוף והכשלים שתראה שונים.
בדוק את קטגוריית ההרחבה ולא את שם השיווק. מנהרה מופיעה בדרך כלל כהגדרת VPN וכהרחבת רשת, ואילו למסנן ייתכן שאין שירות VPN כלל. אם המוצר מציע את שני המצבים, ההגדרה הפעילה בוחרת אחד, והחלפת מצבים יכולה לשנות את מה שמכוסה בלי להחליף ספק.
רשימת שירותי ה-VPN היא הדרך המהירה ביותר לראות אם קיימת מנהרה. מסנן שאינו VPN לא יופיע בה, וזה כשלעצמו מידע שימושי.
scutil --nc listתג מחובר אינו הוכחה לכיסוי. אפשר להחריג אפליקציות בכללי כל אפליקציה, ו תעבורה לרשתות מקומיות לעתים קרובות עוקפת את המנהרה לפי התכנון. כשאפליקציה אחת מתנהגת כאילו אינה מנוטרת, חשד בנתיב או בהחרגה לפני שתניח שהמנטר מקולקל.
מה המפעיל לומד בלי לקרוא מטענים
מטא-נתונים אינם פרס ניחומים. כתובות, פורטים, שמות DNS, זמני חיבור, ספירות בתים והזהות שאומתה גלויים לרכיב שעל הנתיב. ביקורים חוזרים במארח אחד באותה שעה בונים שגרה, ושגרה יכולה לומר יותר מדף בודד.
זו התשובה הכנה לשאלה הרגילה. המפעיל יכול לראות איפה ומתי, גם כשהתוכן נשאר חתום.
נראות התוכן דורשת שינוי שני וחזק יותר. הפעלת HTTPS שאומתה כראוי נשארת אטומה למנהרה או למסנן זרימה, וכך גם קבצים מקומיים ותעבורה שלעולם אינה נכנסת לנתיב המכוסה. קריאת גופי דפים דורשת רשות אישורים שה-Mac כבר סומך עליה, כלומר תעודת יירוט שהותקנה באישור משלה. הצעד הזה מזיז את הגבול ממטא-נתונים לתוכן ומגיע לו עיון נפרד.
ההיקף נעצר גם במכשיר. מנהרה במחשב נייד אחד אינה מכסה טלפון, טאבלט או מכונה של אדם אחר באותה רשת Wi-Fi, ולקוח ארגוני אינו יכול למנות את שאר באי הקפה. תוכנת ניהול מכשירים יכולה לאסוף יותר ממה שהמנהרה חושפת, אבל זהו בקרה נפרדת עם בעל מדיניות אחר.
| Artifact | Visible on the covered path | Extra step required |
|---|---|---|
| Destination address and port | Yes | None |
| DNS names and query timing | Usually | None |
| HTTPS request and response bodies | No | Trusted root certificate |
| Files already stored on the Mac | No | Endpoint agent |
| Other devices on the same Wi-Fi | No | Separate enrollment |
בדוק את מאגר התעודות לפני שתיכנס לפאניקה
שורש מהימן הוא ההבדל בין לצפות בתעבורה לבין לקרוא אותה. בדוק את מחזיק המפתחות של המערכת לאיתור רשויות שאינך מזהה, ורשום כל אחת שהופיעה בסמוך לזמן ההודעה. Mac מנוהל יכול לשאת כדין שורש בדיקה שנדחף בידי המעסיק, ואז השיחה היא עם המנהל. Mac אישי שקיבל אחד בטעות יש לו ממצא שראוי לפעול לפיו. רשום את השם הנפוץ, המנפיק ותאריך ההוספה כדי שאפשר יהיה לענות על השאלה מאוחר יותר.
השווה את הרשימה הזו למה שניהול המכשירים מדווח. אם רשימת הפרופילים ורשימת התעודות אינן מסכימות, רשימת התעודות היא שקובעת מה ה-Mac יקבל.
שתי פקודות מכסות את רוב הבדיקה. הראשונה מדפיסה פרופילי הגדרה; השנייה מדפיסה תעודות במחזיק המפתחות של המערכת המנוהל בידי המנהל, לשם מגיע בדרך כלל שורש שנוסף.
profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychainשורשי Apple הסטנדרטיים חיים במחזיק מפתחות נפרד ואינם הדאגה כאן. תוצאה ריקה מהפקודה השנייה נפוצה ב-Mac אישי. תוצאה מלאה ראויה לקריאה נושא אחר נושא לפני שאתה פוסל אותה.
החלט, ואז רשום למה
אישור הוא סביר כאשר אתה יכול לנקוב בשם המפעיל, הרכיב והסיבה, וכאשר הבקשה תואמת בחירה שאתה או הארגון שלך עשיתם. חקירה היא התגובה הנכונה כאשר ההודעה מגיעה בלי הקשר, במיוחד אחרי שינוי רשת או התקנה לא קשורה. נתק תחילה את החיבור, תפוס את מזהה הפרופיל ואת ההרחבה, ואז החלט. הסרה היא מסלול שלישי, והיא מחזירה את הניתוב הקודם בלי לגעת בחשבון.
התייחס להסכמה ולהסרה כהחלטות נפרדות שמתקבלות בזמנים שונים. אישור מסנן היום אינו מחייב אותך להשאיר אותו, והסרת פרופיל אינה מוחקת רשומות בצד השרת על מה שנצפה כשהפרופיל היה פעיל.
אם ההודעה הגיעה אחרי עדכון של תוכנה שאתה כבר מריץ, קרא את הערות השחרור של אותה גרסה לפני הלחיצה. ספקים אכן משנים את ארכיטקטורת ההרחבות בין גרסאות, ומסנן חדש יכול להגיע עם עדכון שגרתי. אם ההודעה הגיעה אחרי התחברות לרשת חדשה, התייחס לעיתוי כראיה ובדוק מה השתנה.
נהל רישום קצר: שם הפרופיל, מזהה ההרחבה, המפעיל, טביעת האצבע של התעודה אם נוספה, והתאריך. האדם הבא יכול להתחיל מציר הזמן הזה במקום מהנוסח של תיבת דו-שיח.