Szűrt vagy megfigyelt Mac VPN figyelmeztetés: mit engedélyez
A macOS értesítése hozzájárulási kérés arról, mit vizsgálhat az üzemeltető a lefedett útvonalon, nem kártevőről szóló ítélet és nem bizonyíték arra, hogy a forgalmát visszafejtik.
Ez a figyelmeztetés engedély, nem diagnózis. Amikor a macOS azt jelzi, hogy egy konfiguráció szűrni vagy figyelni fogja a forgalmat, akkor azt mondja, hogy az Ön által jóváhagyott összetevő látja a lefedett útvonalat, és megkérdezi, elfogadható-e ez. A párbeszéd nem tudja megmondani, ki üzemelteti az összetevőt, mit rögzít, vagy visszafejt-e valamit. Ezek a válaszok a profilban, a kiterjesztések listájában és a gépen lévő tanúsítványokban vannak, ezért ott kezdje, ne a mondat újraolvasásával.
Olvassa a figyelmeztetést hatókörkérdésként
Minden aktiválási értesítés két dologra mutat anélkül, hogy világosan megnevezné őket: a forgalmat kezelő kiterjesztésre és a forgalmat oda irányító konfigurációra. A jelenlegi macOS-en ezek az összetevők NetworkExtension rendszerkiterjesztések, és egyikük telepítése vagy aktiválása jóváhagyást igényel a Rendszerbeállításokban. A megfogalmazás azért marad tág, mert az operációs rendszer nem tudhatja, hogy a jóváhagyó egy IT-osztály, egy előfizetéses VPN vagy egy másvalamivel érkező szűrőügynök.
Ezért ugyanaz a szöveg három különböző elrendezést fed le. Egy kezelt Mac profilot kap az eszközkezeléstől, egy személyes Mac konfigurációt kap egy Ön által telepített alkalmazástól, és egy biztonsági termék olyan szűrőt telepíthet, amely soha nem mutatkozik VPN-ként. Egyik címke sem dönti el a szándékot. Csak azt mondják meg, melyik felet kérdezze először.
Két parancs gyorsan elválasztja ezeket az eseteket. Az első felsorolja a telepített rendszerkiterjesztéseket és azt, hogy melyik aktív, a második a konfigurációs profilokat sorolja fel tartalmukkal és az aláíró szervezettel.
systemextensionsctl list
profiles show -type configurationKülönböztesse meg az alagutat a szűrőtől
A csomagalagút útvonalat ad a Macnek, és mindent szállít, amit a routing tábla bele küld. A tartalomszűrő folyamatszinten ül, lát minden kapcsolatot, és engedélyezheti, blokkolhatja vagy átirányíthatja azt. Egy termék mindkettőt szállíthatja egyszerre, és a figyelmeztetés ekkor sem változik. A különbség számít, mert a gyűjthető bizonyítékok és a látni fogott hibák eltérnek.
A kiterjesztés kategóriáját ellenőrizze, ne a marketingnevet. Az alagút általában VPN-konfigurációként és hálózati kiterjesztésként jelenik meg, míg a szűrőnek egyáltalán nem lehet VPN-szolgáltatása. Ha a termék mindkét módot kínálja, az aktív konfiguráció választ egyet, és a mód váltása megváltoztathatja a lefedettséget anélkül, hogy a szállító változna.
A VPN-szolgáltatások listája a leggyorsabb módja annak megállapítására, hogy létezik-e alagút. Az a szűrő, amely nem VPN, nem jelenik meg benne, ami önmagában hasznos információ.
scutil --nc listA csatlakozva jelvény nem bizonyíték a lefedettségre. Az alkalmazások alkalmazásonkénti szabályokkal kizárhatók, és a helyi hálózatok felé irányuló forgalom gyakran tervezés szerint megkerüli az alagutat. Amikor egy alkalmazás úgy viselkedik, mintha nem figyelnék, gyanakodjon útvonalra vagy kizárásra, mielőtt a megfigyelő meghibásodására gondolna.
Mit tud meg az üzemeltető a tartalom olvasása nélkül
A metaadatok nem vigaszdíj. A címek, portok, DNS-nevek, kapcsolódási idők, bájtszámok és a hitelesített identitás mind láthatók az útvonalon lévő összetevő számára. Egy gazdagép ismételt felkeresése ugyanabban az órában rutint épít, és a rutin többet mondhat egyetlen oldalnál.
Ez a tisztességes válasz a szokásos kérdésre. Az üzemeltető látja, hol és mikor, akkor is, ha a tartalom lezárva marad.
A tartalom láthatósága második, hangosabb változtatást igényel. Egy megfelelően érvényesített HTTPS-munkamenet átláthatatlan marad egy alagút vagy folyamatszűrő számára, és ugyanez igaz a helyi fájlokra és a lefedett útvonalra soha be nem lépő forgalomra. Az oldalak törzsének olvasásához olyan tanúsító hatóság kell, amelyben a Mac már megbízik, azaz saját jóváhagyással telepített elfogó tanúsítvány. Ez a lépés a határt a metaadatoktól a tartalom felé mozdítja, és külön vizsgálatot érdemel.
A hatókör az eszköznél is megáll. Egy laptop alagútja nem fedi le az ugyanazon Wi-Fi-n lévő telefont, tabletet vagy másvalaki gépét, és egy vállalati kliens nem tudja leltárba venni a kávézó többi vendégét. Az eszközkezelő szoftver többet gyűjthet, mint amennyit az alagút felfed, de ez külön ellenőrzés, más szabályzatgazdával.
| Artifact | Visible on the covered path | Extra step required |
|---|---|---|
| Destination address and port | Yes | None |
| DNS names and query timing | Usually | None |
| HTTPS request and response bodies | No | Trusted root certificate |
| Files already stored on the Mac | No | Endpoint agent |
| Other devices on the same Wi-Fi | No | Separate enrollment |
Vizsgálja meg a tanúsítványtárat, mielőtt pánikba esne
A megbízható gyökér a különbség a forgalom megfigyelése és olvasása között. Vizsgálja meg a rendszerkulcstartót olyan hatóságok után, amelyeket nem ismer fel, és jegyezze fel azokat, amelyek az értesítés ideje körül jelentek meg. Egy kezelt Mac jogosan hordozhat a munkáltató által küldött vizsgálati gyökeret, és akkor a beszélgetés az adminisztrátoré. Egy személyes Mac, amely véletlenül szerzett egyet, olyan leletet mutat, amely intézkedést érdemel. Jegyezze fel a közös nevet, a kibocsátót és a hozzáadás dátumát, hogy a kérdés később megválaszolható legyen.
Hasonlítsa össze ezt a listát azzal, amit az eszközkezelés jelent. Ha a profilok listája és a tanúsítványok listája eltér, a tanúsítványok listája dönti el, mit fogad el a Mac.
Két parancs fedi le az ellenőrzés nagy részét. Az első kiírja a konfigurációs profilokat; a második az adminisztrátor által kezelt rendszerkulcstartó tanúsítványait írja ki, ahová a hozzáadott gyökér általában kerül.
profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychainAz Apple szabványos gyökerei külön kulcstartóban élnek, és itt nem jelentenek aggodalmat. A második parancs üres eredménye gyakori személyes Macen. A kitöltött eredmény megérdemli a tételes olvasást, mielőtt elveti.
Döntsön, majd írja le, miért
A jóváhagyás akkor ésszerű, ha meg tudja nevezni az üzemeltetőt, az összetevőt és az okot, és ha a kérés megfelel az Ön vagy szervezete által hozott döntésnek. A vizsgálat a helyes válasz, ha az értesítés kontextus nélkül érkezik, különösen hálózatváltás vagy nem kapcsolódó telepítés után. Először bontsa a kapcsolatot, rögzítse a profil azonosítóját és a kiterjesztést, majd döntsön. Az eltávolítás harmadik út, és helyreállítja a korábbi útválasztást anélkül, hogy a fiókhoz nyúlna.
Kezelje a hozzájárulást és az eltávolítást külön döntésként, amelyeket különböző időpontokban hoznak meg. Egy szűrő mai jóváhagyása nem kötelezi arra, hogy megtartsa, és egy profil eltávolítása nem törli a kiszolgálóoldali nyilvántartásokat arról, amit a működése alatt megfigyeltek.
Ha az értesítés egy már futtatott szoftver frissítése után érkezett, olvassa el a kiadási megjegyzéseket, mielőtt kattint. A szállítók valóban változtatnak a kiterjesztések architektúráján a kiadások között, és egy új szűrő rutinfrissítéssel is érkezhet. Ha az értesítés egy új hálózathoz csatlakozás után érkezett, tekintse az időzítést bizonyítéknak, és vizsgálja meg, mi változott.
Vezessen rövid feljegyzést: profilnév, kiterjesztés-azonosító, üzemeltető, a tanúsítvány ujjlenyomata, ha hozzáadtak egyet, és a dátum. A következő ember ebből az idővonalból indulhat ki a párbeszéd megfogalmazása helyett.