Հանրային համակարգչով VPN օգտագործելը. ինչ ստուգել նախ
Թունելը պաշտպանում է ուղին, ոչ թե մեքենան երկու ծայրերում։ Որոշեք, թե ով է վերահսկում հոսթը, ինչ է մնում սկավառակի վրա և ինչպես չեղարկել մուտքը մինչև մուտք գործելը։
Փոխառված մեքենա, շտապ առաջադրանք և VPN հաճախորդ, որը խոստանում է ամեն ինչ գաղտնագրել՝ հաջորդականությունը անվտանգ է թվում և այդպիսին չէ։ Թունելը պաշտպանում է երկու ծայրակետերի միջև ուղին, և ձեր առջևի ծայրակետը այն մասն է, որը չեք կարող ստուգել։ Ստորև երեք քայլերը որոշում են՝ սարքն ընդհանրապես պիտանի է, ինչպես հեռու պահել դրանից հավատարմագրերը և ինչ անել հետո, որպեսզի ժամանակավոր նստաշրջանը մշտական պատճեն չդառնա։
Թունելը սկսվում է այն բանից հետո, երբ հոսթն արդեն տեսել է տվյալները
Գաղտնագրումը տեղի է ունենում VPN հաճախորդում, որն աշխատում է որպես ծրագիր մեքենայի վրա։ Այդ ծրագրից վերև ամեն ինչ՝ ներառյալ զննարկիչը, օպերացիոն համակարգը և բավարար հասանելիություն ունեցող ցանկացած ընդլայնում կամ դրայվեր, մշակում է ձեր տվյալները մինչև դրանց գաղտնագրումը։ Սա արձանագրության թերություն չէ․ սա այն տեղն է, որտեղ նստում է արձանագրությունը։
Այսպիսով, ելքի հասցեի ստուգումը հոսթի մասին համարյա ոչինչ չի ապացուցում։ Մեքենան կարող է ողջ երթևեկությունն ուղարկել մաքուր ելքով և միևնույն է գրանցել յուրաքանչյուր ստեղնասեղմում, և այդ երկու փաստերը հակասության մեջ չեն։
Օգտակար ձևակերպումն այն է, թե ինչ կարող է դիտարկել հոսթը, այլ ոչ թե ինչ կարող է ցանցը։ Մեքենայում, որը ղեկավարում է մեկ ուրիշը, այդ բազմությունը ավելի մեծ է, քան կարող եք թվարկել։
Քայլ առաջին․ հաստատեք, թե ով է վերահսկում սարքը
Վերահսկումը վարչական իրավունքների և ֆիզիկական հասանելիության հարց է, ոչ թե քաղաքավարության։ Եթե մեկ այլ անձ կարող է ծրագիր տեղադրել, դրայվեր բեռնել, սարք միացնել կամ պատկեր վերականգնել, ապա մեքենայի վարքը այն չէ, ինչ կարող եք հաստատել դրան նայելով։ Կառավարումը կարողություն է, և կարողությունները չեն երևում էկրանի նկարում։ Հարցրեք այն մարդուն, ով ձեզ է տվել մեքենան։
Փնտրեք սովորական նշանները և յուրաքանչյուրը դիտարկեք որպես վերահսկման ապացույց, ոչ թե անվտանգության ապացույց։ Դրանցից ոչ մեկը ինքնին վճռական չէ։
- Հյուրի կամ կիոսկի հաշիվը, որը չի կարող ծրագիր տեղադրել, ավելի լավ մեկնարկ է, քան ձեզ տրված վարչական հաշիվը։
- Կառավարվող սարքը՝ հայտնի սեփականատիրոջ և աջակցության կապի հետ, ավելի լավ է, քան անհսկա տերմինալը, նույնիսկ երբ տերմինալն ավելի մաքուր է թվում։
- Մեքենան, որտեղ չեք կարող որոշել, թե ով է վերջինը մուտք գործել, մեքենա է, որի վիճակը չեք կարող նկարագրել։
Այս ստուգումներից ոչ մեկը համօգտագործվող հոսթին վստահելի չի դարձնում։ Դրանք ասում են՝ արդյոք ռիսկը բավական սահմանափակ է սահմանափակ առաջադրանքով շարունակելու համար, ինչը այլ և ավելի ազնիվ հարց է։ Գրեք պատասխանը շարունակելուց առաջ։
Քայլ երկրորդ․ հավատարմագրերը հեռու պահեք հոսթից
Կենդանի պրոֆիլը էջանիշ չէ։ OpenVPN պրոֆիլը կարող է պարունակել ներկառուցված վկայականներ և գաղտնի բանալի, և դրա ներմուծումը գրում է այդ նյութը ձեզ չպատկանող սարքի վրա։ Նույնը վերաբերում է քուքի պահող զննարկիչի նստաշրջանին և պահոցը տեղայնորեն քեշավորող ցանկացած գաղտնաբառի մենեջերի։
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Նախընտրեք ծառայության աջակցած ամենաքիչ կայուն մուտքը։ Վեբ պորտալը, որը նույնականացնում է յուրաքանչյուր նստաշրջանի համար և պահանջում երկրորդ գործոն, ավելի քիչ է թողնում, քան պահված պրոֆիլով սեղանադիր հաճախորդը, և զննարկիչի փակվելիս ավարտվող նստաշրջանն ավելի լավ է, քան այն, որը դիմանում է վերագործարկմանը։
Ապա ստուգեք, թե ինչ է պահում մեքենան։ Համօգտագործվող Linux հոսթում պրոֆիլի տեղը հեշտ է ստուգել, իսկ Windows-ում համարժեք որոնումը մեկ հրաման է տևում։ Նախորդ օգտատիրոջ պրոֆիլ գտնելը օգտակար հիշեցում է, որ ձերին նույն ձևով կվերաբերվեն։
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueՔայլ երրորդ․ ավարտեք մուտքը ձեր վստահած տեղից
Տեղային մաքրումը արժե կատարել և բավարար չէ։ Դուրս եկեք ծառայությունից, փակեք զննարկիչը, հեռացրեք ներբեռնված ցանկացած ֆայլ, ապա կատարեք այն քայլը, որն իսկապես կարևոր է․ չեղարկեք նստաշրջանը կամ հավատարմագրերը ձեր վերահսկած սարքից։
Հենց այդ վերջին գործողությունն են մարդիկ բաց թողնում, որովհետև տեղական էկրանը մաքուր է թվում։ Հոսթի ծրագրով պատճենված նստաշրջանի նշանը շարունակում է աշխատել ձեր հեռանալուց հետո և չի հոգում, որ զննարկիչը փակվել էր։ Չեղարկումը միակ քայլն է, որը ենթադրում է, որ հոսթը կարող էր թշնամական լինել։ Այն նաև միակն է, որ դեռ աշխատում է, եթե այդպես էր։
Եթե գաղտնի բանալին կամ վերականգնման գաղտնիքը դիպել է մեքենային, դիտարկեք այն բացահայտված և պտտեք այն՝ պատճեններ ստուգելու փոխարեն։ Երկրորդ գործոն օգտագործած հաշվի համար վերանայեք նաև մատակարարի նշած սարքերն ու նստաշրջանները, քանի որ ձեր այցի ընթացքում թողարկված նշանը կարող է դեռ ակտիվ լինել։
Գրեք արդյունքը, քանի դեռ թարմ է․ որ սարքը, որ հաշիվը, ինչ տեղադրվեց, ինչ չեղարկվեց և երբ։ Այդ գրառումն է, որ թույլ է տալիս հաջորդ մարդուն պատասխանել հետո միակ կարևոր հարցին՝ արդյոք ինչ-որ բան դեռ հասանելիություն ունի։
Մասնավոր վերահսկողության տակ գտնվող սարքը նույնպես սպասարկում է պահանջում, և այն ձեզ հիմք է տալիս կառավարելու ծայրակետը, որը փոխառված տերմինալը երբեք չի տա։ Թունելը հեշտ մասն էր։