Una rotta VPN non concede l’accesso remoto al tuo Mac

Unirsi a una VPN aziendale non dice nulla, di per sé, sulla possibilità che qualcuno acceda al tuo Mac da un altro luogo. Tre cose distinte devono allinearsi: un percorso di rete che raggiunge la macchina, un servizio di accesso in esecuzione e l’autorizzazione per un determinato account a usare quel servizio. Il tunnel fornisce solo la prima. Tutto il resto di questa pagina riguarda la verifica delle altre due senza dare per scontata la risposta.

Parti dal servizio o dal componente installato che fornirebbe l’accesso remoto, e smetti di dedurlo da un indicatore di stato connesso nella barra dei menu.

Tre controlli che le persone fondono in uno

La raggiungibilità risponde alla domanda se i pacchetti possono arrivare. Un servizio di condivisione risponde alla domanda se qualcosa è in ascolto sulla macchina. L’autorizzazione risponde alla domanda quali identità il servizio accetta e a cosa possono accedere una volta entrate. Una VPN può cambiare la prima risposta senza toccare le altre due, ed è proprio per questo che la domanda continua a produrre conclusioni sbagliate in entrambe le direzioni.

Le indicazioni di Apple su Remote Login sono un buon esempio concreto di questa separazione, perché si trovano in un punto preciso e portano con sé le proprie scelte di account. Stanno sotto Impostazioni di Sistema, Generali, Condivisione, e descrivono l’accesso SSH e SFTP con una selezione di utenti consentiti. L’accesso completo al disco per gli utenti remoti è ancora un’opzione separata, il che rafforza il punto: abilitare un servizio non è lo stesso che concedere ogni capacità che il servizio potrebbe offrire.

Controlla cosa è realmente attivo

Percorri il pannello Condivisione e annota ogni servizio attivo, non solo quello che ti aspettavi. Remote Login, Condivisione schermo e Condivisione file aprono ciascuno una superficie diversa, e ciascuno ha la propria lista di utenti. Un’impostazione per SSH non dice nulla sulla condivisione dello schermo, e la presenza di una funzione di condivisione nel sistema operativo non dice nulla sul fatto che qualcuno l’abbia usata.

Poi fai un inventario di cos’altro potrebbe fornire accesso: un agente di supporto remoto di terze parti, uno strumento di gestione installato durante l’iscrizione o un server di condivisione schermo incluso con qualcos’altro. Questi non compaiono nel pannello Condivisione, e sono proprio i componenti che le persone dimenticano quando controllano un portatile. Annota ogni agente che non riesci a identificare, perché un processo sconosciuto con una porta in ascolto è più interessante di uno conosciuto senza. Un breve elenco di sconosciuti vale più di una conclusione sicura costruita sull’unico pannello che hai aperto per caso.

Chiedi all’amministratore cosa ha installato l’iscrizione

Se l’iscrizione aziendale comprendeva un profilo di configurazione, un’approvazione da parte di un amministratore o software aggiuntivo, chiedi alla persona che lo gestisce di rispondere a tre cose: quali componenti sono stati installati, quali autorizzazioni possiedono e cosa resta attivo dopo che ti disconnetti. Una rotta VPN e un agente endpoint privilegiato hanno capacità molto diverse, e di solito solo uno dei due è visibile all’utente.

Per un accordo di supporto remoto consentito, ottieni i dettagli per iscritto: quali utenti sono autorizzati, quali operazioni sono previste, se compare una richiesta di conferma e come l’accordo viene rimosso quando l’incarico termina. Non concedere l’accesso a tutti gli utenti o autorizzazioni disco ampie solo per verificare se il supporto riesce a connettersi, perché quel test allarga il confine in modo permanente.

Se trovi prove che non ti aspettavi

Un registro di connessioni sconosciuto o un interruttore attivato è un indizio, non la prova dell’attività di una persona specifica. Conserva gli eventi rilevanti non segreti, annota gli orari e usa la procedura di incidente dell’organizzazione o della piattaforma invece di affrontare qualcuno o cancellare le prove sperando che si risolva da sé.

Su un dispositivo gestito, fai esaminare le modifiche proposte dal proprietario prima di disattivare un controllo richiesto dalle policy. Su un dispositivo personale collegato a una rete aziendale, chiedi un confine di iscrizione chiaro e una procedura di uscita supportata, compreso ciò che viene rimosso e ciò che resta.

La risposta utile nomina il meccanismo e l’autorità che lo sostiene. Non promette mai né un accesso illimitato del datore di lavoro né una sicurezza completa grazie all’etichetta di un tunnel, e non confonde una rotta con un accesso.