Avviso VPN Mac filtrata o monitorata: cosa consente

Quell'avviso è un'autorizzazione, non una diagnosi. Quando macOS annuncia che una configurazione filtrerà o monitorerà il traffico, ti sta dicendo che un componente che hai approvato vede il percorso che copre e ti chiede se ciò è accettabile. La finestra di dialogo non può dirti chi gestisce il componente, cosa registra o se decifra qualcosa. Quelle risposte sono nel profilo, nell'elenco delle estensioni e nei certificati della macchina, quindi parti da lì invece di rileggere la frase.

Leggi l'avviso come una domanda di ambito

Ogni avviso di attivazione indica due cose senza nominarle chiaramente: l'estensione che gestirà il traffico e la configurazione che vi indirizza il traffico. Sul macOS attuale questi componenti sono estensioni di sistema NetworkExtension, e installarne o attivarne una richiede un'approvazione in Impostazioni di Sistema. La formulazione resta ampia perché il sistema operativo non può sapere se chi approva è un reparto IT, una VPN in abbonamento o un agente di filtraggio fornito con altro.

Per questo lo stesso testo copre tre situazioni diverse. Un Mac gestito riceve un profilo dalla gestione dei dispositivi, un Mac personale riceve una configurazione da un'app che hai installato, e un prodotto di sicurezza può installare un filtro che non si presenta mai come VPN. Nessuna di queste etichette risolve l'intenzione. Dicono solo a quale parte chiedere per prima.

Due comandi separano rapidamente questi casi. Il primo elenca le estensioni di sistema installate e se ciascuna è attiva, il secondo elenca i profili di configurazione con i loro payload e l'organizzazione firmataria.

systemextensionsctl list
profiles show -type configuration

Distingui un tunnel da un filtro

Un tunnel di pacchetti dà al Mac una rotta e trasporta tutto ciò che la tabella di routing vi invia. Un filtro di contenuti si colloca a livello di flusso, vede ogni connessione e può consentirla, bloccarla o reindirizzarla. Un prodotto può fornire entrambi insieme, e l'avviso non cambia quando lo fa. La differenza conta perché le prove che puoi raccogliere e i guasti che vedrai sono diversi.

Controlla la categoria dell'estensione, non il nome commerciale. Un tunnel compare di solito come configurazione VPN e come estensione di rete, mentre un filtro può non avere alcun servizio VPN. Se il prodotto offre entrambe le modalità, la configurazione attiva ne sceglie una, e cambiare modalità può cambiare ciò che è coperto senza cambiare fornitore.

L'elenco dei servizi VPN è il modo più rapido per vedere se esiste un tunnel. Un filtro che non è una VPN non vi comparirà, il che è già un'informazione utile.

scutil --nc list

Il distintivo connesso non è prova di copertura. Le app possono essere escluse con regole per singola app, e il traffico verso le reti locali spesso aggira il tunnel per progettazione. Quando un'applicazione si comporta come se non fosse sorvegliata, sospetta una rotta o un'esclusione prima di supporre che il monitor sia guasto.

Cosa apprende l'operatore senza leggere i payload

I metadati non sono un premio di consolazione. Indirizzi, porte, nomi DNS, orari di connessione, conteggi di byte e l'identità autenticata sono tutti visibili al componente sul percorso. Le visite ripetute a un host alla stessa ora costruiscono una routine, e una routine può dire più di una singola pagina.

Questa è la risposta onesta alla domanda abituale. L'operatore può vedere dove e quando, anche quando il contenuto resta sigillato.

La visibilità dei payload richiede un secondo cambiamento, più incisivo. Una sessione HTTPS validata correttamente resta opaca a un tunnel o a un filtro di flusso, e così i file locali e il traffico che non entra mai nel percorso coperto. Leggere il corpo delle pagine richiede un'autorità di certificazione di cui il Mac si fida già, cioè un certificato di intercettazione installato con la sua approvazione. Quel passo sposta il confine dai metadati al contenuto e merita un esame separato.

L'ambito si ferma anche al dispositivo. Un tunnel su un portatile non copre un telefono, un tablet o la macchina di un'altra persona sulla stessa Wi-Fi, e un client aziendale non può inventariare gli altri clienti del bar. Il software di gestione dei dispositivi può raccogliere più di quanto esponga il tunnel, ma è un controllo separato con un altro titolare della politica.

Ispeziona l'archivio dei certificati prima di farti prendere dal panico

Una radice attendibile è la differenza tra osservare il traffico e leggerlo. Ispeziona il portachiavi di sistema cercando autorità che non riconosci, e annota quelle comparse intorno al momento dell'avviso. Un Mac gestito può portare legittimamente una radice di ispezione inviata dal datore di lavoro, e allora la conversazione spetta all'amministratore. Un Mac personale che ne ha acquisita una per caso ha un riscontro su cui vale la pena agire. Annota il nome comune, l'emittente e la data di aggiunta perché la domanda possa essere risolta più avanti.

Confronta quell'elenco con ciò che riporta la gestione dei dispositivi. Se l'elenco dei profili e quello dei certificati non coincidono, è l'elenco dei certificati a decidere cosa accetterà il Mac.

Due comandi coprono gran parte del controllo. Il primo stampa i profili di configurazione; il secondo stampa i certificati nel portachiavi di sistema gestito dall'amministratore, dove di solito finisce una radice aggiunta.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Le radici standard di Apple vivono in un portachiavi separato e non sono la preoccupazione qui. Un risultato vuoto dal secondo comando è comune su un Mac personale. Un risultato pieno merita una lettura soggetto per soggetto prima di scartarlo.

Decidi, poi annota perché

L'approvazione è ragionevole quando puoi nominare l'operatore, il componente e il motivo, e quando la richiesta corrisponde a una scelta fatta da te o dalla tua organizzazione. L'indagine è la risposta giusta quando l'avviso arriva senza contesto, soprattutto dopo un cambio di rete o un'installazione non correlata. Disconnetti prima, registra l'identificatore del profilo e l'estensione, poi decidi. La rimozione è una terza via, e ripristina il routing precedente senza toccare l'account.

Tratta consenso e rimozione come decisioni separate prese in momenti diversi. Approvare un filtro oggi non ti obbliga a tenerlo, e rimuovere un profilo non cancella i registri lato server su ciò che è stato osservato mentre era attivo.

Se l'avviso è seguito a un aggiornamento di un software che usi già, leggi le note di rilascio di quella versione prima di cliccare. I fornitori cambiano davvero l'architettura delle estensioni tra le versioni, e un nuovo filtro può arrivare con un aggiornamento di routine. Se l'avviso è seguito alla connessione a una nuova rete, tratta il momento come prova e ispeziona cosa è cambiato.

Tieni un registro breve: nome del profilo, identificatore dell'estensione, operatore, impronta del certificato se ne è stato aggiunto uno, e la data. La persona successiva può partire da quella cronologia invece che dalla formulazione di una finestra di dialogo.