Usare un computer pubblico con una VPN: cosa controllare prima
Un tunnel protegge il percorso, non la macchina ai due estremi. Decidete chi controlla l’host, cosa resta sul disco e come revocare l’accesso prima di accedere.
Macchina presa in prestito, compito urgente e un client VPN che promette di cifrare tutto: la sequenza sembra sicura e non lo è. Un tunnel protegge il percorso tra due estremi, e l’estremo davanti a voi è la parte che non potete verificare. I tre passaggi seguenti decidono se il dispositivo è utilizzabile, come tenere le credenziali fuori da esso e cosa fare dopo perché una sessione temporanea non diventi una copia permanente.
Il tunnel inizia dopo che l’host ha già visto i dati
La cifratura avviene nel client VPN, che viene eseguito come programma sulla macchina. Tutto ciò che sta sopra quel programma, incluso il browser, il sistema operativo e qualsiasi estensione o driver con accesso sufficiente, gestisce i vostri dati prima che vengano cifrati. Non è un difetto del protocollo; è il punto in cui si trova il protocollo.
Controllare l’indirizzo di uscita quindi non dimostra quasi nulla sull’host. Una macchina può instradare tutto il traffico attraverso un’uscita pulita e comunque registrare ogni pressione di tasto, e i due fatti non sono in contraddizione.
L’impostazione utile è chiedersi cosa può osservare l’host anziché cosa può fare la rete. Su una macchina amministrata da qualcun altro, quell’insieme è più grande di quanto possiate elencare.
Primo passaggio: stabilire chi controlla il dispositivo
Il controllo è una questione di diritti amministrativi e accesso fisico, non di cortesia. Se un’altra persona può installare software, caricare un driver, collegare un dispositivo o ripristinare un’immagine, il comportamento della macchina non è qualcosa che possiate stabilire guardandola. L’amministrazione è una capacità, e le capacità non compaiono in uno screenshot. Chiedete alla persona che vi ha consegnato la macchina.
Cercate i segnali ordinari e trattate ciascuno come prova sul controllo anziché come prova di sicurezza. Nessuno di essi è decisivo da solo.
- Un account ospite o kiosk che non può installare software è un punto di partenza migliore di un account amministratore che qualcuno vi ha consegnato.
- Un dispositivo gestito con proprietario noto e contatto di supporto è meglio di un terminale incustodito, anche quando il terminale sembra più pulito.
- Una macchina di cui non potete determinare chi ha effettuato l’ultimo accesso è una macchina di cui non potete descrivere lo stato.
Nessuno di questi controlli rende affidabile un host condiviso. Vi dicono se il rischio è abbastanza circoscritto per proseguire con un compito limitato, che è una domanda diversa e più onesta. Annotate la risposta prima di proseguire.
Secondo passaggio: tenere le credenziali fuori dall’host
Un profilo attivo non è un segnalibro. Un profilo OpenVPN può contenere certificati incorporati e una chiave privata, e importarlo scrive quel materiale su un dispositivo che non è vostro. Lo stesso vale per una sessione del browser che memorizza un cookie e per qualsiasi gestore di password che memorizzi una cassaforte localmente.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Preferite l’accesso meno persistente supportato dal servizio. Un portale web che autentica per sessione e richiede un secondo fattore lascia meno di un client desktop con un profilo salvato, e una sessione che termina alla chiusura del browser è meglio di una che sopravvive a un riavvio.
Poi controllate cosa conserva la macchina. Su un host Linux condiviso la posizione del profilo è facile da ispezionare, e su Windows la ricerca equivalente richiede un comando. Trovare il profilo di un utente precedente è un promemoria utile che il vostro sarebbe trattato allo stesso modo.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueTerzo passaggio: terminare l’accesso da un luogo fidato
La pulizia locale vale la pena e non è sufficiente. Uscite dal servizio, chiudete il browser, rimuovete ogni file scaricato e poi fate il passaggio che conta davvero: revocate la sessione o la credenziale da un dispositivo che controllate.
È proprio quest’ultima azione che le persone saltano, perché lo schermo locale sembra pulito. Un token di sessione copiato da software sull’host continua a funzionare dopo che ve ne siete andati, e non gli importa che il browser sia stato chiuso. La revoca è l’unico passaggio che presuppone che l’host possa essere stato ostile. È anche l’unico che funziona ancora se lo è stato.
Se una chiave privata o un segreto di recupero ha toccato la macchina, trattatelo come esposto e ruotatelo invece di ispezionare le copie. Per un account che ha usato un secondo fattore, esaminate anche i dispositivi e le sessioni elencati dal provider, perché un token emesso durante la vostra visita può essere ancora attivo.
Annotate l’esito mentre è fresco: quale dispositivo, quale account, cosa è stato installato, cosa è stato revocato e quando. Quella nota permette alla persona successiva di rispondere all’unica domanda che conta dopo: se qualcosa ha ancora accesso.
Un dispositivo sotto controllo privato ha comunque bisogno di manutenzione, e vi dà una base per gestire l’estremo che un terminale preso in prestito non darà mai. Il tunnel era la parte facile.