MacのVPN権限ダイアログ：どれを承認していますか？

VPNクライアントが許可を求め、あなたは「許可」を押します。そうしないと接続が上がらないからです。その習慣が、誰にも説明できない広い許可をマシンに残します。ダイアログは互換ではありません。それぞれが別の機能を承認し、同じアプリ名がすべての前に現れ得ます。決める前にアイコンの下の文を読んでください。

よくあるダイアログの裏にある四つの許可

VPN構成の保存が一つ目です。macOSでは、ネイティブのPersonal VPN APIを使うアプリは、構成を初めて保存するときに明示的な承認を必要とします。そのためダイアログは接続時ではなくインストール時に現れます。拒否してもクライアントはインストールされたままで、プロファイルを保存できないだけであり、これは回復できる状態です。

キーチェーンが二つ目です。特定の項目の保存済みパスワードを取り出すことは、それを受け取るサーバーを信頼することとは別の判断です。ファイアウォールが三つ目で、そのアプリ制御が扱うのは着信接続であり、あなたの通信がどのインターフェースから出るかではありません。フルディスクアクセスが四つ目で、誤った理由で与えられるのはこれです。

フルディスクアクセスはVPNの修理ではありません

Appleのプライバシーに関するリファレンスは、フルディスクアクセスを、他のアプリのデータ、バックアップ、一部の管理設定を含む広いアクセスと説明しています。Files & Foldersはより狭い場所ベースの制御で、正当なファイルのニーズの大半をカバーします。

広いアクセスを必要とする機能を文書化しているセキュリティ製品もあり、その場合は要求にコンポーネント名とリリースを記すべきです。受け入れるべきでないのは、最初のダイアログが繰り返し出るからという理由で、ネットワーク構成のダイアログにディスクの許可で答えることです。

この二つの許可には何の関係もありません。片方を黙らせるためにもう片方を与えると、配ったアクセスが増えたまま、同じ未解決の問題が残ります。

ランブック：予期しないダイアログへの対処

まず正確な文言とコンポーネント名を記録し、言い換えではなくスクリーンショットを撮ります。文言はリリース間で変わるので、正確な文こそがベンダーや管理者の認識する手がかりです。スクリーンショットは、ダイアログが実際に何と言ったかをめぐる議論も決着させます。

次に、何が求めているのかを特定します。アプリのバージョンと署名した相手を確認し、インストールされていると思うクライアント本人であって、ヘルパーやアップデータ、削除した製品の残骸でないことを確かめます。

一つの問い、つまりこのコンポーネントがこのバージョンでこの機能を必要とすることが文書化されているかどうかで判断します。ベンダーの文書にそれがなければ要求を拒否し、なぜ現れたのかを調べます。説明のない要求は障害ではなく情報だからです。

決めたあとは、通常の接続を一度試し、何か変わったかを記録します。無関係な問題の最中に与えた許可は、後から評価するのが難しくなります。だから順序が答えと同じくらい重要です。

同じダイアログがまた出る理由

承認が繰り返されるのは通常、判断がコンポーネントの期待する場所に保存されていない、再インストールで項目が作り直された、管理ポリシーがリセットしている、のいずれかです。いつ出るかを記録します。起動時、接続時、切断時、再起動後のどれかです。その時刻は、後で読むどんなログよりも早く原因を絞ります。

管理されたMacでは、実際の答えはクリックではなく構成プロファイルから来ることがあり、その場合「許可」を押し直しても何も解決しません。同じボタンを押し続ける前に、どのポリシーがそのコンポーネントを支配しているかを管理者に尋ねてください。

ダイアログが特定の操作に確実に続くなら、それは使えるバグ報告です。ランダムに現れるなら、一日分の時刻を記録し、マシンがほかに何をしていたかにパターンを探します。

他の人が使える記録を残す

コンポーネント、機能、理由、日付を、構成の残りを置いているのと同じ場所に書き留めます。未来のあなたは、どのダイアログを何のために承認したか覚えていません。許可ごとに一行で十分です。誰も保守しない台帳は、ないより悪いものです。

良い判断のテストはここでは単純です。アプリを開かずに、この許可がなぜ存在するか説明できますか。できなければ見直しの候補であり、Appleのプライバシーとセキュリティ設定のリファレンスは、それぞれが実際に何をカバーしているかを読み始める場所です。