საჯარო კომპიუტერის გამოყენება VPN-ით: რა უნდა შემოწმდეს პირველად
გვირაბი იცავს გზას და არა მოწყობილობას ორივე ბოლოში. გადაწყვიტეთ, ვინ აკონტროლებს ჰოსტს, რა რჩება დისკზე და როგორ გააუქმოთ წვდომა შესვლამდე.
ნასესხები მოწყობილობა, სასწრაფო დავალება და VPN კლიენტი, რომელიც ყველაფრის დაშიფვრას გვპირდება: თანმიმდევრობა უსაფრთხოდ ჩანს და ასე არ არის. გვირაბი იცავს გზას ორ კიდურ წერტილს შორის, და თქვენს წინ მდებარე წერტილი ის ნაწილია, რომელსაც ვერ გადაამოწმებთ. ქვემოთ სამი ნაბიჯი განსაზღვრავს, საერთოდ გამოსადეგია თუ არა მოწყობილობა, როგორ დაიშალოს მისგან საიდენტიფიკაციო მონაცემები და რა უნდა გაკეთდეს შემდეგ, რომ დროებითი სესია მუდმივ ასლად არ იქცეს.
გვირაბი იწყება მას შემდეგ, რაც ჰოსტმა მონაცემები უკვე ნახა
დაშიფვრა ხდება VPN კლიენტში, რომელიც მოწყობილობაზე პროგრამად მუშაობს. ყველაფერი ამ პროგრამის ზემოთ, მათ შორის ბრაუზერი, ოპერაციული სისტემა და საკმარისი წვდომის მქონე ნებისმიერი გაფართოება თუ დრაივერი, თქვენს მონაცემებს დაშიფვრამდე ამუშავებს. ეს პროტოკოლის ხარვეზი არ არის; ეს არის ადგილი, სადაც პროტოკოლი ზის.
ამიტომ გასასვლელი მისამართის შემოწმება ჰოსტზე თითქმის არაფერს ამტკიცებს. მოწყობილობას შეუძლია მთელი ტრაფიკი სუფთა გასასვლელით გაატაროს და მაინც ჩაწეროს ყოველი კლავიშის დაჭერა, და ეს ორი ფაქტი ერთმანეთს არ ეწინააღმდეგება.
სასარგებლო ჩარჩოა იკითხოთ, რა შეიძლება დააკვირდეს ჰოსტმა და არა რა შეუძლია ქსელს. იმ მოწყობილობაზე, რომელსაც სხვა მართავს, ეს ნაკრები უფრო დიდია, ვიდრე შეგიძლიათ ჩამოთვალოთ.
პირველი ნაბიჯი: დაადგინეთ, ვინ აკონტროლებს მოწყობილობას
კონტროლი ადმინისტრაციული უფლებებისა და ფიზიკური წვდომის საკითხია და არა ზრდილობის. თუ სხვა ადამიანს შეუძლია პროგრამის დაყენება, დრაივერის ჩატვირთვა, მოწყობილობის მიერთება ან იმიჯის აღდგენა, მოწყობილობის ქცევა ის არ არის, რისი დადგენაც მასზე ყურებით შეიძლება. ადმინისტრირება შესაძლებლობაა და შესაძლებლობები ეკრანის სურათზე არ ჩანს. ჰკითხეთ ადამიანს, ვინც მოწყობილობა მოგცათ.
ეძებეთ ჩვეულებრივი ნიშნები და თითოეული მიიღეთ როგორც კონტროლის მტკიცებულება და არა უსაფრთხოების დამტკიცება. არც ერთი მათგანი არ არის თავისთავად გადამწყვეტი.
- სასტუმრო ან კიოსკის ანგარიში, რომელსაც პროგრამის დაყენება არ შეუძლია, უკეთესი საწყისი წერტილია, ვიდრე ადმინისტრატორის ანგარიში, რომელიც ვიღაცამ მოგცათ.
- მართული მოწყობილობა ცნობადი მფლობელითა და მხარდაჭერის კონტაქტით უკეთესია, ვიდრე უყურადღებო ტერმინალი, მაშინაც კი, როცა ტერმინალი უფრო სუფთად გამოიყურება.
- მოწყობილობა, რომელზეც ვერ დაადგენთ, ვინ შევიდა ბოლოს, მოწყობილობაა, რომლის მდგომარეობასაც ვერ აღწერთ.
არც ერთი ეს შემოწმება არ ხდის საერთო ჰოსტს სანდოს. ისინი გეუბნებიან, საკმარისად შეზღუდულია თუ არა რისკი შეზღუდული დავალებით გასაგრძელებლად, რაც სხვა და უფრო პატიოსანი კითხვაა. ჩაწერეთ პასუხი გაგრძელებამდე.
მეორე ნაბიჯი: შეინახეთ საიდენტიფიკაციო მონაცემები ჰოსტისგან მოშორებით
ცოცხალი პროფილი სანიშნე არ არის. OpenVPN პროფილს შეიძლება ჰქონდეს ჩაშენებული სერტიფიკატები და პირადი გასაღები, და მისი იმპორტი ამ მასალას წერს მოწყობილობაზე, რომელიც თქვენი არ არის. იგივე ეხება ბრაუზერის სესიას, რომელიც ქუქის ინახავს, და ნებისმიერ პაროლის მენეჯერს, რომელიც საცავს ლოკალურად ქეშავს.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
ამჯობინეთ ყველაზე ნაკლებად მდგრადი წვდომა, რომელსაც სერვისი მხარს უჭერს. ვებ პორტალი, რომელიც სესიაზე ავთენტიფიკაციას ახდენს და მეორე ფაქტორს მოითხოვს, ნაკლებს ტოვებს, ვიდრე შენახული პროფილის მქონე დესკტოპ კლიენტი, და ბრაუზერის დახურვისას დამთავრებული სესია უკეთესია, ვიდრე გადატვირთვას გადარჩენილი.
შემდეგ შეამოწმეთ, რას ინახავს მოწყობილობა. საერთო Linux ჰოსტზე პროფილის მდებარეობა ადვილად შესამოწმებელია, ხოლო Windows-ზე ეკვივალენტური ძებნა ერთ ბრძანებას მოითხოვს. წინა მომხმარებლის პროფილის პოვნა სასარგებლო შეხსენებაა, რომ თქვენსასაც იგივე მოექცევა.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueმესამე ნაბიჯი: დაასრულეთ წვდომა იმ ადგილიდან, რომელსაც ენდობით
ლოკალური გაწმენდა ღირს და საკმარისი არ არის. გამოდით სერვისიდან, დახურეთ ბრაუზერი, წაშალეთ ჩამოტვირთული ფაილები და შემდეგ გადადგით ნაბიჯი, რომელიც ნამდვილად მნიშვნელოვანია: გააუქმეთ სესია ან საიდენტიფიკაციო მონაცემები მოწყობილობიდან, რომელსაც აკონტროლებთ.
სწორედ ამ უკანასკნელ მოქმედებას გამოტოვებენ ხალხი, რადგან ლოკალური ეკრანი სუფთად გამოიყურება. ჰოსტზე პროგრამის მიერ დაკოპირებული სესიის ტოკენი თქვენი წასვლის შემდეგაც მუშაობს და არ აინტერესებს, რომ ბრაუზერი დაიხურა. გაუქმება ერთადერთი ნაბიჯია, რომელიც ვარაუდობს, რომ ჰოსტი შესაძლოა მტრული ყოფილიყო. ის ასევე ერთადერთია, რომელიც მაშინაც მუშაობს, თუ ასე იყო.
თუ პირადი გასაღები ან აღდგენის საიდუმლო მოწყობილობას შეეხო, მიიჩნიეთ ის გამჟღავნებულად და მოაბრუნეთ ასლების შემოწმების ნაცვლად. მეორე ფაქტორის გამოყენებული ანგარიშისთვის ასევე გადახედეთ პროვაიდერის მიერ ჩამოთვლილ მოწყობილობებსა და სესიებს, რადგან თქვენი ვიზიტის დროს გაცემული ტოკენი შეიძლება ჯერ კიდევ აქტიური იყოს.
ჩაწერეთ შედეგი, სანამ ახალია: რომელი მოწყობილობა, რომელი ანგარიში, რა დაყენდა, რა გაუქმდა და როდის. სწორედ ეს ჩანაწერი აძლევს შემდეგ ადამიანს საშუალებას უპასუხოს ერთადერთ მნიშვნელოვან კითხვას: აქვს თუ არა რამეს ჯერ კიდევ წვდომა.
პირადი კონტროლის ქვეშ მყოფ მოწყობილობასაც სჭირდება მოვლა, და ის გაძლევთ საფუძველს კიდური წერტილის სამართავად, რომელსაც ნასესხები ტერმინალი არასოდეს მოგცემთ. გვირაბი იყო მარტივი ნაწილი.