Қоғамдық компьютерді VPN-мен пайдалану: алдымен нені тексеру керек
Туннель жолды қорғайды, екі ұшындағы машинаны емес. Хостты кім басқаратынын, дискіде не қалатынын және кіру алдында рұқсатты қалай кері қайтаруды шешіңіз.
Қарызға алынған машина, шұғыл тапсырма және бәрін шифрлауға уәде беретін VPN клиенті: реттілік қауіпсіз болып көрінеді, бірақ олай емес. Туннель екі шеткі нүктенің арасындағы жолды қорғайды, ал алдыңыздағы нүкте — тексере алмайтын бөлік. Төмендегі үш қадам құрылғының жалпы жарамдылығын, тіркелгі деректерін одан қалай алыс ұстауды және кейін не істеу керектігін анықтайды, сонда уақытша сессия тұрақты көшірмеге айналмайды.
Туннель хост деректерді көргеннен кейін басталады
Шифрлау машинада бағдарлама ретінде жұмыс істейтін VPN клиентінде жүреді. Сол бағдарламаның үстіндегінің бәрі, соның ішінде браузер, операциялық жүйе және жеткілікті рұқсаты бар кез келген кеңейтім немесе драйвер, деректеріңізді шифрлауға дейін өңдейді. Бұл хаттаманың кемшілігі емес; бұл хаттама тұрған орын.
Сондықтан шығыс мекенжайын тексеру хост туралы ешнәрсе дерлік дәлелдемейді. Машина барлық трафикті таза шығыс арқылы өткізіп, бәрібір әр перне басуды тіркеуі мүмкін, және бұл екі факт қайшы келмейді.
Пайдалы тәсіл — желі не істей алатынын емес, хост нені байқай алатынын сұрау. Басқа біреу басқаратын машинада бұл жиынтық санап шығарыңыздан үлкен.
Бірінші қадам: құрылғыны кім басқаратынын анықтаңыз
Бақылау — әкімшілік құқықтар мен физикалық қатынас мәселесі, сыпайылық емес. Егер басқа адам бағдарлама орната алса, драйвер жүктей алса, құрылғы қоса алса немесе бейнені қалпына келтіре алса, машинаның әрекетін оған қарап анықтау мүмкін емес. Әкімшілік — қабілет, ал қабілеттер экран суретінде көрінбейді. Машинаны берген адамнан сұраңыз.
Кәдімгі белгілерді іздеп, әрқайсысын қауіпсіздіктің дәлелі емес, бақылау туралы дәлел деп қабылдаңыз. Олардың ешқайсысы жалғыз өзі шешуші емес.
- Бағдарлама орната алмайтын қонақ немесе киоск тіркелгісі біреу берген әкімші тіркелгісінен жақсы бастау нүктесі.
- Меншік иесі мен қолдау байланысы белгілі басқарылатын құрылғы, терминал тазарақ көрінсе де, қараусыз терминалдан жақсы.
- Соңғы рет кім кіргенін анықтай алмайтын машина — күйін сипаттай алмайтын машина.
Бұл тексерулердің ешқайсысы ортақ хостты сенімді етпейді. Олар тәуекелдің шектеулі тапсырмамен жалғастыруға жеткілікті шектелгенін айтады, бұл басқа және адалдырақ сұрақ. Жалғастырмас бұрын жауапты жазып қойыңыз.
Екінші қадам: тіркелгі деректерін хосттан алыс ұстаңыз
Тірі профиль бетбелгі емес. OpenVPN профилінде ендірілген сертификаттар мен жеке кілт болуы мүмкін, және оны импорттау сол материалды сізге тиесілі емес құрылғыға жазады. Дәл солай cookie сақтайтын браузер сессиясына және қойманы жергілікті кэштеуші кез келген құпиясөз менеджеріне қатысты.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Қызмет қолдайтын ең аз тұрақты рұқсатты таңдаңыз. Әр сессия сайын аутентификациялайтын және екінші фактор талап ететін веб-портал сақталған профилі бар жұмыс үстелі клиентінен аз із қалдырады, ал браузер жабылғанда аяқталатын сессия қайта жүктеуден өтетін сессиядан жақсы.
Содан кейін машина нені сақтайтынын тексеріңіз. Ортақ Linux хостта профиль орнын тексеру оңай, ал Windows-та баламалы іздеу бір пәрменді алады. Бұрынғы пайдаланушының профилін табу сіздің профиліңізге де солай қарайтыны туралы пайдалы еске салғыш.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueҮшінші қадам: рұқсатты сенімді жерден тоқтатыңыз
Жергілікті тазалау керек және жеткіліксіз. Қызметтен шығыңыз, браузерді жабыңыз, жүктелген файлдарды жойыңыз, сосын шынымен маңызды қадамды жасаңыз: сессияны немесе тіркелгі деректерін өзіңіз басқаратын құрылғыдан кері қайтарыңыз.
Дәл осы соңғы әрекетті адамдар өткізіп жібереді, өйткені жергілікті экран таза көрінеді. Хосттағы бағдарлама көшірген сессия токені сіз кеткеннен кейін де жұмыс істейді және браузердің жабылғанына мән бермейді. Кері қайтару — хост дұшпандық болуы мүмкін деп болжайтын жалғыз қадам. Ол сондай болған жағдайда да жалғыз жұмыс істейтін қадам.
Егер жеке кілт немесе қалпына келтіру құпиясы машинаға тисе, оны ашылған деп есептеп, көшірмелерді тексерудің орнына ауыстырыңыз. Екінші факторды қолданған тіркелгі үшін провайдер тізімдеген құрылғылар мен сессияларды да қарап шығыңыз, өйткені келуіңіз кезінде берілген токен әлі белсенді болуы мүмкін.
Нәтижені жаңа кезінде жазыңыз: қай құрылғы, қай тіркелгі, не орнатылды, не кері қайтарылды және қашан. Осы жазба келесі адамға кейін маңызды жалғыз сұраққа жауап беруге мүмкіндік береді: әлі бірдеңеде рұқсат бар ма.
Жеке бақылаудағы құрылғы да күтімді қажет етеді және қарызға алынған терминал ешқашан бермейтін шеткі нүктені басқаруға негіз береді. Туннель оңай бөлігі еді.