Mac-VPN-Administrateursprompt: Installatioun, Extensioun oder Politik?

D'Passwuertprompten vun engem VPN-Client gesinn aus wéi wa se austauschbar wieren, an dat sinn se net. Véier verschidde Aktiounen verstoppe sech hannert engem ähnlechen Dialog: Dateien an eng geschützte Plaz schreiwen während der Installatioun, eng Netzwierkkonfiguratioun derbäisetzen oder änneren, eng Systemextensioun aktivéieren déi Verkéier dréit, an eng Politik befollegen déi e Verwaltungsserver schonn agestallt huet. Jiddereen huet en aneren Eegentemer, eng aner Impaktfläch an eng aner Manéier ze préiwen ob et fonctionnéiert huet. D'Noriicht déi Dir gesitt mat engem vun deene véier ze vergläichen ass déi ganz Übung.

Dräi verschidden Genehmegungen gesinn aus wéi déi selwecht

D'Autorisatioun vum Installateur ass dee einfachste Fall: e Paket schreift an Verzeechnisser an déi en normale Benotzer net ka änneren, an macOS freet no Administrateurscertificaten dat zouzeloossen. D'System entscheet net ob d'Software sécher ass; et entscheet ob Dir do ka schreiwen. Dowéinst kann e Paket propper installéiert ginn an trotzdem hinderlech sinn: d'Installatiounsgenehmegung seet näischt doriwwer aus ob de Code duerno dierf lafen. No der Installatioun kann d'App nach eng zweet Genehmegung brauchen ier se d'Netzwierk beaflosse kann.

D'Autorisatioun vun der Netzwierkkonfiguratioun deckt Ännerungen un der Verbindungslëscht vum System of. Eng VPN-Service derbäisetzen, oder Astellungen änneren déi en Netzwierkadministrateur konfiguréiert huet, erfuerdert Erhéijung well déi Definitiounen all Kont op der Maschinn betreffen. Dës Genehmegung gëtt Konfiguratiounsautoritéit, net Verkéiersautoritéit.

D'Extensiounsgenehmegung ass déi déi zielt fir wéi Paketen reesen. En moderne Client installéiert eng Systemextensioun déi macOS an d'System lued, an macOS verlaangt eng explizit Entscheedung an Dateschutz a Sécherheet oder an Umeldungselementer an Extensiounen ier se aktivéiert gëtt. E véierte Fall ass en verwaltete Mac, wou eng Politik d'Extensioun schonn im Viraus genehmegt an de Benotzer guer keen Dialog gesäit.

Wat all Genehmegung tatsächlech ännert

En Installateur ännert Dateien op der Plack, an seng Konsequenze enden wann d'Dateien ewechgeholl ginn, ofgesi vun Iwwerreschter. Eng Netzwierkkonfiguratioun setzt eng Servicedefinitioun derbäi déi an der Verbindungslëscht erschéngt a ka vu Regelungen op Ufro nees aktivéiert ginn. D'Extensiounsgenehmegung ännert wéi en Code d'System lued an am Laf hält, dowéinst iwwerlieft se an e puer Workflows d'Desinstallatioun vun der visueller App. En App-Bundle ewechhuelen hëlt net ëmmer seng Extensioun ewech, an eng Extensioun déi hannerlooss gëtt behält hir Netzwierkprivilegien.

Dës Ënnerscheedung sagt d'Symptom viraus. Installéiert awer ni verbonnen heescht meeschtens datt d'Extensioun néierens genehmegt ass; verbonnen awer mat Astellungen déi bei der nächster Ännerung zréckkommen heescht meeschtens datt eng Verwaltungspolitik d'Definitioun besëtzt.

Signatur an Editeur entscheeden d'Äntwert

Ier Dir genehmegt, liest wien d'Saach ënnerschriwwen huet an net wat d'Icon vum Dialog suggeréiert. Zwee lokal Prüfunge genügen fir d'Signaturautoritéit ze gesinn an ob d'Avaluatioun vum System op dëser Maschinn duerchgeet.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

En onënnerschriwwenen oder onnotariséierte Bundle ass net automatesch béiswëlleg, awer verdéngt eng aner Entscheedung wéi een ënnerschriwwene vum Editeur deen Dir gemengt hutt. E Paket deen iwwer eng Noriicht amplaz vun der Websäit vum Editeur koum ass de Fall wou d'Äntwert einfach nee ass.

Vergläicht d'Teamidentitéit mat der publizéierter Identitéit vum Editeur amplaz dem ugewise Numm vun der App ze vertrauen, well Nimm si liicht ze widderverwenden an Identitéite net. Wann den Editeur d'Identitéit a sengem Installatiounsguide publizéiert, ass déi Säit d'Referenz fir de Verglach an och d'Plaz wou eng Onstëmmegkeet sollt gemellt ginn. E Client vun engem Widderverkeefer, enger nei verpackter Build oder enger portabeler Kopie vun engem Forum verdéngt méi Misstrauen wéi den ënnerschriwwenen Download vum selwechten Editeur.

Wann eng Politik d'Entscheedung besëtzt

Op engem Firmen-Mac huet den Administrateur vläicht schonn entscheet. E Verwaltungsprofil kann d'VPN-Definitioun liwweren, d'Extensioun am Viraus genehmegen an d'Verbindung spären sou datt se net ewechgeholl ka ginn. An deem Arrangement ass d'Ufro fir e Passwuert anzeginn dacks eng Ufro fir eng Entscheedung z'iwwerschreiwen déi ni Är war.

D'Startsécherheet erofsetzen oder d'Verwaltung ofkoppelen fir eng Installatioun ze forcéieren ännert de Bedrohungsmodell vun der Maschinn permanent fir e temporäre Problem ze léisen. Dee Handel gëtt seelen bewosst gemaach; et geschitt meeschtens beim Nofollegen vun engem Forumsbeitrag. Frot den Administrateur amplaz no dem ënnerstëtzte Wee, dee sou einfach ka sinn wéi de Profil nach eng Kéier schécken oder d'Extensioun op der Serversäit genehmegen. Wann den Administrateur et net ka genehmegen, ass déi Äntwert de Befund, net en Hindernis ëm dat ze ginn.

Bestätegt den Zoustand no der Genehmegung

Soubal eng autoriséiert Genehmegung ginn ass, préift wat d'System mengt amplaz wat de Client behaapt. D'Extensiounslëscht mellt den Aktivéierungszoustand ouni en Drëttparteistool.

systemextensionsctl list

En Aschreiwung deen als aktivéiert ugewisen gëtt gehéiert zu der Teamidentitéit déi Dir virdru gepréift hutt; en Aschreiwung deen als ofgeschloss ugewisen gëtt an op Benotzergenehmegung waart erkläert e Client deen ufänkt an ni Verkéier dréit. Wa de Prompt no all Versuch zréckkënnt, hält d'exakt Noriicht an d'Clientversioun fest, well eng widderholl Genehmegung meeschtens heescht datt d'Extensioun ersat gëtt ouni datt déi vireg deaktivéiert gouf, an dat ass en Supportfall an net e Passwuertproblem. Nottéiert d'Versioun ier Dir de Support urufft, well d'Korrektur vläicht schonn an enger neier Build existéiert an d'Gespréich do ufänkt.