En öffentleche Computer mat VPN benotzen: wat als Éischt ze kontrolléieren
En Tunnel schützt de Wee, net d’Maschinn op béide Säiten. Entscheet, wien den Host kontrolléiert, wat op der Plack bleift a wéi Dir den Zougang widerrufft, ier Dir Iech umellt.
Geliente Rechner, dréngend Aufgab an e VPN-Client, dee versprécht alles ze verschlësselen: d’Reiefolleg fillt sech sécher un an ass et net. En Tunnel schützt de Wee tëschent zwou Endpunkten, an den Endpunkt virun Iech ass Deel, deen Dir net kënnt iwwerpréiwen. Déi dräi Schrëtt hei drënner entscheeden, ob d’Gerät iwwerhaapt ka benotzt ginn, wéi Dir d’Identifikatiounselementer dovun ewech hält an wat Dir duerno maacht, sou datt eng temporär Sitzung keng permanent Kopie gëtt.
Den Tunnel fänkt un, nodeems den Host d’Donnéeën schonn gesinn huet
D’Verschlësselung geschitt am VPN-Client, deen als Programm op der Maschinn leeft. Alles iwwer deem Programm, dorënner de Browser, d’Betribssystem an all Erweiderung oder Treiber mat genuch Zougang, verschafft Är Donnéeën, ier se verschlësselt ginn. Dat ass kee Feeler am Protokoll; et ass d’Plaz, wou de Protokoll sëtzt.
D’Exit-Adress ze kontrolléieren beweist dofir bal näischt iwwer den Host. Eng Maschinn kann den ganze Verkéier duerch en proppere Exit leeden an trotzdem all Tastendrock protokolléieren, an déi zwou Tatsaachen stinn net am Konflikt.
Den nëtzleche Kader ass ze froen, wat den Host observéiere kann an net wat den Netz ka maachen. Op enger Maschinn, déi een aneren administréiert, ass dee Set méi grouss wéi Dir kënnt ophuelen.
Éischte Schrëtt: stellt fest, wien d’Gerät kontrolléiert
Kontroll ass eng Fro vun administrativen Rechter a kierperlechem Zougang, net vu Héiflechkeet. Wann eng aner Persoun Software installéiere kann, en Treiber lueden, en Gerät uschléissen oder en Image restauréieren, ass d’Verhalen vun der Maschinn net eppes, wat Dir duerch nokucken erausfanne kënnt. Administratioun ass eng Fäegkeet, a Fäegkeeten erschéngen net op engem Screenshot. Frot d’Persoun, déi Iech d’Maschinn ginn huet.
Sicht d’gewéinlech Zeechen a behandelt jiddwer eenzegt als Beweis iwwer d’Kontroll an net als Beweis fir Sécherheet. Käint vun hinnen ass eleng entscheedend.
- En Gaascht- oder Kiosk-Konto, dee keng Software ka installéieren, ass e besseren Ausgangspunkt wéi en Administrateur-Konto, deen een Iech ginn huet.
- E verwaltent Gerät mat engem bekannten Eegentemer an engem Support-Kontakt ass besser wéi en onbewaachten Terminal, och wann den Terminal propperer ausgesäit.
- Eng Maschinn, op där Dir net kënnt feststellen, wien sech als Läscht ageloggt huet, ass eng Maschinn, där hire Zoustand Dir net kënnt beschreiwen.
Keng vun dësen Kontrollen mécht en gedeelten Host vertrauenswürdeg. Si soen Iech, ob de Risiko limitéiert genuch ass, fir mat enger limitéierter Aufgab virun ze fueren, wat eng aner an éierlecher Fro ass. Schreift d’Äntwert op, ier Dir viru fuert.
Zweeten Schrëtt: halt d’Identifikatiounselementer vum Host ewech
E liewege Profil ass kee Lesezeechen. En OpenVPN-Profil kann agebett Zertifikater an e private Schlëssel enthalen, an en ze importéieren schreift dat Material op en Gerät, déi net Är ass. Datselwecht gëllt fir eng Browsersitzung, déi e Cookie späichert, an all Passwuertmanager, dee e Safe lokal cachet.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Gitt dee mannst dauerhaften Zougang de Virzuch, deen de Service ënnerstëtzt. En Webportal, deen pro Sitzung authentifizéiert an en zweeten Faktor verlaangt, léisst manner hanner sech wéi en Desktop-Client mat engem gespäicherte Profil, an eng Sitzung, déi ophält wann de Browser zougemaach gëtt, ass besser wéi eng, déi en Neistart iwwersteet.
Kuckt dann, wat d’Maschinn behält. Op engem gedeelten Linux-Host ass de Profilsspeicherort liicht z’inspektéieren, an op Windows brauch déi gläichwäerteg Sich een eenzegen Uerder. De Profil vun engem fréieren Notzer ze fannen ass eng nëtzlech Erënnerung, datt mat Ärem genausou ëmgeet gëtt.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueDrëtten Schrëtt: beend den Zougang vun enger Plaz aus, där Dir vertraut
Lokal propper ze maachen ass et wäert an ass net genuch. Mell Iech vum Service of, maacht de Browser zou, läscht all erofgeluede Fichier, an duerno maacht dee Schrëtt, deen wierklech zielt: widerrufft d’Sitzung oder d’Identifikatiounselement vun engem Gerät, deen Dir kontrolléiert.
Genee déi lescht Aktioun sprange Leit iwwer, well de lokale Bildschierm propper ausgesäit. En Sitzungstoken, dee vu Software um Host kopéiert gouf, funktionéiert weider nodeems Dir fort sidd, an et ass him egal, datt de Browser zougemaach gouf. De Widerruff ass deen eenzegen Schrëtt, deen unhëlt, datt den Host feindlech ka gewiescht sinn. Hien ass och deen eenzegen, dee nach funktionéiert, wann hien et war.
Wann e private Schlëssel oder e Wiederherstellungsgeheimnis d’Maschinn beréiert huet, behandelt en als examinéierten a rotéiert en, amplaz no Kopien ze sichen. Fir en Konto, deen en zweeten Faktor benotzt huet, kuckt och d’Geräter an d’Sitzungen un, déi den Ubieder oplëscht, well en Token, dee während Ärem Besuch ausgestallt gouf, nach aktiv ka sinn.
Schreift d’Resultat op, solang et frësch ass: wéi eng Gerät, wéi en Konto, wat installéiert gouf, wat widerrufft gouf a wéini. Dee Vermierk ass et, deen der nächster Persoun erlaabt, déi eenzeg wichteg Fro duerno ze beäntwerten: ob nach eppes Zougang huet.
En Gerät ënner privater Kontroll brauch trotzdem Ënnerhalt, an et gëtt Iech eng Basis fir den Endpunkt ze geréieren, déi en gelienten Terminal ni gëtt. Den Tunnel war den einfachen Deel.