Viešojo kompiuterio naudojimas su VPN: ką patikrinti pirmiausia
Tunelis saugo kelią, o ne mašiną abiejuose galuose. Nuspręskite, kas valdo pagrindinį kompiuterį, kas lieka diske ir kaip atšaukti prieigą prieš prisijungdami.
Pasiskolintas kompiuteris, skubus darbas ir VPN klientas, žadantis užšifruoti viską: seka atrodo saugi ir tokia nėra. Tunelis saugo kelią tarp dviejų galinių taškų, o priešais esantis taškas yra dalis, kurios negalite patikrinti. Trys žingsniai žemiau nusprendžia, ar įrenginys apskritai tinkamas naudoti, kaip laikyti prisijungimo duomenis toliau nuo jo ir ką daryti vėliau, kad laikina sesija netaptų nuolatine kopija.
Tunelis prasideda po to, kai pagrindinis kompiuteris jau matė duomenis
Šifravimas vyksta VPN kliente, kuris veikia kaip programa kompiuteryje. Viskas virš šios programos, įskaitant naršyklę, operacinę sistemą ir bet kurį plėtinį ar tvarkyklę su pakankama prieiga, apdoroja jūsų duomenis prieš juos užšifruojant. Tai nėra protokolo trūkumas; tai vieta, kurioje protokolas yra.
Todėl išėjimo adreso tikrinimas beveik nieko neįrodo apie pagrindinį kompiuterį. Mašina gali nukreipti visą srautą per švarų išėjimą ir vis tiek registruoti kiekvieną klavišo paspaudimą, ir šie du faktai neprieštarauja vienas kitam.
Naudinga klausti, ką pagrindinis kompiuteris gali stebėti, o ne ką gali tinklas. Kompiuteryje, kurį administruoja kas nors kitas, ta aibė didesnė, nei galite išvardyti.
Pirmas žingsnis: nustatykite, kas valdo įrenginį
Valdymas yra administracinių teisių ir fizinės prieigos klausimas, o ne mandagumo. Jei kitas asmuo gali įdiegti programinę įrangą, įkelti tvarkyklę, prijungti įrenginį ar atkurti atvaizdą, mašinos elgesys nėra tai, ką galite nustatyti pažiūrėję į ją. Administravimas yra gebėjimas, o gebėjimai ekrano kopijoje nesimato. Paklauskite žmogaus, kuris perdavė jums mašiną.
Ieškokite įprastų ženklų ir kiekvieną traktuokite kaip valdymo įrodymą, o ne saugumo įrodymą. Nė vienas jų nėra lemiamas atskirai.
- Svečio ar kiosko paskyra, kuri negali įdiegti programinės įrangos, yra geresnis atspirties taškas nei administratoriaus paskyra, kurią kas nors jums perdavė.
- Valdomas įrenginys su žinomu savininku ir palaikymo kontaktu yra geresnis nei neprižiūrimas terminalas, net kai terminalas atrodo švariau.
- Mašina, kurioje negalite nustatyti, kas paskutinis prisijungė, yra mašina, kurios būsenos negalite apibūdinti.
Nė vienas iš šių patikrinimų nepadaro bendro pagrindinio kompiuterio patikimo. Jie pasako, ar rizika pakankamai apribota, kad galėtumėte tęsti su ribota užduotimi, o tai kitas ir sąžiningesnis klausimas. Užsirašykite atsakymą prieš tęsdami.
Antras žingsnis: laikykite prisijungimo duomenis toliau nuo pagrindinio kompiuterio
Gyvas profilis nėra žymė. OpenVPN profilyje gali būti įterptų sertifikatų ir privatus raktas, o jį importavus ta medžiaga įrašoma į įrenginį, kuris ne jūsų. Tas pats galioja naršyklės sesijai, kuri saugo slapuką, ir bet kuriam slaptažodžių tvarkyklei, kuri saugyklą kaupia vietoje.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Pirmenybę teikite mažiausiai ilgalaikei prieigai, kurią palaiko paslauga. Interneto portalas, kuris autentifikuoja kiekvieną sesiją ir reikalauja antrojo veiksnio, palieka mažiau nei darbalaukio klientas su išsaugotu profiliu, o sesija, kuri baigiasi užvėrus naršyklę, yra geresnė nei ta, kuri išgyvena paleidimą iš naujo.
Tada patikrinkite, ką mašina saugo. Bendrame Linux pagrindiniame kompiuteryje profilio vietą lengva patikrinti, o Windows atitinkama paieška užima vieną komandą. Ankstesnio naudotojo profilio radimas yra naudingas priminimas, kad su jūsų bus elgiamasi taip pat.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueTrečias žingsnis: užbaikite prieigą iš vietos, kuria pasitikite
Vietinis valymas vertas dėmesio ir nepakankamas. Atsijunkite nuo paslaugos, uždarykite naršyklę, pašalinkite visus atsisiųstus failus ir tada atlikite žingsnį, kuris tikrai svarbus: atšaukite sesiją arba prisijungimo duomenis iš įrenginio, kurį valdote.
Būtent šio paskutinio veiksmo žmonės praleidžia, nes vietinis ekranas atrodo švarus. Pagrindiniame kompiuteryje programinės įrangos nukopijuotas sesijos žetonas veikia ir po to, kai išeinate, ir jam nesvarbu, kad naršyklė buvo uždaryta. Atšaukimas yra vienintelis žingsnis, kuris daro prielaidą, kad pagrindinis kompiuteris galėjo būti priešiškas. Tai ir vienintelis žingsnis, kuris vis dar veikia, jei taip buvo.
Jei privatus raktas ar atkūrimo paslaptis palietė mašiną, laikykite tai atskleista ir pasukite jį, o ne tikrinkite kopijas. Paskyrai, kuri naudojo antrąjį veiksnį, taip pat peržiūrėkite įrenginius ir sesijas, kuriuos išvardija teikėjas, nes jūsų apsilankymo metu išduotas žetonas gali vis dar būti aktyvus.
Užrašykite rezultatą, kol jis šviežias: kuris įrenginys, kuri paskyra, kas įdiegta, kas atšaukta ir kada. Ši pastaba leidžia kitam žmogui atsakyti į vienintelį vėliau svarbų klausimą: ar kas nors dar turi prieigą.
Privačiai valdomas įrenginys vis tiek reikalauja priežiūros, ir jis suteikia pagrindą valdyti galinį tašką, kurio pasiskolintas terminalas niekada nesuteiks. Tunelis buvo lengvoji dalis.