Brīdinājums par filtrētu vai uzraudzītu Mac VPN: ko tas atļauj
MacOS paziņojums ir piekrišanas pieprasījums par to, ko operators drīkst pārbaudīt segtajā ceļā, nevis spriedums par ļaunprogrammatūru un nevis pierādījums, ka jūsu trafiks tiek atšifrēts.
Šis brīdinājums ir atļauja, nevis diagnoze. Kad macOS paziņo, ka konfigurācija filtrēs vai uzraudzīs trafiku, tas saka, ka jūsu apstiprinātā komponente redz tās segto ceļu, un jautā, vai tas ir pieņemami. Dialogs nevar pateikt, kas pārvalda komponenti, ko tā ieraksta vai vai kaut ko atšifrē. Šīs atbildes ir profilā, paplašinājumu sarakstā un mašīnas sertifikātos, tāpēc sāciet tur, nevis pārlasot teikumu.
Lasiet paziņojumu kā jautājumu par apjomu
Katrs aktivizācijas paziņojums norāda uz divām lietām, skaidri tās nenosaucot: paplašinājumu, kas apstrādās trafiku, un konfigurāciju, kas trafiku virza uz to. Pašreizējā macOS tie ir NetworkExtension sistēmas paplašinājumi, un viena instalēšana vai aktivizēšana prasa apstiprinājumu sistēmas iestatījumos. Formulējums paliek plašs, jo operētājsistēma nevar zināt, vai apstiprinātājs ir IT nodaļa, abonēts VPN vai filtrēšanas aģents, kas nāk kopā ar ko citu.
Tāpēc viens un tas pats teksts aptver trīs dažādas situācijas. Pārvaldīts Mac saņem profilu no ierīču pārvaldības, personīgais Mac saņem konfigurāciju no jūsu instalētās lietotnes, un drošības produkts var instalēt filtru, kas nekad neuzrāda sevi kā VPN. Neviens no šiem apzīmējumiem neizšķir nodomu. Tie tikai norāda, kuru pusi jautāt vispirms.
Divas komandas ātri atdala šos gadījumus. Pirmā uzskaita instalētos sistēmas paplašinājumus un to, vai katrs ir aktīvs, otrā uzskaita konfigurācijas profilus ar to saturu un parakstītāju organizāciju.
systemextensionsctl list
profiles show -type configurationAtšķiriet tuneli no filtra
Pakešu tunelis dod Mac datoram maršrutu un pārvadā visu, ko maršrutēšanas tabula tajā sūta. Satura filtrs atrodas plūsmas līmenī, redz katru savienojumu un var to atļaut, bloķēt vai novirzīt. Produkts var piegādāt abus uzreiz, un brīdinājums tad nemainās. Atšķirība ir svarīga, jo pierādījumi, ko varat savākt, un kļūmes, ko redzēsiet, atšķiras.
Pārbaudiet paplašinājuma kategoriju, nevis mārketinga nosaukumu. Tunelis parasti parādās kā VPN konfigurācija un kā tīkla paplašinājums, savukārt filtram var vispār nebūt VPN pakalpojuma. Ja produkts piedāvā abus režīmus, aktīvā konfigurācija izvēlas vienu, un režīma maiņa var mainīt segto apgabalu, nemainot piegādātāju.
VPN pakalpojumu saraksts ir ātrākais veids, kā redzēt, vai tunelis pastāv. Filtrs, kas nav VPN, tajā neparādīsies, un tas pats par sevi ir noderīga informācija.
scutil --nc listSavienots emblēma nav pārklājuma pierādījums. Lietotnes var izslēgt ar noteikumiem katrai lietotnei, un trafiks uz vietējiem tīkliem bieži pēc konstrukcijas apiet tuneli. Kad viena lietotne uzvedas tā, it kā to neuzraudzītu, aizdomājieties par maršrutu vai izslēgšanu, pirms pieņemat, ka uzraugs ir salūzis.
Ko operators uzzina, nelasot saturu
Metadati nav mierinājuma balva. Adreses, porti, DNS nosaukumi, savienojuma laiki, baitu skaits un autentificētā identitāte ir redzama ceļā esošajai komponentei. Atkārtotas vizītes pie viena resursdatora tajā pašā stundā veido rutīnu, un rutīna var pateikt vairāk nekā viena lapa.
Tā ir godīgā atbilde uz ierasto jautājumu. Operators redz, kur un kad, pat ja saturs paliek aizzīmogots.
Satura redzamībai vajadzīga otra, skaļāka izmaiņa. Pareizi validēta HTTPS sesija paliek necaurredzama tunelim vai plūsmas filtram, un tāpat vietējie faili un trafiks, kas nekad nenokļūst segtajā ceļā. Lai lasītu lapu pamattekstu, vajadzīga sertifikācijas iestāde, kurai Mac jau uzticas, tas ir pārtveršanas sertifikāts, kas instalēts ar atsevišķu apstiprinājumu. Šis solis pārvieto robežu no metadatiem uz saturu un pelna atsevišķu izskatīšanu.
Apjoms apstājas arī pie ierīces. Tunelis vienā klēpjdatorā neaptver tālruni, planšetdatoru vai citas personas mašīnu tajā pašā Wi-Fi tīklā, un uzņēmuma klients nevar uzskaitīt pārējos kafejnīcas apmeklētājus. Ierīču pārvaldības programmatūra var savākt vairāk, nekā tunelis atklāj, bet tā ir atsevišķa kontrole ar citu politikas īpašnieku.
| Artifact | Visible on the covered path | Extra step required |
|---|---|---|
| Destination address and port | Yes | None |
| DNS names and query timing | Usually | None |
| HTTPS request and response bodies | No | Trusted root certificate |
| Files already stored on the Mac | No | Endpoint agent |
| Other devices on the same Wi-Fi | No | Separate enrollment |
Pārbaudiet sertifikātu krātuvi, pirms krītat panikā
Uzticama sakne ir atšķirība starp trafika vērošanu un lasīšanu. Pārbaudiet sistēmas atslēgu kopu, meklējot iestādes, kuras nepazīstat, un pierakstiet tās, kas parādījās ap paziņojuma laiku. Pārvaldīts Mac var likumīgi saturēt darba devēja iespiestu pārbaudes sakni, un tad saruna pieder administratoram. Personīgs Mac, kas to ieguvis nejauši, ir atradums, kas pelna rīcību. Pierakstiet parasto nosaukumu, izdevēju un pievienošanas datumu, lai vēlāk varētu atbildēt uz jautājumu.
Salīdziniet šo sarakstu ar to, ko ziņo ierīču pārvaldība. Ja profilu saraksts un sertifikātu saraksts nesakrīt, sertifikātu saraksts izlemj, ko Mac pieņems.
Divas komandas aptver lielāko daļu pārbaudes. Pirmā izdrukā konfigurācijas profilus; otrā izdrukā sertifikātus administratora pārvaldītajā sistēmas atslēgu kopā, kur parasti nonāk pievienotā sakne.
profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychainApple standarta saknes dzīvo atsevišķā atslēgu kopā un šeit nav raižu. Tukšs otrās komandas rezultāts ir ierasts personīgā Mac. Aizpildīts rezultāts pelna lasīšanu priekšmetu pa priekšmetam, pirms to noraidāt.
Izlemiet, tad pierakstiet, kāpēc
Apstiprinājums ir pamatots, ja varat nosaukt operatoru, komponenti un iemeslu, un ja pieprasījums atbilst jūsu vai jūsu organizācijas izvēlei. Izmeklēšana ir pareizā reakcija, kad paziņojums nāk bez konteksta, jo īpaši pēc tīkla maiņas vai nesaistītas instalācijas. Vispirms atvienojiet, fiksējiet profila identifikatoru un paplašinājumu, tad izlemiet. Noņemšana ir trešais ceļš, un tā atjauno iepriekšējo maršrutēšanu, neaizskarot kontu.
Uztveriet piekrišanu un noņemšanu kā atsevišķus lēmumus, kas pieņemti dažādos laikos. Filtra apstiprināšana šodien neuzliek jums pienākumu to paturēt, un profila noņemšana neizdzēš servera puses ierakstus par to, kas tika novērots, kamēr tas bija aktīvs.
Ja paziņojums sekoja jau lietotas programmatūras atjauninājumam, pirms klikšķināšanas izlasiet tās versijas laidiena piezīmes. Piegādātāji patiešām maina paplašinājumu arhitektūru starp laidieniem, un jauns filtrs var atnākt ar parastu atjauninājumu. Ja paziņojums sekoja pieslēgšanai jaunam tīklam, uztveriet laiku kā pierādījumu un pārbaudiet, kas mainījās.
Glabājiet īsu pierakstu: profila nosaukums, paplašinājuma identifikators, operators, sertifikāta nospiedums, ja tāds tika pievienots, un datums. Nākamā persona var sākt no šīs hronoloģijas, nevis no dialoga formulējuma.