Користење јавен компјутер со VPN: што да се провери прво
Тунелот го штити патот, не машината на двата краја. Одлучете кој го контролира домаќинот, што останува на дискот и како да го отповикате пристапот пред да се најавите.
Позајмена машина, итна задача и VPN клиент што ветува дека ќе шифрира сето: редоследот изгледа безбеден и не е. Тунелот го штити патот меѓу две крајни точки, а точката пред вас е делот што не можете да го проверите. Трите чекори подолу одлучуваат дали уредот воопшто е употреблив, како да ги држите податоците за најава подалеку од него и што да правите потоа за привремената сесија да не стане постојана копија.
Тунелот започнува откако домаќинот веќе ги видел податоците
Шифрирањето се случува во VPN клиентот, кој работи како програма на машината. Сето над таа програма, вклучително прелистувачот, оперативниот систем и секое продолжување или драјвер со доволен пристап, ги обработува вашите податоци пред да бидат шифрирани. Тоа не е недостаток на протоколот; тоа е местото каде што стои протоколот.
Затоа проверката на излезната адреса не докажува речиси ништо за домаќинот. Машината може да го насочи целиот сообраќај низ чист излез и сепак да го запише секое притискање на копче, и двата факти не се во спротивност.
Корисната рамка е да прашате што може да набљудува домаќинот, а не што може мрежата. На машина што ја администрира некој друг, тоа множество е поголемо отколку што можете да го наброите.
Прв чекор: утврдете кој го контролира уредот
Контролата е прашање на административни права и физички пристап, не на учтивост. Ако друга личност може да инсталира софтвер, да вчита драјвер, да поврзе уред или да врати слика, однесувањето на машината не е нешто што можете да го утврдите гледајќи во неа. Администрацијата е способност, а способностите не се појавуваат на слика од екранот. Прашајте ја личноста што ви ја даде машината.
Барајте ги вообичаените знаци и секој третирајте го како доказ за контрола, а не како доказ за безбедност. Ниту еден од нив не е одлучувачки сам по себе.
- Гостинска или киоск сметка што не може да инсталира софтвер е подобра почетна точка од администраторска сметка што некој ви ја дал.
- Управуван уред со познат сопственик и контакт за поддршка е подобар од ненадгледуван терминал, дури и кога терминалот изгледа почисто.
- Машина на која не можете да утврдите кој последен се најавил е машина чија состојба не можете да ја опишете.
Ниту една од овие проверки не го прави заедничкиот домаќин доверлив. Тие ви кажуваат дали ризикот е доволно ограничен за да продолжите со ограничена задача, што е друго и поискрено прашање. Запишете го одговорот пред да продолжите.
Втор чекор: држете ги податоците за најава подалеку од домаќинот
Живиот профил не е обележувач. Профилот на OpenVPN може да содржи вградени сертификати и приватен клуч, а неговото увезување го запишува тој материјал на уред што не е ваш. Истото важи за сесија на прелистувач што чува колаче и за секој менаџер на лозинки што складиштето го кешира локално.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Преферирајте го најмалку трајниот пристап што го поддржува услугата. Веб-порталот што автентификува по сесија и бара втор фактор остава помалку од десктоп клиент со зачуван профил, а сесијата што завршува кога ќе се затвори прелистувачот е подобра од онаа што го преживува рестартирањето.
Потоа проверете што чува машината. На заеднички Linux домаќин лесно се проверува локацијата на профилот, а на Windows еквивалентното пребарување бара една команда. Наоѓањето профил на претходен корисник е корисно потсетување дека со вашиот ќе се постапува исто.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueТрет чекор: завршете го пристапот од место во кое имате доверба
Локалното чистење вреди и не е доволно. Одјавете се од услугата, затворете го прелистувачот, отстранете ги сите преземени датотеки и потоа направете го чекорот што навистина е важен: отповикајте ја сесијата или податоците за најава од уред што го контролирате.
Токму ова последно дејство луѓето го прескокнуваат, бидејќи локалниот екран изгледа чист. Сесискиот токен копиран од софтвер на домаќинот продолжува да работи откако ќе заминете и не го интересира што прелистувачот бил затворен. Отповикувањето е единствениот чекор што претпоставува дека домаќинот можел да биде непријателски. Тоа е и единствениот што уште работи ако бил.
Ако приватен клуч или тајна за обновување го допрел уредот, третирајте го како изложен и заменете го наместо да проверувате копии. За сметка што користела втор фактор, прегледајте ги и уредите и сесиите што ги наведува провајдерот, бидејќи токен издаден за време на вашата посета може уште да е активен.
Запишете го резултатот додека е свеж: кој уред, која сметка, што е инсталирано, што е отповикано и кога. Токму таа белешка му овозможува на следниот човек да одговори на единственото важно прашање подоцна: дали нешто уште има пристап.
Уред под приватна контрола уште бара одржување и ви дава основа за управување со крајната точка што позајмен терминал никогаш нема да ја даде. Тунелот беше лесниот дел.