सार्वजनिक संगणकावर VPN वापरणे: आधी काय तपासावे
टनेल मार्गाचे रक्षण करते, दोन्ही टोकांवरील यंत्राचे नाही। साइन इन करण्यापूर्वी होस्ट कोण नियंत्रित करतो, डिस्कवर काय राहते आणि प्रवेश कसा रद्द करायचा हे ठरवा।
उधार घेतलेले यंत्र, तातडीचे काम आणि सर्व काही एन्क्रिप्ट करण्याचे वचन देणारा VPN क्लायंट: क्रम सुरक्षित वाटतो आणि नाही। टनेल दोन टोकांमधील मार्गाचे रक्षण करते, आणि तुमच्यासमोरचे टोक हाच तो भाग आहे जो तुम्ही पडताळू शकत नाही। खालील तीन पायऱ्या ठरवतात की उपकरण वापरण्यायोग्य आहे का, क्रेडेन्शियल्स त्यापासून दूर कसे ठेवावे आणि नंतर काय करावे जेणेकरून तात्पुरते सत्र कायमची प्रत होणार नाही।
होस्टने डेटा आधीच पाहिल्यानंतरच टनेल सुरू होते
एन्क्रिप्शन VPN क्लायंटमध्ये होते, जो यंत्रावर प्रोग्राम म्हणून चालतो। त्या प्रोग्रामच्या वरचे सर्व काही, म्हणजे ब्राउझर, ऑपरेटिंग सिस्टम आणि पुरेसा प्रवेश असलेला कोणताही एक्स्टेंशन किंवा ड्रायव्हर, एन्क्रिप्ट होण्यापूर्वी तुमचा डेटा हाताळते। हा प्रोटोकॉलचा दोष नाही; प्रोटोकॉल जिथे बसतो ती ही जागा आहे।
म्हणून एक्झिट पत्ता तपासणे होस्टबद्दल जवळपास काहीच सिद्ध करत नाही। यंत्र सर्व रहदारी स्वच्छ एक्झिटमधून पाठवू शकते आणि तरीही प्रत्येक कीस्ट्रोक नोंदवू शकते, आणि या दोन गोष्टी परस्परविरोधी नाहीत।
उपयुक्त चौकट म्हणजे नेटवर्क काय करू शकते हे नव्हे, तर होस्ट काय निरीक्षण करू शकतो हे विचारणे। दुसऱ्याने व्यवस्थापित केलेल्या यंत्रावर तो संच तुम्ही मोजू शकता त्यापेक्षा मोठा असतो।
पहिली पायरी: उपकरण कोण नियंत्रित करतो हे निश्चित करा
नियंत्रण हा प्रशासकीय अधिकार आणि भौतिक प्रवेशाचा प्रश्न आहे, सौजन्याचा नाही। दुसरी व्यक्ती सॉफ्टवेअर स्थापित करू शकते, ड्रायव्हर लोड करू शकते, उपकरण जोडू शकते किंवा इमेज पुनर्संचयित करू शकते असे असेल, तर यंत्राचे वर्तन पाहून ठरवता येण्यासारखे नाही। प्रशासन ही एक क्षमता आहे, आणि क्षमता स्क्रीनशॉटमध्ये दिसत नाहीत। ज्या व्यक्तीने तुम्हाला यंत्र दिले तिला विचारा।
नेहमीची चिन्हे शोधा आणि प्रत्येकाला सुरक्षिततेचा पुरावा नव्हे, नियंत्रणाचा पुरावा माना। त्यापैकी कोणतेही एकटे निर्णायक नाही।
- सॉफ्टवेअर स्थापित करू न शकणारे अतिथी किंवा कियोस्क खाते, कोणी दिलेल्या प्रशासक खात्यापेक्षा चांगली सुरुवात आहे।
- ज्ञात मालक आणि सहाय्य संपर्क असलेले व्यवस्थापित उपकरण, टर्मिनल स्वच्छ दिसत असले तरी, बिनदेखरेख टर्मिनलपेक्षा चांगले आहे।
- ज्या यंत्रावर शेवटी कोणी लॉग इन केले हे ठरवता येत नाही, ते असे यंत्र आहे ज्याची स्थिती तुम्ही वर्णन करू शकत नाही।
यापैकी कोणतीही तपासणी सामायिक होस्टला विश्वासार्ह करत नाही। त्या सांगतात की मर्यादित कामासह पुढे जाण्याइतका धोका मर्यादित आहे का, जो वेगळा आणि अधिक प्रामाणिक प्रश्न आहे। पुढे जाण्यापूर्वी उत्तर लिहून ठेवा।
दुसरी पायरी: क्रेडेन्शियल्स होस्टपासून दूर ठेवा
जिवंत प्रोफाइल बुकमार्क नाही। OpenVPN प्रोफाइलमध्ये अंतर्भूत प्रमाणपत्रे आणि खाजगी की असू शकते, आणि ती आयात केल्यास ती सामग्री तुमच्या नसलेल्या उपकरणावर लिहिली जाते। कुकी साठवणाऱ्या ब्राउझर सत्राला आणि तिजोरी स्थानिक पातळीवर कॅश करणाऱ्या कोणत्याही पासवर्ड व्यवस्थापकाला हेच लागू होते।
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
सेवा जे सर्वात कमी टिकाऊ प्रवेशाला समर्थन देते ते निवडा। प्रत्येक सत्रासाठी प्रमाणीकरण करणारे आणि दुसरा घटक मागणारे वेब पोर्टल जतन केलेल्या प्रोफाइलसह डेस्कटॉप क्लायंटपेक्षा कमी मागे सोडते, आणि ब्राउझर बंद होताच संपणारे सत्र रीबूट टिकून राहणाऱ्या सत्रापेक्षा चांगले आहे।
नंतर यंत्र काय ठेवते ते तपासा। सामायिक Linux होस्टवर प्रोफाइलची जागा तपासणे सोपे आहे, आणि Windows वर तत्सम शोधासाठी एक आदेश पुरतो। पूर्वीच्या वापरकर्त्याचे प्रोफाइल सापडणे ही तुमच्याही बाबतीत तसेच वागणार असल्याची उपयुक्त आठवण आहे।
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueतिसरी पायरी: तुम्ही विश्वास ठेवता अशा ठिकाणाहून प्रवेश संपवा
स्थानिक स्वच्छता करण्यासारखी आहे आणि पुरेशी नाही। सेवेतून साइन आउट करा, ब्राउझर बंद करा, डाउनलोड केलेली कोणतीही फाइल काढून टाका, आणि नंतर खरोखर महत्त्वाची पायरी करा: तुम्ही नियंत्रित करता अशा उपकरणावरून सत्र किंवा क्रेडेन्शियल रद्द करा।
हीच शेवटची क्रिया लोक वगळतात, कारण स्थानिक स्क्रीन स्वच्छ दिसते। होस्टवरील सॉफ्टवेअरने कॉपी केलेले सत्र टोकन तुम्ही गेल्यानंतरही काम करते, आणि ब्राउझर बंद होता याचा त्याला फरक पडत नाही। रद्द करणे ही एकमेव पायरी आहे जी होस्ट शत्रुत्वाचा असू शकतो असे गृहीत धरते। तसे असल्यासही ती एकमेव काम करणारी पायरी आहे।
खाजगी की किंवा पुनर्प्राप्ती रहस्य यंत्राला लागले असेल, तर ते उघड झाले असे माना आणि प्रती तपासण्याऐवजी ते बदला। दुसरा घटक वापरलेल्या खात्यासाठी, प्रदात्याने सूचीबद्ध केलेली उपकरणे आणि सत्रेही तपासा, कारण तुमच्या भेटीदरम्यान जारी केलेले टोकन अजूनही सक्रिय असू शकते।
निकाल ताजा असतानाच लिहा: कोणते उपकरण, कोणते खाते, काय स्थापित झाले, काय रद्द झाले आणि कधी। ती नोंदच पुढच्या व्यक्तीला नंतर महत्त्वाच्या एकमेव प्रश्नाचे उत्तर देऊ देते: अजून काहीतरी प्रवेश ठेवते का।
खाजगी नियंत्रणाखालील उपकरणालाही देखभाल लागते, आणि उधार घेतलेले टर्मिनल कधीही न देणारे टोक व्यवस्थापित करण्याचा आधार ते देते। टनेल सोपा भाग होता।