Twissija dwar VPN Mac iffiltrat jew issorveljat: x'jippermetti
In-notifika tal-macOS hija talba għall-kunsens dwar x'jista' l-operatur jispezzjona fuq il-passaġġ kopert, mhux verdett dwar malware u lanqas prova li t-traffiku tiegħek qed jiġi deċifrat.
Dik it-twissija hija permess, mhux dijanjosi. Meta macOS jgħid li konfigurazzjoni se tiffiltra jew tissorvelja t-traffiku, qed jgħidlek li komponent li approvajt jara l-passaġġ li jkopri u jistaqsik jekk dan huwiex aċċettabbli. Id-djalogu ma jistax jgħidlek min iħaddem il-komponent, x'jirreġistra jew jekk jiddeċifrax xi ħaġa. Dawk it-tweġibiet jinsabu fil-profil, fil-lista tal-estensjonijiet u fiċ-ċertifikati fuq il-magna, mela ibda minn hemm minflok terġa taqra s-sentenza.
Aqra n-notifika bħala mistoqsija dwar l-ambitu
Kull notifika ta' attivazzjoni tindika żewġ affarijiet mingħajr ma ssemmiħom b'mod ċar: l-estensjoni li se tittratta t-traffiku u l-konfigurazzjoni li tifrex it-traffiku fiha. Fil-macOS attwali dawn il-komponenti huma estensjonijiet tas-sistema NetworkExtension, u l-installazzjoni jew l-attivazzjoni ta' waħda teħtieġ approvazzjoni fis-Settings tas-Sistema. Il-kliem jibqa' wiesa' għax is-sistema operattiva ma tistax tkun taf jekk min japprova huwiex dipartiment tal-IT, VPN bis-sottoskrizzjoni jew aġent ta' filtrazzjoni li jiġi ma' xi ħaġa oħra.
Għalhekk l-istess test ikopri tliet arranġamenti differenti. Mac immaniġġjat jirċievi profil mill-immaniġġjar tal-apparati, Mac personali jieħu konfigurazzjoni minn app li installajt, u prodott tas-sigurtà jista' jinstalla filtru li qatt ma jippreżenta ruħu bħala VPN. L-ebda waħda minn dawn it-tikketti ma ssolvi l-intenzjoni. Huma biss jgħidulek liema naħa tistaqsi l-ewwel.
Żewġ ordnijiet jifirdu dawn il-każijiet malajr. L-ewwel jelenka l-estensjonijiet tas-sistema installati u jekk kull waħda hijiex attiva, u t-tieni jelenka l-profili ta' konfigurazzjoni bil-payloads tagħhom u l-organizzazzjoni li ffirmat.
systemextensionsctl list
profiles show -type configurationAgħraf tunnel minn filtru
Tunnel tal-pakketti jagħti lill-Mac rotta u jġorr kull ma t-tabella tar-routing tibgħat fih. Filtru tal-kontenut joqgħod fil-livell tal-fluss, jara kull konnessjoni, u jista' jippermettiha, jimblukkaha jew jibdilha. Prodott jista' jgħaddi t-tnejn f'daqqa, u t-twissija ma tinbidilx meta jagħmel hekk. Id-differenza hija importanti għax il-provi li tista' tiġbor u l-ħsarat li se tara huma differenti.
Iċċekkja l-kategorija tal-estensjoni, mhux l-isem tal-marketing. Tunnel normalment jidher bħala konfigurazzjoni VPN u bħala estensjoni tan-netwerk, filwaqt li filtru jista' ma jkollux servizz VPN xejn. Jekk il-prodott joffri ż-żewġ mods, il-konfigurazzjoni attiva tagħżel waħda, u l-bidla tal-mod tista' tbiddel dak kopert mingħajr ma tbiddel il-fornitur.
Il-lista tas-servizzi VPN hija l-iktar mod malajr biex tara jekk jeżistix tunnel. Filtru li mhuwiex VPN mhux se jidher fiha, li fih innifsu hija informazzjoni utli.
scutil --nc listIl-badge tal-konnessjoni mhix prova tal-kopertura. L-apps jistgħu jiġu esklużi b'regoli għal kull app, u it-traffiku lejn netwerks lokali spiss jaqbeż it-tunnel b'disinn. Meta app waħda tibqa' tġib ruħha bħallikieku mhijiex sorveljata, issuspetta rotta jew esklużjoni qabel ma tassumi li l-monitor hija miksura.
X'jitgħallem l-operatur mingħajr ma jaqra l-payloads
Il-metadata mhijiex premju ta' konsolazzjoni. L-indirizzi, il-portijiet, l-ismijiet DNS, il-ħinijiet tal-konnessjonijiet, l-għadd tal-bytes u l-identità awtentikata huma kollha viżibbli għall-komponent fil-passaġġ. Żjarat ripetuti lejn host wieħed fl-istess siegħa jibnu rutina, u rutina tista' tgħid aktar minn paġna waħda.
Dik hija t-tweġiba onesta għall-mistoqsija tas-soltu. L-operatur jista' jara fejn u meta, anki meta l-kontenut jibqa' ssiġillat.
Il-viżibilità tal-kontenut teħtieġ bidla oħra, aktar qawwija. Sessjoni HTTPS ivvalidata kif suppost tibqa' opaka għal tunnel jew filtru tal-fluss, u l-istess għall-fajls lokali u t-traffiku li qatt ma jidħol fil-passaġġ kopert. Il-qari tal-korpi tal-paġni jeħtieġ awtorità ta' ċertifikazzjoni li l-Mac diġà jafda, jiġifieri ċertifikat ta' interċettazzjoni installat bl-approvazzjoni tiegħu stess. Dak il-pass iċaqlaq il-konfini mill-metadata għall-kontenut u jistħoqqlu eżami separat.
L-ambitu jieqaf ukoll mal-apparat. Tunnel fuq laptop wieħed ma jkoprix telefon, tablet jew magna ta' persuna oħra fl-istess Wi-Fi, u klijent korporattiv ma jistax jinventarja lill-klijenti l-oħra tal-kafè. Is-software tal-immaniġġjar tal-apparati jista' jiġbor aktar minn dak li jesponi t-tunnel, iżda dik hija kontroll separat b'sid tal-politika differenti.
| Artifact | Visible on the covered path | Extra step required |
|---|---|---|
| Destination address and port | Yes | None |
| DNS names and query timing | Usually | None |
| HTTPS request and response bodies | No | Trusted root certificate |
| Files already stored on the Mac | No | Endpoint agent |
| Other devices on the same Wi-Fi | No | Separate enrollment |
Spezzjona l-maħżen taċ-ċertifikati qabel ma tiġi f'paniku
Għerq affidabbli huwa d-differenza bejn li tara t-traffiku u li taqrah. Spezzjona l-keychain tas-sistema għal awtoritajiet li ma tagħrafx, u nnota dawk li dehru madwar il-ħin tan-notifika. Mac immaniġġjat jista' legalment iġorr għerq ta' spezzjoni mbuttat mill-persuna li timpjega, u mbagħad il-konversazzjoni tappartjeni lill-amministratur. Mac personali li kiseb wieħed b'aċċident għandu sejba li jistħoqqilha azzjoni. Innota l-isem komuni, il-ħarrieġ u d-data taż-żieda sabiex il-mistoqsija tkun tista' tiġi mwieġba aktar tard.
Qabbel dik il-lista ma' dak li jirrapporta l-immaniġġjar tal-apparati. Jekk il-lista tal-profili u l-lista taċ-ċertifikati ma jaqblux, il-lista taċ-ċertifikati hija dik li tiddeċiedi x'se jaċċetta l-Mac.
Żewġ ordnijiet ikopru l-biċċa l-kbira tal-kontroll. L-ewwel tipprintja l-profili ta' konfigurazzjoni; it-tieni tipprintja ċ-ċertifikati fil-keychain tas-sistema mmaniġġjat mill-amministratur, fejn għerq miżjud normalment jinżel.
profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychainL-għeruq standard ta' Apple jgħixu f'keychain separat u mhumiex il-ħsieb hawn. Riżultat vojt mit-tieni ordni huwa komuni fuq Mac personali. Riżultat mimli jistħoqqlu qari suġġett b'suġġett qabel ma tarmih.
Iddeċiedi, imbagħad innota għaliex
L-approvazzjoni hija raġonevoli meta tista' ssemmi l-operatur, il-komponent u r-raġuni, u meta t-talba taqbel ma' għażla li għamilt int jew l-organizzazzjoni tiegħek. L-investigazzjoni hija r-risposta t-tajba meta n-notifika tasal mingħajr kuntest, speċjalment wara bidla fin-netwerk jew installazzjoni mhux relatata. Iddiskonnettja l-ewwel, aqbad l-identifikatur tal-profil u l-estensjoni, imbagħad iddeċiedi. It-tneħħija hija t-tielet triq, u terġa' ddaħħal ir-routing preċedenti mingħajr ma tmiss il-kont.
Ittratta l-kunsens u t-tneħħija bħala deċiżjonijiet separati meħuda fi żminijiet differenti. L-approvazzjoni ta' filtru llum ma torbotx lilek biex iżżommu, u t-tneħħija ta' profil ma tħassarx ir-rekords tan-naħa tas-server ta' dak li ġie osservat waqt li kien attiv.
Jekk in-notifika ġiet wara aġġornament ta' software li diġà qed tħaddem, aqra n-noti tar-rilaxx ta' dik il-verżjoni qabel tikklikkja. Il-fornituri verament ibiddlu l-arkitettura tal-estensjonijiet bejn ir-rilaxxi, u filtru ġdid jista' jasal b'aġġornament ta' rutina. Jekk in-notifika ġiet wara konnessjoni ma' netwerk ġdid, ittratta l-ħin bħala prova u spezzjona x'inbidel.
Żomm rekord qasir: isem il-profil, identifikatur tal-estensjoni, operatur, marka tas-saba' taċ-ċertifikat jekk ġie miżjud wieħed, u d-data. Il-persuna li jmiss tista' tibda minn dik il-linja ta' żmien minflok mill-kliem ta' djalogu.