Tuża kompjuter pubbliku b’VPN: x’għandek tiċċekkja l-ewwel
Tunnel jipproteġi t-triq, mhux il-magna f’kull tarf. Iddeċiedi min jikkontrolla l-host, x’jibqa’ fuq id-diska u kif tirrevoka l-aċċess qabel ma tidħol.
Magna mislufa, kompitu urġenti u klijent VPN li jwiegħed li jikkripta kollox: is-sekwenza tidher sigura u mhijiex. Tunnel jipproteġi t-triq bejn żewġ punti tat-tarf, u l-punt tat-tarf quddiemek huwa l-parti li ma tistax tivverifika. It-tliet passi hawn taħt jiddeċiedu jekk l-apparat huwiex użabbli xejn, kif iżżomm il-kredenzjali ’l bogħod minnu u x’tagħmel wara biex sessjoni temporanja ma ssirx kopja permanenti.
It-tunnel jibda wara li l-host ikun diġà ra d-data
Il-kriptaġġ iseħħ fil-klijent VPN, li jaħdem bħala programm fuq il-magna. Kollox ’il fuq minn dak il-programm, inkluż il-browser, is-sistema operattiva u kull estensjoni jew driver b’aċċess suffiċjenti, jimmaniġġja d-data tiegħek qabel ma tiġi kkriptata. Dan mhuwiex difett fil-protokoll; dan huwa l-post fejn tinsab il-protokoll.
Għalhekk l-iċċekkjar tal-indirizz tal-ħruġ ma jipprova kważi xejn dwar il-host. Magna tista’ tgħaddi t-traffiku kollu minn ħruġ nadif u xorta tirrekordja kull pressioni ta’ tastiera, u ż-żewġ fatti mhumiex f’kunflitt.
Il-qafas utli huwa li tistaqsi x’jista’ josserva l-host, mhux x’tista’ tagħmel in-netwerk. Fuq magna li jamministra xi ħadd ieħor, dak is-sett huwa akbar milli tista’ telenka.
L-ewwel pass: stabbilixxi min jikkontrolla l-apparat
Il-kontroll huwa kwistjoni ta’ drittijiet amministrattivi u aċċess fiżiku, mhux ta’ kortesija. Jekk persuna oħra tista’ tinstalla software, tgħabbi driver, tqabbad apparat jew tirrestawra immaġni, l-imġiba tal-magna mhijiex xi ħaġa li tista’ tistabbilixxi billi tħares lejha. L-amministrazzjoni hija kapaċità, u l-kapaċitajiet ma jidhrux f’screenshot. Staqsi lill-persuna li tatlek il-magna.
Fittex is-sinjali tas-soltu, u ttratta kull wieħed bħala evidenza dwar il-kontroll mhux bħala prova ta’ sigurtà. L-ebda wieħed minnhom mhuwa deċiżiv waħdu.
- Kont tal-mistieden jew kiosk li ma jistax jinstalla software huwa punt tat-tluq aħjar minn kont amministrattiv li xi ħadd tak.
- Apparat amministrat b’sid magħruf u kuntatt ta’ appoġġ huwa aħjar minn terminal mhux sorveljat, anki meta t-terminal jidher aktar nadif.
- Magna li ma tistax tiddetermina min daħal l-aħħar hija magna li ma tistax tiddeskrivi l-istat tagħha.
L-ebda waħda minn dawn il-verifiki ma tagħmel host kondiviż affidabbli. Dawn jgħidulek jekk ir-riskju huwiex limitat biżżejjed biex tkompli b’kompitu limitat, li hija domanda differenti u aktar onesta. Ikteb it-tweġiba qabel ma tkompli.
It-tieni pass: żomm il-kredenzjali ’l bogħod mill-host
Profil ħaj mhuwiex bookmark. Profil OpenVPN jista’ jkun fih ċertifikati inkorporati u ċavetta privata, u l-importazzjoni tiegħu tikteb dak il-materjal fuq apparat li mhuwiex tiegħek. L-istess jgħodd għal sessjoni tal-browser li taħżen cookie, u għal kull manager tal-passwords li jaħżen sejf lokalment.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Ippreferi l-inqas aċċess persistenti li jappoġġja s-servizz. Portal tal-web li jawtentika għal kull sessjoni u jitlob tieni fattur iħalli inqas warajh minn klijent tad-desktop b’profil salvat, u sessjoni li tintemm meta jingħalaq il-browser hija aħjar minn waħda li tgħix restard.
Imbagħad iċċekkja x’iżżomm il-magna. Fuq host Linux kondiviż il-post tal-profil huwa faċli biex tiġi spezzjonata, u fuq Windows it-tfittxija ekwivalenti tieħu kmand wieħed. Li ssib profil ta’ utent preċedenti hija tfakkira utli li tiegħek jiġi trattat bl-istess mod.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueIt-tielet pass: temm l-aċċess minn post li tafda
It-tindif lokal jiswa u mhuwiex biżżejjed. Oħroġ mis-servizz, agħlaq il-browser, neħħi kull fajl imniżżel, u mbagħad agħmel il-pass li verament jgħodd: irrevoka s-sessjoni jew il-kredenzjali minn apparat li tikkontrolla.
Proprju din l-aħħar azzjoni huma nies jaqbżu, għax l-iskrin lokali jidher nadif. Token tas-sessjoni kkopjat minn software fuq il-host jibqa’ jaħdem wara li titlaq, u ma jimpurtahx li l-browser ġie magħluq. Ir-revoka hija l-uniku pass li jassumi li l-host seta’ kien ostili. Hija wkoll l-unika waħda li għadha taħdem jekk kien.
Jekk ċavetta privata jew sigriet ta’ rkupru messu l-magna, ittrattah bħala espost u dawwarha minflok ma tispezzjona kopji. Għal kont li uża tieni fattur, aġġorna wkoll l-apparati u s-sessjonijiet elenkati mill-fornitur, għax token maħruġ waqt iż-żjara tiegħek jista’ jkun għadu attiv.
Ikteb ir-riżultat waqt li jkun frisk: liema apparat, liema kont, x’ġie installat, x’ġie revokat u meta. Dak in-nota huwa dak li jippermetti lill-persuna li jmiss twieġeb l-unika domanda li tgħodd wara: jekk xi ħaġa għadx għandha aċċess.
Apparat taħt kontroll privat għadu jeħtieġ manutenzjoni, u jagħtik bażi biex timmaniġġja l-punt tat-tarf li terminal misluf qatt ma jagħti. It-tunnel kien il-parti faċli.