Advarsel om filtrert eller overvåket Mac-VPN: hva den tillater

Dette varselet er en tillatelse, ikke en diagnose. Når macOS sier at en konfigurasjon vil filtrere eller overvåke trafikk, forteller det deg at en komponent du har godkjent, ser ruten den dekker, og spør om det er akseptabelt. Dialogen kan ikke fortelle deg hvem som driver komponenten, hva den registrerer, eller om den dekrypterer noe. Svarene ligger i profilen, utvidelseslisten og sertifikatene på maskinen, så start der i stedet for å lese setningen på nytt.

Les varselet som et spørsmål om omfang

Hvert aktiveringsvarsel peker på to ting uten å navngi dem tydelig: utvidelsen som skal håndtere trafikken og konfigurasjonen som leder trafikken inn i den. På dagens macOS er disse komponentene NetworkExtension-systemutvidelser, og installasjon eller aktivering av én krever godkjenning i Systeminnstillinger. Formuleringen er fortsatt bred fordi operativsystemet ikke kan vite om den som godkjenner, er en IT-avdeling, en abonnements-VPN eller en filtreringsagent som følger med noe annet.

Derfor dekker samme tekst tre ulike oppsett. En administrert Mac mottar en profil fra enhetsstyring, en personlig Mac får en konfigurasjon fra en app du har installert, og et sikkerhetsprodukt kan installere et filter som aldri presenterer seg som en VPN. Ingen av disse etikettene avgjør hensikten. De sier bare hvilken part du skal spørre først.

To kommandoer skiller disse tilfellene raskt. Den første lister installerte systemutvidelser og om hver enkelt er aktiv, og den andre lister konfigurasjonsprofiler med innholdet og organisasjonen som signerte.

systemextensionsctl list
profiles show -type configuration

Skille en tunnel fra et filter

En pakketunnel gir Macen en rute og bærer alt rutetabellen sender inn i den. Et innholdsfilter sitter på flytnivå, ser hver tilkobling og kan tillate, blokkere eller omdirigere den. Et produkt kan levere begge samtidig, og varselet endres ikke når det gjør det. Forskjellen betyr noe fordi bevisene du kan samle inn, og feilene du vil se, er ulike.

Kontroller utvidelseskategorien fremfor markedsføringsnavnet. En tunnel vises vanligvis som en VPN-konfigurasjon og som en nettverksutvidelse, mens et filter kanskje ikke har noen VPN-tjeneste i det hele tatt. Hvis produktet tilbyr begge moduser, velger den aktive konfigurasjonen én, og bytte av modus kan endre det dekkede uten å endre leverandøren.

Listen over VPN-tjenester er den raskeste måten å se om det finnes en tunnel. Et filter som ikke er en VPN, vises ikke der, og det er i seg selv nyttig informasjon.

scutil --nc list

Et tilkoblet-merke er ikke bevis på dekning. Apper kan utelukkes med regler per app, og trafikk til lokale nettverk går ofte utenom tunnelen ved design. Når én applikasjon oppfører seg som om den ikke overvåkes, mistenkt en rute eller en utelukkelse før du antar at overvåkeren er ødelagt.

Hva operatøren lærer uten å lese innholdet

Metadata er ikke en trøstepremie. Adresser, porter, DNS-navn, tilkoblingstider, byttetall og identiteten som ble autentisert, er synlige for komponenten på ruten. Gjentatte besøk på én vert til samme time bygger en rutine, og en rutine kan si mer enn én enkelt side.

Det er det ærlige svaret på det vanlige spørsmålet. Operatøren kan se hvor og når, selv når innholdet forblir forseglet.

Synlighet av innhold krever en andre, kraftigere endring. En korrekt validert HTTPS-økt forblir ugjennomsiktig for en tunnel eller et flytfilter, og det samme gjør lokale filer og trafikk som aldri kommer inn på den dekkede ruten. Å lese sideinnhold krever en sertifikatmyndighet Macen allerede stoler på, altså et avlyttingssertifikat installert med sin egen godkjenning. Dette trinnet flytter grensen fra metadata til innhold og fortjener egen vurdering.

Omfanget stopper også ved enheten. En tunnel på én bærbar PC dekker ikke en telefon, et nettbrett eller en annen persons maskin på samme Wi-Fi, og en bedriftsklient kan ikke kartlegge kafeenens øvrige gjester. Enhetsstyringsprogramvare kan samle inn mer enn tunnelen avslører, men det er en separat kontroll med en annen policyeier.

Inspiser sertifikatlageret før du får panikk

En betrodd rot er forskjellen mellom å se trafikk og å lese den. Inspiser systemnøkkelringen for myndigheter du ikke kjenner igjen, og noter de som dukket opp rundt tidspunktet for varselet. En administrert Mac kan legitimt bære en inspeksjonsrot som arbeidsgiveren har sendt ut, og da hører samtalen til administratoren. En personlig Mac som har fått en ved et uhell, har et funn som er verdt å handle på. Noter det vanlige navnet, utstederen og datoen for tilføyelsen slik at spørsmålet kan besvares senere.

Sammenlign listen med det enhetsstyringen rapporterer. Hvis profillisten og sertifikatlisten er uenige, er det sertifikatlisten som avgjør hva Macen vil godta.

To kommandoer dekker det meste av kontrollen. Den første skriver ut konfigurasjonsprofiler; den andre skriver ut sertifikater i systemnøkkelringen som administreres av administratoren, der en tilføyd rot vanligvis havner.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Apples standardrøtter ligger i en egen nøkkelring og er ikke bekymringen her. Et tomt resultat fra den andre kommandoen er vanlig på en personlig Mac. Et fylt resultat fortjener en gjennomlesning emne for emne før du avviser det.

Bestem, og skriv så ned hvorfor

Godkjenning er rimelig når du kan navngi operatøren, komponenten og grunnen, og når forespørselen samsvarer med et valg du eller organisasjonen din har tatt. Undersøkelse er riktig svar når varselet kommer uten kontekst, særlig etter en nettverksendring eller en urelatert installasjon. Koble fra først, fang opp profilidentifikatoren og utvidelsen, og bestem deg deretter. Fjerning er en tredje vei, og den gjenoppretter tidligere ruting uten å røre kontoen.

Behandle samtykke og fjerning som separate beslutninger tatt på ulike tidspunkt. Å godkjenne et filter i dag forplikter deg ikke til å beholde det, og fjerning av en profil sletter ikke serverens opptegnelser over hva som ble observert mens den var aktiv.

Hvis varselet fulgte en oppdatering av programvare du allerede kjører, les utgivelsesnotatene for den versjonen før du klikker. Leverandører endrer faktisk utvidelsesarkitektur mellom utgivelser, og et nytt filter kan komme med en rutineoppdatering. Hvis varselet fulgte en tilkobling til et nytt nettverk, behandle tidspunktet som bevis og inspiser hva som endret seg.

Hold en kort oversikt: profilnavn, utvidelsesidentifikator, operatør, sertifikatets fingeravtrykk hvis et ble lagt til, og datoen. Neste person kan starte fra den tidslinjen i stedet for fra ordlyden i en dialog.