Een VPN-route geeft geen externe aanmelding op je Mac

Deelnemen aan een werk-VPN zegt op zichzelf niets over de vraag of iemand vanaf elders op je Mac kan inloggen. Drie afzonderlijke dingen moeten samenvallen: een netwerkpad dat de machine bereikt, een toegangsdienst die draait, en toestemming voor een bepaald account om die dienst te gebruiken. De tunnel levert alleen het eerste. Al het overige op deze pagina gaat over het controleren van de andere twee zonder het antwoord als vaststaand aan te nemen.

Begin bij de dienst of geïnstalleerde component die externe toegang zou bieden, en stop met het afleiden daarvan uit een indicator voor verbonden status in de menubalk.

Drie controles die mensen tot één versmelten

Bereikbaarheid beantwoordt of pakketten kunnen aankomen. Een deelingsdienst beantwoordt of er iets op de machine luistert. Autorisatie beantwoordt welke identiteiten de dienst accepteert, en waar ze aan mogen komen zodra ze binnen zijn. Een VPN kan het eerste antwoord veranderen zonder de andere twee te raken, en dat is precies waarom de vraag in beide richtingen steeds slechte conclusies oplevert.

Apples richtlijnen over Remote Login zijn een goed concreet voorbeeld van die splitsing, omdat ze op een bepaalde plek staan en hun eigen accountkeuzes meebrengen. Ze staan onder Systeeminstellingen, Algemeen, Delen, en ze beschrijven SSH- en SFTP-toegang met een selectie van toegestane gebruikers. Volledige schijftoegang voor externe gebruikers is weer een aparte optie, wat het punt versterkt: een dienst aanzetten is niet hetzelfde als elke mogelijkheid geven die de dienst zou kunnen bieden.

Controleer wat er echt is ingeschakeld

Loop het venster Delen door en noteer elke dienst die aanstaat, niet alleen degene die je verwachtte. Remote Login, scherm delen en bestanden delen openen elk een ander oppervlak, en elk heeft zijn eigen gebruikerslijst. Een instelling voor SSH zegt niets over scherm delen, en de aanwezigheid van een deelfunctie in het besturingssysteem zegt niets over de vraag of iemand die heeft gebruikt.

Maak daarna een inventaris van wat anders toegang kan geven: een extern supportagent van derden, een beheertool die tijdens de inschrijving is geïnstalleerd, of een schermdelingsserver die met iets anders is meegeleverd. Die verschijnen niet in het venster Delen, en dat zijn precies de componenten die mensen vergeten bij een audit van een laptop. Schrijf elk agent op dat je niet kunt identificeren, want een onbekend proces met een luisterende poort is interessanter dan een bekend proces zonder. Een korte lijst met onbekenden is beter dan een zelfverzekerde conclusie op basis van het ene venster dat je toevallig opende.

Vraag de beheerder wat de inschrijving heeft geïnstalleerd

Als de werkinschrijving een configuratieprofiel, een goedkeuring van een beheerder of extra software omvatte, vraag de persoon die het beheert dan om drie dingen te beantwoorden: welke componenten zijn geïnstalleerd, welke machtigingen ze hebben, en wat actief blijft nadat je de verbinding verbreekt. Een VPN-route en een geprivilegieerde endpoint-agent hebben heel verschillende mogelijkheden, en meestal is slechts één daarvan zichtbaar voor de gebruiker.

Vraag voor een toegestane externe-supportregeling de details schriftelijk op: welke gebruikers geautoriseerd zijn, welke handelingen bedoeld zijn, of er een bevestigingsprompt verschijnt, en hoe de regeling wordt verwijderd wanneer de opdracht eindigt. Geef geen toegang voor alle gebruikers of brede schijf-machtigingen alleen om te testen of de support kan verbinden, want die test verbreedt de grens permanent.

Als je sporen vindt die je niet verwachtte

Een onbekend verbindingslogboek of een ingeschakelde schakelaar is een aanwijzing, geen bewijs van de activiteit van een specifiek persoon. Bewaar de relevante niet-geheime gebeurtenissen, noteer de tijden, en gebruik het incidentproces van de organisatie of het platform in plaats van iemand te confronteren of bewijs te verwijderen in de hoop dat het zichzelf oplost.

Laat op een beheerd apparaat de eigenaar voorgestelde wijzigingen beoordelen voordat je een controle uitschakelt die het beleid vereist. Vraag op een persoonlijk apparaat dat aan een werknetwerk is gekoppeld om een duidelijke inschrijvingsgrens en een ondersteunde uitstapprocedure, inclusief wat wordt verwijderd en wat blijft.

Het nuttige antwoord noemt het mechanisme en de autoriteit erachter. Het belooft nooit onbeperkte toegang van de werkgever of volledige veiligheid dankzij een tunnellabel, en het verwart een route niet met een login.