VPN-machtigingsmeldingen op de Mac: welke keurt u goed?
Toestemming voor netwerkconfiguratie, toegang tot de sleutelhanger, de firewall en volledige schijftoegang zijn vier verschillende machtigingen. Keur degene goed met een gedocumenteerd doel.
Je VPN-client vraagt om toestemming en je klikt op Sta toe, omdat het alternatief een verbinding is die niet opkomt. Die gewoonte is hoe een machine brede machtigingen krijgt die niemand kan uitleggen. De meldingen zijn niet uitwisselbaar: elk keurt een andere mogelijkheid goed, en dezelfde applicatienaam kan voor alle ervoor verschijnen. Lees de zin onder het pictogram voordat je beslist.
De vier machtigingen achter de gebruikelijke meldingen
Een VPN-configuratie opslaan is de eerste. Op macOS heeft een app die de native Personal VPN API gebruikt bij het eerste opslaan van een configuratie expliciete toestemming nodig, daarom verschijnt de dialoog bij de installatie en niet bij het verbinden. Weigeren laat de client geïnstalleerd maar niet in staat het profiel op te slaan, en dat is een herstelbare toestand.
De sleutelhanger is de tweede. Een opgeslagen wachtwoord voor een bepaald item ophalen is een andere beslissing dan de server vertrouwen die het zal ontvangen. De firewall is de derde, en de app-besturing ervan regelt inkomende verbindingen, niet via welke interface je verkeer vertrekt. Volledige schijftoegang is de vierde, en dat is degene die om de verkeerde redenen wordt gegeven.
| Prompt | What you are approving | What it does not prove |
|---|---|---|
| Save a VPN configuration | The configuration operation itself | That the gateway is legitimate or that the account works |
| Access a Keychain item | This component reading this credential | Trust in the server or access for other apps |
| Allow incoming connections | Traffic reaching the app from the network | That outgoing traffic uses the tunnel |
| Full Disk Access | Broad access to protected data | Anything about VPN configuration or login |
Volledige schijftoegang is nooit een VPN-oplossing
Apples privacyreferentie beschrijft volledige schijftoegang als brede toegang die gegevens van andere apps, back-ups en bepaalde beheersinstellingen omvat. Files & Folders is de smallere, op locatie gebaseerde controle die de meeste legitieme bestandsbehoeften dekt.
Sommige beveiligingsproducten documenteren wel een functie die brede toegang vereist, en als ze dat doen, moet de aanvraag het onderdeel en de release noemen. Wat je niet moet accepteren, is een dialoog voor netwerkconfiguratie die met een schijfmachtiging wordt beantwoord omdat de eerste dialoog bleef terugkomen.
Die twee machtigingen hebben niets met elkaar te maken. De ene geven om de andere het zwijgen op te leggen laat je achter met meer verleende toegang en hetzelfde onopgeloste probleem.
Draaiboek: omgaan met een melding die je niet verwachtte
Begin met het vastleggen van de exacte formulering en de naam van het onderdeel, en maak een schermafbeelding in plaats van een parafrase. De formulering verandert tussen releases, en juist de exacte zin is wat een leverancier of beheerder herkent. Een schermafbeelding beslecht ook discussies over wat de dialoog werkelijk zei.
Stel vervolgens vast wat er vraagt. Controleer de versie van de app en wie hem ondertekende, en bevestig dat het de client is waarvan je denkt dat die is geïnstalleerd, en niet een helper, een updater of een restant van een product dat je hebt verwijderd.
Beslis aan de hand van één vraag: heeft dit onderdeel in deze versie een gedocumenteerde behoefte aan deze mogelijkheid? Als de documentatie van de leverancier dat niet zegt, weiger de melding en zoek uit waarom die verscheen, want een onverklaarde aanvraag is informatie en geen obstakel.
Als je hebt beslist, herhaal dan één gewone verbindingspoging en noteer of er iets veranderde. Een machtiging die midden in een niet-verwant probleem is gegeven, is later moeilijk te beoordelen, en daarom is de volgorde net zo belangrijk als het antwoord.
Waarom dezelfde melding terug blijft komen
Een herhaalde autorisatie betekent meestal dat de beslissing niet wordt opgeslagen waar het onderdeel die verwacht, dat het item opnieuw is aangemaakt door een herinstallatie, of dat een beheerbeleid het reset. Noteer wanneer die verschijnt: bij het starten, bij het verbinden, bij het verbreken of na een herstart. Die timing vernauwt de oorzaak sneller dan welk log dan ook dat je daarna leest.
Op een beheerde Mac kan het effectieve antwoord uit een configuratieprofiel komen in plaats van uit je klik, en in dat geval lost opnieuw op Sta toe klikken niets op. Vraag de beheerder welk beleid dat onderdeel bestuurt voordat je op dezelfde knop blijft drukken.
Als de melding betrouwbaar een specifieke handeling volgt, is dat een bruikbaar bugrapport. Als die willekeurig verschijnt, leg dan een dag lang tijdstempels vast en zoek naar een patroon in wat de machine verder deed.
Laat een vastlegging achter die iemand anders kan gebruiken
Schrijf het onderdeel, de mogelijkheid, de reden en de datum op, op dezelfde plek waar je de rest van de configuratie bewaart. Je toekomstige ik zal niet onthouden welke dialoog waarvoor is goedgekeurd. Eén regel per machtiging is genoeg; een inventaris die niemand bijhoudt is erger dan geen.
De toets van een goede beslissing is hier eenvoudig: kun je uitleggen waarom deze machtiging bestaat zonder de app te openen? Zo niet, dan is het een kandidaat voor herziening, en Apples referentie voor privacy- en beveiligingsinstellingen is de plek om te beginnen lezen wat elk ervan werkelijk dekt.