Ei VPN-rute gir ikkje fjerninnlogging på Macen din

Å kople seg til ein jobb-VPN seier i seg sjølv ingenting om nokon kan logge inn på Macen din frå ein annan stad. Tre separate ting må stemme: ei nettverksrute som når maskinen, ein tilgangsteneste som køyrer, og løyve for ein bestemd konto til å bruke den tenesta. Tunnelen leverer berre den første. Alt anna på denne sida handlar om å granske dei to andre utan å ta svaret for gitt.

Byrj med tenesta eller den installerte komponenten som ville gje fjern tilgang, og slutt å utleie det frå ein indikator for tilkopla status i menylinja.

Tre kontrollar som folk smeltar saman til éin

Tilgjenge svarar på om pakkar kan kome fram. Ei delingsteneste svarar på om noko lyttar på maskinen. Autorisasjon svarar på kva identitetar tenesta godtek, og kva dei kan røre ved når dei først er inne. Ein VPN kan endre det første svaret utan å røre dei to andre, og det er nettopp difor spørsmålet held fram med å gje dårlege konklusjonar i begge retningar.

Rettleiinga til Apple om Remote Login er eit godt konkret døme på denne oppdelinga, fordi ho ligg på ein bestemd stad og ber eigne kontoval. Ho ligg under System Settings, General, Sharing, og skildrar SSH- og SFTP-tilgang med eit utval tillatne brukarar. Full disktilgang for fjernbrukarar er igjen eit eige alternativ, noko som understrekar poenget: å slå på ei teneste er ikkje det same som å gje alle dei moglegheitene tenesta kan tilby.

Sjekk kva som faktisk er slått på

Gå gjennom Sharing-panelet og noter kvar teneste som er slått på, ikkje berre den du venta. Remote Login, Screen Sharing og File Sharing opnar kvar si flate, og kvar har si eiga brukarliste. Ei innstilling for SSH seier ingenting om skjermdeling, og tilstadeveringa av ein delingsfunksjon i operativsystemet seier ingenting om nokon har brukt han.

Lag deretter ei oversikt over kva anna som kan gje tilgang: ein tredjeparts fjernsupportagent, eit administrasjonsverktøy installert under registreringa, eller ein skjermdelingsserver som følgjer med noko anna. Desse syner seg ikkje i Sharing-panelet, og det er nettopp desse komponentane folk gløymer når dei reviderer ein laptop. Skriv ned kvar agent du ikkje kan identifisere, fordi ein ukjend prosess med ein lyttande port er meir interessant enn ein kjend utan. Ei kort liste over ukjende er betre enn ein sjølvsikker konklusjon bygd på det eine panelet du tilfeldigvis opna.

Spør administratoren kva registreringa installerte

Viss jobbregistreringa innebar ein konfigurasjonsprofil, ei godkjenning frå ein administrator eller ekstra programvare, be personen som driv det om å svare på tre ting: kva komponentar som vart installerte, kva løyve dei har, og kva som blir verande aktivt etter at du koplar frå. Ei VPN-rute og ein privilegert endepunktagent har svært ulike evner, og vanlegvis er berre éin av dei synleg for brukaren.

For ei tillaten fjernsupportordning, få detaljane skriftleg: kva brukarar som er autoriserte, kva operasjonar som er meinte, om det syner seg ei stadfestingsmelding, og korleis ordninga blir fjerna når oppdraget er over. Ikkje gje tilgang for alle brukarar eller breie diskrettar berre for å teste om supporten kan kople til, fordi den testen utvidar grensa permanent.

Viss du finn spor du ikkje venta

Ein ukjend tilkoplingslogg eller ein aktivert brytar er eit spor, ikkje prov for aktiviteten til ein bestemd person. Ta vare på dei relevante ikkje-hemmelege hendingane, noter tidspunkta, og bruk hendingsprosessen til organisasjonen eller plattforma i staden for å konfrontere nokon eller slette prov i håp om at det løyser seg sjølv.

På ein administrert eining, la eigaren gå gjennom framlegg til endringar før du deaktiverer ein kontroll som policyen krev. På ei personleg eining som er knytt til eit jobbnettverk, be om ei klar registreringsgrense og ein støtta utmeldingsprosedyre, inkludert kva som blir fjerna og kva som blir att.

Det nyttige svaret nemner mekanismen og myndet bak han. Det lovar aldri korkje ubegrensa tilgang frå arbeidsgjevaren eller full tryggleik på grunn av ein tunneletikett, og det forvekslar ikkje ei rute med ei innlogging.