Åtvaring om filtrert eller overvaka Mac-VPN: kva ho tillèt

Dette varselet er ei løyve, ikkje ein diagnose. Når macOS seier at ein konfigurasjon vil filtrere eller overvake trafikken, fortel det deg at ein komponent du har godkjent, ser ruta han dekkjer, og spør om det er akseptabelt. Dialogen kan ikkje fortelje deg kven som driv komponenten, kva han registrerer, eller om han dekrypterer noko. Svara ligg i profilen, utvidinglista og sertifikata på maskina, så start der i staden for å lese setninga på nytt.

Les varselet som eit spørsmål om omfang

Kvart aktiveringsvarsel peikar på to ting utan å namngje dei tydeleg: utvidinga som skal handsame trafikken og konfigurasjonen som leier trafikken inn i henne. På dagens macOS er desse komponentane NetworkExtension-systemutvidingar, og installasjon eller aktivering av éin krev godkjenning i Systeminnstillingar. Formuleringa er framleis brei fordi operativsystemet ikkje kan vite om den som godkjenner, er ei IT-avdeling, ein abonnements-VPN eller ein filtreringsagent som følgjer med noko anna.

Derfor dekkjer same tekst tre ulike oppsett. Ein administrert Mac får ein profil frå einingsstyring, ein personleg Mac får ein konfigurasjon frå ein app du har installert, og eit tryggingsprodukt kan installere eit filter som aldri presenterer seg som ein VPN. Ingen av desse etikettene avgjer føremålet. Dei seier berre kva part du skal spørje først.

To kommandoar skil desse tilfella raskt. Den første listar installerte systemutvidingar og om kvar einskild er aktiv, og den andre listar konfigurasjonsprofilar med innhaldet og organisasjonen som signerte.

systemextensionsctl list
profiles show -type configuration

Skil ein tunnel frå eit filter

Ein pakketunnel gir Macen ei rute og ber alt rutetabellen sender inn i henne. Eit innhaldsfilter sit på flytnivå, ser kvar tilkopling og kan tillate, blokkere eller omdirigere henne. Eit produkt kan levere begge samtidig, og varselet endrar seg ikkje når det gjer det. Skilnaden betyr noko fordi prova du kan samle inn, og feila du vil sjå, er ulike.

Kontroller utvidingskategorien framfor marknadsføringsnamnet. Ein tunnel blir vanlegvis vist som ein VPN-konfigurasjon og som ei nettverksutviding, medan eit filter kanskje ikkje har noka VPN-teneste i det heile. Viss produktet tilbyr begge modusane, vel den aktive konfigurasjonen éin, og byte av modus kan endre det dekte utan å endre leverandøren.

Lista over VPN-tenester er den raskaste måten å sjå om det finst ein tunnel. Eit filter som ikkje er ein VPN, blir ikkje vist der, og det er i seg sjølv nyttig informasjon.

scutil --nc list

Eit tilkopla-merke er ikkje prov på dekning. Appar kan utelukkast med reglar per app, og trafikk til lokale nettverk går ofte utanom tunnelen ved design. Når éin applikasjon oppfører seg som om han ikkje blir overvaka, mistenk ei rute eller ei utelukking før du legg til grunn at overvakaren er øydelagd.

Kva operatøren lærer utan å lese innhaldet

Metadata er ikkje ein trøystepremie. Adresser, portar, DNS-namn, tilkoplingstider, byttetal og identiteten som vart autentisert, er synlege for komponenten på ruta. Gjentatte besøk på éin vert til same time byggjer ein rutine, og ein rutine kan seie meir enn éi enkelt side.

Det er det ærlege svaret på det vanlege spørsmålet. Operatøren kan sjå kvar og når, sjølv når innhaldet blir forsegla.

Synlegheit av innhald krev ei andre, kraftigare endring. Ein korrekt validert HTTPS-økt blir verande ugjennomsiktig for ein tunnel eller eit flytfilter, og det same gjer lokale filer og trafikk som aldri kjem inn på den dekte ruta. Å lese sideinnhald krev ein sertifikatstyresmakt Macen allereie stolar på, altså eit avlyttingssertifikat installert med si eiga godkjenning. Dette trinnet flyttar grensa frå metadata til innhald og fortener eiga vurdering.

Omfanget stoppar òg ved eininga. Ein tunnel på éin berbar PC dekkjer ikkje ein telefon, eit nettbrett eller maskina til ein annan person på same Wi-Fi, og ein bedriftsklient kan ikkje kartleggje dei andre gjestene på kafeen. Einingsstyringsprogramvare kan samle inn meir enn tunnelen avdekkjer, men det er ein separat kontroll med ein annan policyeigar.

Inspiser sertifikatlageret før du får panikk

Ei godkjend rot er skilnaden mellom å sjå trafikk og å lese han. Inspiser systemnøkkelringen for styresmakter du ikkje kjenner att, og noter dei som dukka opp kring tidspunktet for varselet. Ein administrert Mac kan legitimt bere ei inspeksjonsrot som arbeidsgivaren har sendt ut, og då høyrer samtalen til administratoren. Ein personleg Mac som har fått éi ved eit uhell, har eit funn som er verdt å handle på. Noter det vanlege namnet, utgivaren og datoen for tilføyinga slik at spørsmålet kan svarast på seinare.

Samanlikn lista med det einingsstyringa rapporterer. Viss profillista og sertifikatlista er usamde, er det sertifikatlista som avgjer kva Macen vil godta.

To kommandoar dekkjer det meste av kontrollen. Den første skriv ut konfigurasjonsprofilar; den andre skriv ut sertifikat i systemnøkkelringen som administratoren styrer, der ei tilføydd rot vanlegvis hamnar.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Apples standardrøter ligg i ein eigen nøkkelring og er ikkje bekymringa her. Eit tomt resultat frå den andre kommandoen er vanleg på ein personleg Mac. Eit fylt resultat fortener ein gjennomlesing emne for emne før du avviser det.

Avgjer, og skriv så ned kvifor

Godkjenning er rimeleg når du kan namngje operatøren, komponenten og grunnen, og når førespurnaden svarar til eit val du eller organisasjonen din har teke. Undersøking er rett svar når varselet kjem utan kontekst, særleg etter ei nettverksendring eller ein urelatert installasjon. Kople frå først, fang opp profilidentifikatoren og utvidinga, og avgjer deretter. Fjerning er ein tredje veg, og han gjenopprettar tidlegare ruting utan å røre kontoen.

Handsam samtykke og fjerning som separate avgjerder tekne på ulike tidspunkt. Å godkjenne eit filter i dag forpliktar deg ikkje til å behalde det, og fjerning av ein profil slettar ikkje oppteikningane til tenaren over kva som vart observert medan han var aktiv.

Viss varselet følgde ein oppdatering av programvare du allereie køyrer, les utgivingsnotata for den versjonen før du klikkar. Leverandørar endrar faktisk utvidingsarkitekturen mellom utgivingar, og eit nytt filter kan kome med ein rutineoppdatering. Viss varselet følgde ei tilkopling til eit nytt nettverk, handsam tidspunktet som prov og inspiser kva som endra seg.

Hald ei kort oversikt: profilnamn, utvidingsidentifikator, operatør, fingeravtrykket til sertifikatet viss eitt vart lagt til, og datoen. Neste person kan starte frå den tidslinja i staden for frå ordlyden i ein dialog.