En VPN-rute gir ikke fjerninnlogging på Macen din

Å koble seg til en jobb-VPN sier i seg selv ingenting om hvorvidt noen kan logge inn på Macen din fra et annet sted. Tre separate ting må stemme: en nettverksrute som når maskinen, en tilgangstjeneste som kjører, og tillatelse for en bestemt konto til å bruke den tjenesten. Tunnelen leverer bare den første. Alt annet på denne siden handler om å undersøke de to andre uten å ta svaret for gitt.

Begynn med tjenesten eller den installerte komponenten som ville gitt fjern tilgang, og slutt å utlede det fra en indikator for tilkoblet status i menylinjen.

Tre kontroller som folk smelter sammen til én

Tilgjengelighet svarer på om pakker kan komme fram. En delingstjeneste svarer på om noe lytter på maskinen. Autorisasjon svarer på hvilke identiteter tjenesten godtar, og hva de kan røre ved når de først er inne. En VPN kan endre det første svaret uten å røre de to andre, og det er nettopp derfor spørsmålet fortsetter å gi dårlige konklusjoner i begge retninger.

Apples veiledning om Remote Login er et godt konkret eksempel på denne oppdelingen, fordi den ligger på et bestemt sted og bærer egne kontovalg. Den ligger under System Settings, General, Sharing, og beskriver SSH- og SFTP-tilgang med et utvalg tillatte brukere. Full disk-tilgang for fjernbrukere er igjen et eget alternativ, noe som understreker poenget: å slå på en tjeneste er ikke det samme som å gi alle de mulighetene tjenesten kan tilby.

Sjekk hva som faktisk er slått på

Gå gjennom Sharing-panelet og noter hver tjeneste som er slått på, ikke bare den du forventet. Remote Login, Screen Sharing og File Sharing åpner hver sin flate, og hver har sin egen brukerliste. En innstilling for SSH sier ingenting om skjermdeling, og tilstedeværelsen av en delingsfunksjon i operativsystemet sier ingenting om hvorvidt noen har brukt den.

Lag deretter en oversikt over hva annet som kan gi tilgang: en tredjeparts fjernsupportagent, et administrasjonsverktøy installert under registreringen, eller en skjermdelingsserver som følger med noe annet. Disse vises ikke i Sharing-panelet, og det er nettopp disse komponentene folk glemmer når de reviderer en laptop. Skriv ned hver agent du ikke kan identifisere, fordi en ukjent prosess med en lyttende port er mer interessant enn en kjent uten. En kort liste over ukjente er bedre enn en selvsikker konklusjon bygget på det ene panelet du tilfeldigvis åpnet.

Spør administratoren hva registreringen installerte

Hvis jobbregistreringen innebar en konfigurasjonsprofil, en godkjenning fra en administrator eller ekstra programvare, be personen som driver det om å svare på tre ting: hvilke komponenter som ble installert, hvilke tillatelser de har, og hva som forblir aktivt etter at du kobler fra. En VPN-rute og en privilegert endepunktagent har svært forskjellige evner, og vanligvis er bare én av dem synlig for brukeren.

For en tillatt fjernsupportordning, få detaljene skriftlig: hvilke brukere som er autorisert, hvilke operasjoner som er ment, om det vises en bekreftelsesmelding, og hvordan ordningen fjernes når oppdraget er over. Ikke gi tilgang for alle brukere eller brede diskrettigheter bare for å teste om supporten kan koble til, fordi den testen utvider grensen permanent.

Hvis du finner spor du ikke forventet

En ukjent tilkoblingslogg eller en aktivert bryter er et spor, ikke bevis for en bestemt persons aktivitet. Ta vare på de relevante ikke-hemmelige hendelsene, noter tidspunktene, og bruk organisasjonens eller plattformens hendelsesprosess i stedet for å konfrontere noen eller slette bevis i håp om at det løser seg selv.

På en administrert enhet, la eieren gå gjennom foreslåtte endringer før du deaktiverer en kontroll som policyen krever. På en personlig enhet som er knyttet til et jobbnettverk, be om en klar registreringsgrense og en støttet utmeldingsprosedyre, inkludert hva som fjernes og hva som blir igjen.

Det nyttige svaret navngir mekanismen og myndigheten bak den. Det lover aldri verken ubegrenset arbeidsgivertilgang eller full sikkerhet på grunn av en tunneletikett, og det forveksler ikke en rute med en innlogging.