Mac-VPN-administratorvarsel: installasjon, utvidelse eller regel?

Passordvarsler fra en VPN-klient ser like ut og er det ikke. Fire ulike handlinger skjuler seg bak en lignende dialog: å skrive filer til et beskyttet sted under installasjon, å legge til eller endre en nettverkskonfigurasjon, å aktivere en systemutvidelse som bærer trafikk, og å følge en regel som en administrasjonsserver allerede har satt. Hver har en annen eier, en annen påvirkningsradius og en annen måte å bekrefte at den virket. Å matche meldingen du ser mot en av de fire er hele øvelsen.

Tre ulike godkjenninger ser like ut

Installatørgodkjenning er det enkleste tilfellet: en pakke skriver til mapper en vanlig bruker ikke kan endre, og macOS spør om administratorlegitimasjon for å tillate det. Systemet avgjør ikke om programvaren er trygg; det avgjør om du har lov til å skrive der. Det er også grunnen til at en pakke kan installeres rent og likevel være ubrukelig: installasjonsgodkjenning sier ingenting om koden får kjøre etterpå. Når den er installert, kan appen fortsatt trenge en andre godkjenning før den kan påvirke nettverket.

Godkjenning av nettverkskonfigurasjon dekker endringer i systemets tilkoblingsliste. Å legge til en VPN-tjeneste, eller endre innstillinger en nettverksadministrator konfigurerte, krever forhøyelse fordi disse definisjonene påvirker hver konto på maskinen. Denne godkjenningen gir konfigurasjonsmyndighet, ikke trafikkmyndighet.

Utvidelsesgodkjenning er den som betyr noe for hvordan pakker reiser. En moderne klient installerer en systemutvidelse som macOS laster inn i systemet, og macOS krever en uttrykkelig avgjørelse i Personvern og sikkerhet eller i Innloggingselementer og utvidelser før den aktiveres. Et fjerde tilfelle er en administrert Mac, der en regel allerede forhåndsgodkjenner utvidelsen og brukeren ikke ser noen dialog i det hele tatt.

Hva hver godkjenning faktisk endrer

En installatør endrer filer på disken, og konsekvensene tar slutt når filene fjernes, bortsett fra rester. En nettverkskonfigurasjon legger til en tjenestedefinisjon som vises i tilkoblingslisten og kan reaktiveres av regler på forespørsel. Godkjenning av en utvidelse endrer hvilken kode systemet vil laste og holde kjørende, og derfor overlever den å avinstallere den visuelle appen i noen arbeidsflyter. Å fjerne en apppakke fjerner ikke alltid utvidelsen, og en utvidelse som blir liggende beholder nettverksprivilegiene sine.

Forskjellen forutsier symptomet. Installert men aldri tilkoblet betyr vanligvis at utvidelsen ikke er godkjent noe sted; tilkoblet men med innstillinger som går tilbake ved neste endring betyr vanligvis at en administrasjonsregel eier definisjonen.

Signatur og utgiver avgjør svaret

Før du godkjenner, les hvem som signerte tingen i stedet for hva dialogikonet antyder. To lokale sjekker er nok til å se signeringsmyndigheten og om systemets vurdering passerer på denne maskinen.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

En usignert eller unotarisert pakke er ikke automatisk ondsinnet, men den fortjener en annen avgjørelse enn en signert fra utgiveren du mente. En pakke som kom via en melding i stedet for fra utgis eget nettsted, er tilfellet der svaret rett og slett er nei.

Sammenlign teamidentifikatoren med utgiverens publiserte identitet i stedet for å stole på appens visningsnavn, siden navn er enkle å gjenbruke og identifikatorer ikke. Hvis utgiveren publiserer identifikatoren i installasjonsveiledningen, er den siden referansen for sammenligningen og også stedet der en avvik bør rapporteres. En klient fra en forhandler, en ompakket bygg eller en portabel kopi fra et forum fortjener mer mistanke enn samme utviders signerte nedlasting.

Når en regel eier avgjørelsen

På en bedrifts-Mac kan administratoren allerede ha bestemt. En administrasjonsprofil kan levere VPN-definisjonen, forhåndsgodkjenne utvidelsen og låse tilkoblingen slik at den ikke kan fjernes. I et slikt oppsett er forespørselen om å skrive inn et passord ofte en forespørsel om å overstyre en avgjørelse som aldri var din.

Å senke oppstartsikkerheten eller koble fra administrasjon for å tvinge gjennom en installasjon endrer maskinens trusselmodell permanent for å løse et midlertidig problem. Den byttehandelen gjøres sjelden bevisst; den skjer vanligvis mens man følger et foruminnlegg. Spør administratoren om den støttede veien i stedet, som kan være så enkel som å sende profilen på nytt eller godkjenne utvidelsen på serversiden. Hvis administratoren ikke kan godkjenne den, er det svaret funnet, ikke en hindring å gå rundt.

Bekreft tilstanden etter godkjenning

Når en autorisert godkjenning er gitt, verifiser hva systemet mener i stedet for hva klienten hevder. Utvidelseslisten rapporterer aktiveringsstatus uten behov for noe tredjepartsverktøy.

systemextensionsctl list

En oppføring som vises som aktivert tilhører teamidentifikatoren du sjekket tidligere; en oppføring som vises som avsluttet og venter på brukergodkjenning forklarer en klient som starter og aldri bærer trafikk. Hvis varslet kommer tilbake etter hvert forsøk, ta vare på den nøyaktige meldingen og klientversjonen, fordi en gjentatt godkjenning vanligvis betyr at utvidelsen erstattes uten at den forrige deaktiveres, og det er en støttesak, ikke et passordproblem. Noter versjonen før du ringer støtte, siden rettelsen kan finnes allerede i en nyere bygg og samtalen vil starte der.