VPN-tillatelsesvinduer på Mac: hvilken godkjenner du?
Samtykke til nettverkskonfigurasjon, tilgang til nøkkelringen, brannmuren og full diskadgang er fire forskjellige tillatelser. Godkjenn den som har et dokumentert formål.
VPN-klienten din ber om tillatelse, og du trykker Tillat, fordi alternativet er en tilkobling som ikke kommer opp. Den vanen er grunnen til at en maskin ender med brede tillatelser som ingen kan forklare. Vinduene kan ikke byttes om: hver godkjenner en annen egenskap, og samme applikasjonsnavn kan dukke opp foran alle. Les setningen under ikonet før du bestemmer deg.
De fire tillatelsene bak de vanlige vinduene
Å lagre en VPN-konfigurasjon er den første. På macOS trenger en app som bruker den innebygde Personal VPN API eksplisitt godkjenning første gang den lagrer en konfigurasjon, og derfor vises dialogen ved installasjon og ikke ved tilkobling. Å avslå lar klienten være installert, men ute av stand til å lagre profilen, og det er en tilstand som kan rettes opp.
Nøkkelringen er den andre. Å hente et lagret passord for et bestemt element er en annen beslutning enn å stole på serveren som skal motta det. Brannmuren er den tredje, og app-kontrollene dens styrer innkommende tilkoblinger, ikke hvilket grensesnitt trafikken din går ut gjennom. Full diskadgang er den fjerde, og det er den som gis av feil grunner.
| Prompt | What you are approving | What it does not prove |
|---|---|---|
| Save a VPN configuration | The configuration operation itself | That the gateway is legitimate or that the account works |
| Access a Keychain item | This component reading this credential | Trust in the server or access for other apps |
| Allow incoming connections | Traffic reaching the app from the network | That outgoing traffic uses the tunnel |
| Full Disk Access | Broad access to protected data | Anything about VPN configuration or login |
Full diskadgang er aldri en VPN-reparasjon
Apples personvernreferanse beskriver full diskadgang som bred tilgang som omfatter andre appers data, sikkerhetskopier og visse administrative innstillinger. Files & Folders er den smalere, stedsbaserte kontrollen som dekker de fleste legitime filbehov.
Noen sikkerhetsprodukter dokumenterer faktisk en funksjon som trenger bred tilgang, og når de gjør det, bør forespørselen navngi komponenten og versjonen. Det du ikke bør godta, er en nettverkskonfigurasjonsdialog som besvares med en disktillatelse fordi den første dialogen stadig kom tilbake.
Disse to tillatelsene har ingenting med hverandre å gjøre. Å gi den ene for å stilne den andre lar deg sitte igjen med mer tilgang utdelt og det samme uløste problemet.
Runbook: håndter et vindu du ikke forventet
Begynn med å fange den nøyaktige ordlyden og komponentnavnet, og ta et skjermbilde i stedet for en parafrase. Ordlyden endres mellom versjoner, og den nøyaktige setningen er det en leverandør eller administrator vil kjenne igjen. Et skjermbilde avgjør også diskusjoner om hva dialogen faktisk sa.
Finn så ut hva som spør. Sjekk versjonen til appen og hvem som signerte den, og bekreft at det er klienten du tror er installert, og ikke en hjelper, en oppdaterer eller en rest etter et produkt du har fjernet.
Bestem ut fra ett spørsmål: har denne komponenten et dokumentert behov for denne egenskapen i denne versjonen? Hvis leverandørens dokumentasjon ikke sier det, avvis vinduet og finn ut hvorfor det dukket opp, fordi en uforklart forespørsel er informasjon og ikke en hindring.
Når du har bestemt deg, gjenta ett vanlig tilkoblingsforsøk og noter om noe endret seg. En tillatelse gitt midt i et urelatert problem er vanskelig å vurdere senere, og derfor betyr rekkefølgen like mye som svaret.
Hvorfor det samme vinduet kommer tilbake
En gjentatt autorisasjon betyr vanligvis at beslutningen ikke lagres der komponenten forventer det, at elementet ble gjenskapt av en reinstallasjon, eller at en administrasjonspolicy nullstiller det. Noter når det vises: ved oppstart, ved tilkobling, ved frakobling eller etter en omstart. Den timingen avgrenser årsaken raskere enn noen logg du leser etterpå.
På en administrert Mac kan det effektive svaret komme fra en konfigurasjonsprofil i stedet for fra klikket ditt, og i så fall løser det ingenting å trykke Tillat igjen. Spør administratoren hvilken policy som styrer den komponenten før du fortsetter å trykke på den samme knappen.
Hvis vinduet pålitelig følger en bestemt handling, er det en brukbar feilrapport. Hvis det vises tilfeldig, registrer tidsstempler i en dag og se etter et mønster i hva maskinen ellers gjorde.
Legg igjen en registrering som andre kan bruke
Skriv ned komponenten, egenskapen, årsaken og datoen på samme sted som du oppbevarer resten av konfigurasjonen. Ditt framtidige jeg vil ikke huske hvilken dialog som ble godkjent for hva. Én linje per tillatelse er nok; et inventar som ingen vedlikeholder er verre enn ingen.
Testen på en god beslutning er enkel her: kan du forklare hvorfor denne tillatelsen finnes uten å åpne appen? Hvis ikke, er den en kandidat for gjennomgang, og Apples referanse for personvern- og sikkerhetsinnstillinger er stedet å begynne å lese hva hver av dem faktisk dekker.