Aviso de administrador da VPN no Mac: instalação, extensão ou política?

Os avisos de palavra-passe de um cliente VPN parecem iguais e não são. Quatro ações distintas escondem-se atrás de uma caixa de diálogo semelhante: escrever ficheiros num local protegido durante a instalação, acrescentar ou alterar uma configuração de rede, ativar uma extensão de sistema que transporta tráfego, e cumprir uma política que um servidor de gestão já definiu. Cada uma tem um proprietário diferente, um raio de impacto diferente e uma forma diferente de verificar se funcionou. Fazer corresponder a mensagem que vê a uma dessas quatro é todo o exercício.

Três aprovações diferentes parecem iguais

A autorização do instalador é o caso mais simples: um pacote escreve em diretorias que um utilizador comum não pode alterar, e o macOS pede credenciais de administrador para o permitir. O sistema não está a decidir se o software é seguro; está a decidir se pode escrever ali. É também por isso que um pacote pode instalar-se sem problemas e continuar inútil: a aprovação da instalação não diz nada sobre se o código será autorizado a executar depois. Depois de instalada, a aplicação pode ainda precisar de uma segunda aprovação antes de influenciar a rede.

A autorização da configuração de rede abrange alterações à lista de ligações do sistema. Acrescentar um serviço VPN, ou alterar definições configuradas por um administrador de rede, exige elevação porque essas definições afetam todas as contas da máquina. Esta aprovação concede autoridade de configuração, não autoridade de tráfego.

A aprovação de extensão é a que importa para a forma como os pacotes viajam. Um cliente moderno instala uma extensão de sistema que o macOS carrega no sistema, e o macOS exige uma decisão explícita em Privacidade e Segurança ou em Itens de Início de Sessão e Extensões antes de a ativar. Um quarto caso é um Mac gerido, onde uma política já aprova a extensão antecipadamente e o utilizador não vê qualquer caixa de diálogo.

O que cada aprovação altera realmente

Um instalador altera ficheiros no disco, e as suas consequências terminam quando os ficheiros são removidos, exceto os resíduos. Uma configuração de rede acrescenta uma definição de serviço que aparece na lista de ligações e pode ser reativada por regras a pedido. A aprovação de uma extensão altera que código o sistema vai carregar e manter em execução, e por isso sobrevive à desinstalação da aplicação visual em alguns fluxos de trabalho. Remover um pacote de aplicação nem sempre remove a sua extensão, e uma extensão deixada para trás mantém os seus privilégios de rede.

A distinção prevê o sintoma. Instalado mas nunca ligado significa normalmente que a extensão não está aprovada em lado nenhum; liga-se mas com definições que voltam atrás na alteração seguinte significa normalmente que uma política de gestão é dona da definição.

A assinatura e o editor decidem a resposta

Antes de aprovar, leia quem assinou a coisa em vez do que o ícone da caixa de diálogo sugere. Duas verificações locais bastam para ver a autoridade de assinatura e se a avaliação do sistema passa nesta máquina.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Um pacote não assinado ou não notarizado não é automaticamente malicioso, mas merece uma decisão diferente de um pacote assinado pelo editor que pretendia. Um pacote que chegou por mensagem em vez do sítio do próprio editor é o caso em que a resposta é simplesmente não.

Compare o identificador de equipa com a identidade publicada pelo editor em vez de confiar no nome apresentado da aplicação, porque os nomes são fáceis de reutilizar e os identificadores não. Se o editor publica o identificador no seu guia de instalação, essa página é a referência para a comparação e também o local onde uma discrepância deve ser comunicada. Um cliente de um revendedor, uma compilação reempacotada ou uma cópia portátil de um fórum merece mais suspeita do que a transferência assinada do mesmo editor.

Quando uma política é dona da decisão

Num Mac empresarial o administrador pode já ter decidido. Um perfil de gestão pode entregar a definição VPN, aprovar a extensão antecipadamente e bloquear a ligação para que não possa ser removida. Nesse arranjo o pedido para introduzir uma palavra-passe é muitas vezes um pedido para anular uma decisão que nunca foi sua.

Baixar a segurança de arranque ou desligar a gestão para forçar uma instalação altera permanentemente o modelo de ameaça da máquina para resolver um problema temporário. Essa troca raramente é feita de forma consciente; acontece normalmente ao seguir uma publicação de um fórum. Peça ao administrador o caminho suportado em vez disso, que pode ser tão simples como reenviar o perfil ou aprovar a extensão do lado do servidor. Se o administrador não a puder aprovar, essa resposta é o resultado, não um obstáculo a contornar.

Confirme o estado após a aprovação

Depois de dada uma aprovação autorizada, verifique o que o sistema pensa em vez do que o cliente afirma. A lista de extensões relata o estado de ativação sem precisar de qualquer ferramenta de terceiros.

systemextensionsctl list

Uma entrada mostrada como ativada pertence ao identificador de equipa que verificou antes; uma entrada mostrada como terminada à espera de aprovação do utilizador explica um cliente que arranca e nunca transporta tráfego. Se o aviso voltar após cada tentativa, registe a mensagem exata e a versão do cliente, porque uma aprovação repetida normalmente significa que a extensão está a ser substituída sem que a anterior seja desativada, e isso é um caso de suporte e não um problema de palavra-passe. Anote a versão antes de contactar o suporte, porque a correção pode já existir numa compilação mais recente e a conversa começará por aí.