Usar um computador público com VPN: o que verificar primeiro
Um túnel protege o caminho, não a máquina em cada extremo. Decida quem controla o host, o que fica no disco e como revogar o acesso antes de iniciar sessão.
Máquina emprestada, tarefa urgente e um cliente VPN que promete cifrar tudo: a sequência parece segura e não é. Um túnel protege o caminho entre dois extremos, e o extremo à sua frente é a parte que não pode verificar. Os três passos abaixo decidem se o dispositivo é utilizável, como manter as credenciais longe dele e o que fazer depois para que uma sessão temporária não se torne uma cópia permanente.
O túnel começa depois de o host já ter visto os dados
A cifragem ocorre no cliente VPN, que corre como um programa na máquina. Tudo o que está acima desse programa, incluindo o navegador, o sistema operativo e qualquer extensão ou controlador com acesso suficiente, trata os seus dados antes de serem cifrados. Não é um defeito do protocolo; é o local onde o protocolo se situa.
Verificar o endereço de saída, por isso, não prova quase nada sobre o host. Uma máquina pode encaminhar todo o tráfego por uma saída limpa e ainda assim registar cada pressão de tecla, e os dois factos não estão em tensão.
A formulação útil é perguntar o que o host pode observar em vez do que a rede pode. Numa máquina administrada por outra pessoa, esse conjunto é maior do que pode enumerar.
Passo um: estabelecer quem controla o dispositivo
O controlo é uma questão de direitos administrativos e acesso físico, não de cortesia. Se outra pessoa pode instalar software, carregar um controlador, ligar um dispositivo ou restaurar uma imagem, o comportamento da máquina não é algo que possa estabelecer olhando para ela. A administração é uma capacidade, e as capacidades não aparecem numa captura de ecrã. Pergunte à pessoa que lhe entregou a máquina.
Procure os sinais comuns e trate cada um como evidência sobre o controlo e não como prova de segurança. Nenhum deles é decisivo por si só.
- Uma conta de convidado ou de quiosque que não pode instalar software é um ponto de partida melhor do que uma conta de administrador que alguém lhe entregou.
- Um dispositivo gerido com proprietário conhecido e contacto de suporte é melhor do que um terminal sem vigilância, mesmo quando o terminal parece mais limpo.
- Uma máquina em que não consegue determinar quem iniciou sessão por último é uma máquina cujo estado não consegue descrever.
Nenhuma destas verificações torna um host partilhado fidedigno. Dizem-lhe se o risco está suficientemente limitado para continuar com uma tarefa limitada, o que é uma pergunta diferente e mais honesta. Registe a resposta antes de continuar.
Passo dois: manter as credenciais fora do host
Um perfil ativo não é um marcador. Um perfil OpenVPN pode conter certificados incorporados e uma chave privada, e importá-lo escreve esse material num dispositivo que não é seu. O mesmo se aplica a uma sessão de navegador que guarda um cookie e a qualquer gestor de palavras-passe que coloque um cofre em cache localmente.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Prefira o acesso menos persistente que o serviço suporta. Um portal web que autentica por sessão e exige um segundo fator deixa menos rasto do que um cliente de ambiente de trabalho com um perfil guardado, e uma sessão que termina ao fechar o navegador é melhor do que uma que sobrevive a um reinício.
Depois verifique o que a máquina guarda. Num host Linux partilhado, a localização do perfil é fácil de inspecionar, e no Windows a pesquisa equivalente custa um comando. Encontrar o perfil de um utilizador anterior é um lembrete útil de que o seu seria tratado da mesma forma.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinuePasso três: terminar o acesso a partir de um local de confiança
Limpar localmente vale a pena e não é suficiente. Termine a sessão do serviço, feche o navegador, remova qualquer ficheiro transferido e depois faça o passo que realmente importa: revogue a sessão ou a credencial a partir de um dispositivo que controla.
É precisamente esta última ação que as pessoas saltam, porque o ecrã local parece limpo. Um token de sessão copiado por software no host continua a funcionar depois de sair, e não se importa que o navegador tenha sido fechado. A revogação é o único passo que assume que o host pode ter sido hostil. É também o único que continua a funcionar se tiver sido.
Se uma chave privada ou um segredo de recuperação tocou na máquina, trate-o como exposto e rode-o em vez de inspecionar cópias. Para uma conta que usou um segundo fator, reveja também os dispositivos e sessões listados pelo fornecedor, porque um token emitido durante a sua visita pode ainda estar ativo.
Registe o resultado enquanto está fresco: que dispositivo, que conta, o que foi instalado, o que foi revogado e quando. Essa nota é o que permite à pessoa seguinte responder à única pergunta que importa depois: se algo ainda tem acesso.
Um dispositivo sob controlo privado continua a precisar de manutenção, e dá-lhe uma base para gerir o extremo que um terminal emprestado nunca dará. O túnel era a parte fácil.