O rută VPN nu acordă autentificare de la distanță pe Macul tău

Conectarea la un VPN de serviciu nu spune nimic, prin ea însăși, despre dacă cineva se poate autentifica pe Macul tău din altă parte. Trei lucruri separate trebuie să coincidă: o cale de rețea care ajunge la mașină, un serviciu de acces care rulează și permisiunea pentru un anumit cont de a folosi acel serviciu. Tunelul oferă doar primul. Restul acestei pagini se referă la verificarea celorlalte două fără a presupune răspunsul.

Începe cu serviciul sau componenta instalată care ar oferi acces de la distanță și nu mai deduce asta dintr-un indicator de stare conectată din bara de meniu.

Trei controale pe care oamenii le topesc într-unul

Accesibilitatea răspunde dacă pachetele pot ajunge. Un serviciu de partajare răspunde dacă ceva ascultă pe mașină. Autorizarea răspunde ce identități acceptă serviciul și la ce pot ajunge după ce intră. Un VPN poate schimba primul răspuns fără a le atinge pe celelalte două, și exact de aceea întrebarea continuă să producă concluzii greșite în ambele direcții.

Îndrumările Apple despre Remote Login sunt un bun exemplu concret al acestei separări, pentru că se află într-un loc anume și aduc propriile alegeri de cont. Se află sub System Settings, General, Sharing, și descriu accesul SSH și SFTP cu o selecție de utilizatori permiși. Accesul complet la disc pentru utilizatorii de la distanță este din nou o opțiune separată, ceea ce întărește ideea: activarea unui serviciu nu este același lucru cu acordarea fiecărei capacități pe care serviciul ar putea-o oferi.

Verifică ce este de fapt activat

Parcurge panoul Sharing și notează fiecare serviciu pornit, nu doar pe cel la care te așteptai. Remote Login, Partajarea ecranului și Partajarea fișierelor deschid fiecare o altă suprafață, și fiecare are propria listă de utilizatori. O setare pentru SSH nu spune nimic despre partajarea ecranului, iar prezența unei funcții de partajare în sistemul de operare nu spune nimic despre dacă cineva a folosit-o.

Apoi inventariază ce altceva ar putea oferi acces: un agent de suport la distanță de la terți, un instrument de administrare instalat la înrolare sau un server de partajare a ecranului inclus cu altceva. Acestea nu apar în panoul Sharing, și exact acestea sunt componentele pe care oamenii le uită când auditează un laptop. Notează fiecare agent pe care nu îl poți identifica, pentru că un proces necunoscut cu un port în ascultare este mai interesant decât unul cunoscut fără. O listă scurtă de necunoscute este mai bună decât o concluzie încrezătoare construită pe singurul panou pe care l-ai deschis din întâmplare.

Întreabă administratorul ce a instalat înrolarea

Dacă înrolarea de serviciu a inclus un profil de configurare, o aprobare de la un administrator sau software suplimentar, cere persoanei care îl administrează să răspundă la trei lucruri: ce componente au fost instalate, ce permisiuni au și ce rămâne activ după ce te deconectezi. O rută VPN și un agent de punct final privilegiat au capacități foarte diferite, și de obicei doar unul dintre ele este vizibil pentru utilizator.

Pentru o înțelegere de suport la distanță permisă, obține detaliile în scris: ce utilizatori sunt autorizați, ce operațiuni sunt intenționate, dacă apare o solicitare de confirmare și cum este eliminată înțelegerea când misiunea se încheie. Nu acorda acces tuturor utilizatorilor sau permisiuni largi de disc doar ca să testezi dacă suportul se poate conecta, pentru că acel test lărgește definitiv granița.

Dacă găsești dovezi la care nu te așteptai

Un jurnal de conexiuni necunoscut sau un comutator activat este o pistă, nu o dovadă a activității unei persoane anume. Păstrează evenimentele relevante care nu sunt secrete, notează orele și folosește procesul de incidente al organizației sau al platformei în loc să confrunți pe cineva sau să ștergi dovezi în speranța că se rezolvă de la sine.

Pe un dispozitiv administrat, cere proprietarului să revizuiască modificările propuse înainte de a dezactiva un control cerut de politică. Pe un dispozitiv personal conectat la o rețea de serviciu, cere o limită clară de înrolare și o procedură de ieșire acceptată, inclusiv ce se elimină și ce rămâne.

Răspunsul util numește mecanismul și autoritatea din spatele lui. Nu promite niciodată nici acces nelimitat al angajatorului, nici siguranță completă datorită etichetei unui tunel, și nu confundă o rută cu o autentificare.