Folosirea unui calculator public cu VPN: ce trebuie verificat mai întâi
Un tunel protejează traseul, nu calculatorul de la niciun capăt. Decideți cine controlează gazda, ce rămâne pe disc și cum revocați accesul înainte de autentificare.
Calculator împrumutat, sarcină urgentă și un client VPN care promite să cripteze tot: succesiunea pare sigură și nu este. Un tunel protejează traseul dintre două capete, iar capătul din fața dumneavoastră este partea pe care nu o puteți verifica. Cei trei pași de mai jos decid dacă dispozitivul este utilizabil, cum păstrați acreditările departe de el și ce faceți după aceea pentru ca o sesiune temporară să nu devină o copie permanentă.
Tunelul începe după ce gazda a văzut deja datele
Criptarea are loc în clientul VPN, care rulează ca program pe calculator. Tot ce se află deasupra acelui program, inclusiv browserul, sistemul de operare și orice extensie sau driver cu acces suficient, prelucrează datele dumneavoastră înainte ca acestea să fie criptate. Nu este un defect al protocolului; este locul unde se află protocolul.
Verificarea adresei de ieșire nu dovedește, așadar, aproape nimic despre gazdă. Un calculator poate direcționa tot traficul printr-o ieșire curată și tot poate înregistra fiecare apăsare de tastă, iar cele două fapte nu se contrazic.
Formularea utilă este să întrebați ce poate observa gazda, nu ce poate rețeaua. Pe un calculator administrat de altcineva, acea mulțime este mai mare decât puteți enumera.
Primul pas: stabiliți cine controlează dispozitivul
Controlul este o problemă de drepturi administrative și acces fizic, nu de politețe. Dacă o altă persoană poate instala software, poate încărca un driver, poate conecta un dispozitiv sau poate restaura o imagine, comportamentul calculatorului nu este ceva ce puteți stabili privindu-l. Administrarea este o capacitate, iar capacitățile nu apar într-o captură de ecran. Întrebați persoana care v-a dat calculatorul.
Căutați semnalele obișnuite și tratați fiecare ca dovadă despre control, nu ca dovadă a siguranței. Niciunul nu este decisiv de unul singur.
- Un cont de invitat sau de chioșc care nu poate instala software este un punct de plecare mai bun decât un cont de administrator pe care vi l-a dat cineva.
- Un dispozitiv administrat cu un proprietar cunoscut și un contact de suport este mai bun decât un terminal nesupravegheat, chiar și când terminalul pare mai curat.
- Un calculator la care nu puteți stabili cine s-a autentificat ultima dată este un calculator a cărui stare nu o puteți descrie.
Niciuna dintre aceste verificări nu face o gazdă partajată de încredere. Ele vă spun dacă riscul este suficient de limitat pentru a continua cu o sarcină limitată, ceea ce este o întrebare diferită și mai onestă. Notați răspunsul înainte de a continua.
Al doilea pas: țineți acreditările departe de gazdă
Un profil activ nu este un semn de carte. Un profil OpenVPN poate conține certificate încorporate și o cheie privată, iar importarea lui scrie acel material pe un dispozitiv care nu este al dumneavoastră. Același lucru este valabil pentru o sesiune de browser care stochează un cookie și pentru orice manager de parole care păstrează un seif în cache local.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Preferați accesul cel mai puțin persistent pe care îl acceptă serviciul. Un portal web care autentifică pe sesiune și cere un al doilea factor lasă mai puțin în urmă decât un client desktop cu un profil salvat, iar o sesiune care se termină la închiderea browserului este mai bună decât una care supraviețuiește unei reporniri.
Apoi verificați ce păstrează calculatorul. Pe o gazdă Linux partajată, locația profilului este ușor de inspectat, iar pe Windows căutarea echivalentă costă o comandă. Găsirea profilului unui utilizator anterior este o reamintire utilă că al dumneavoastră ar fi tratat la fel.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueAl treilea pas: încheiați accesul dintr-un loc în care aveți încredere
Curățarea locală merită făcută și nu este suficientă. Deconectați-vă de la serviciu, închideți browserul, eliminați orice fișier descărcat și apoi faceți pasul care contează cu adevărat: revocați sesiunea sau acreditarea de pe un dispozitiv pe care îl controlați.
Exact această ultimă acțiune este omisă de oameni, pentru că ecranul local pare curat. Un token de sesiune copiat de software pe gazdă continuă să funcționeze după ce plecați și nu-i pasă că browserul a fost închis. Revocarea este singurul pas care presupune că gazda ar fi putut fi ostilă. Este și singurul care încă funcționează dacă a fost.
Dacă o cheie privată sau un secret de recuperare a atins calculatorul, tratați-l ca expus și rotați-l în loc să inspectați copii. Pentru un cont care a folosit un al doilea factor, examinați și dispozitivele și sesiunile listate de furnizor, pentru că un token emis în timpul vizitei dumneavoastră poate fi încă activ.
Notați rezultatul cât timp este proaspăt: ce dispozitiv, ce cont, ce s-a instalat, ce s-a revocat și când. Acea notă este cea care îi permite următoarei persoane să răspundă la singura întrebare care contează după aceea: dacă ceva mai are acces.
Un dispozitiv aflat sub control privat are nevoie în continuare de întreținere și vă oferă o bază pentru gestionarea capătului pe care un terminal împrumutat nu o va oferi niciodată. Tunelul a fost partea ușoară.