Trasa VPN neudelí vzdialené prihlásenie na tvoj Mac

Pripojenie k pracovnej VPN samo osebe nič nehovorí o tom, či sa niekto môže prihlásiť na tvoj Mac odinakiaľ. Musia sa stretnúť tri samostatné veci: sieťová cesta, ktorá sa dostane k počítaču, bežiaca prístupová služba a povolenie pre konkrétny účet túto službu používať. Tunel zabezpečuje len prvú. Všetko ostatné na tejto stránke je o overení zvyšných dvoch bez toho, aby sme odpoveď predpokladali.

Začni službou alebo nainštalovanou komponentou, ktorá by vzdialený prístup poskytovala, a prestaň to usudzovať z indikátora pripojeného stavu v paneli ponuky.

Tri kontroly, ktoré ľudia zlievajú do jednej

Dosiahnuteľnosť odpovedá na to, či pakety môžu doraziť. Služba zdieľania odpovedá na to, či na počítači niečo počúva. Autorizácia odpovedá na to, ktoré identity služba prijíma a čoho sa smú dotknúť, keď sa dostanú dnu. VPN môže zmeniť prvú odpoveď bez toho, aby sa dotkla ostatných dvoch, a práve preto táto otázka neustále vytvára zlé závery v oboch smeroch.

Pokyny Applu k Remote Login sú dobrým konkrétnym príkladom tohto rozdelenia, pretože sídlia na určitom mieste a nesú vlastné voľby účtov. Nájdete ich v System Settings, General, Sharing a opisujú prístup cez SSH a SFTP s výberom povolených používateľov. Plný prístup k disku pre vzdialených používateľov je zase samostatná možnosť, čo tento bod podčiarkuje: zapnúť službu nie je to isté ako udeliť všetky možnosti, ktoré služba môže ponúknuť.

Skontroluj, čo je skutočne zapnuté

Prejdi panel Sharing a poznač si každú zapnutú službu, nielen tú, ktorú si čakal. Remote Login, Screen Sharing a File Sharing otvárajú každá inú plochu a každá má svoj zoznam používateľov. Nastavenie pre SSH nič nehovorí o zdieľaní obrazovky a prítomnosť funkcie zdieľania v operačnom systéme nič nehovorí o tom, či ju niekto použil.

Potom si spíš, čo ďalšie by mohlo prístup poskytovať: agent vzdialenej podpory tretej strany, nástroj na správu nainštalovaný pri zaradení alebo server na zdieľanie obrazovky zabudovaný do niečoho iného. Tie sa v paneli Sharing neobjavujú a sú to práve komponenty, na ktoré sa pri audite notebooku zabúda. Zapíš každého agenta, ktorého nedokážeš identifikovať, pretože neznámy proces s počúvajúcim portom je zaujímavejší než známy bez neho. Krátky zoznam neznámych je lepší než sebavedomý záver postavený na jedinom paneli, ktorý si náhodou otvoril.

Spýtaj sa správcu, čo zaradenie nainštalovalo

Ak zaradenie do práce zahŕňalo konfiguračný profil, schválenie správcom alebo ďalší softvér, požiadaj človeka, ktorý to spravuje, aby odpovedal na tri veci: ktoré komponenty boli nainštalované, aké oprávnenia majú a čo zostáva aktívne po tom, čo sa odpojíš. Trasa VPN a privilegovaný agent koncového bodu majú veľmi odlišné možnosti a zvyčajne je používateľovi viditeľný len jeden z nich.

Pre povolené usporiadanie vzdialenej podpory si vyžiadaj podrobnosti písomne: ktorí používatelia sú oprávnení, aké operácie sú zamýšľané, či sa objavuje potvrdzovacia výzva a ako sa usporiadanie odstráni, keď sa zákazka skončí. Neprideľuj prístup všetkým používateľom ani široké oprávnenia k disku len preto, aby si overil, či sa podpora môže pripojiť, pretože taký test trvalo rozširuje hranicu.

Ak nájdeš dôkaz, ktorý si nečakal

Neznámy záznam pripojení alebo zapnutý prepínač je stopa, nie dôkaz aktivity konkrétneho človeka. Uchovaj príslušné nesekretné udalosti, poznač si časy a použi incidentný proces organizácie alebo platformy namiesto toho, aby si na niekoho naliehal alebo mazal dôkazy v nádeji, že sa to vyrieši samo.

Na spravovanom zariadení nechaj jeho vlastníka prejsť navrhované zmeny, skôr než deaktivuješ kontrolu, ktorú vyžaduje politika. Na osobnom zariadení pripojenom k pracovnej sieti požiadaj o jasnú hranicu zaradenia a podporovaný postup odchodu, vrátane toho, čo sa odstráni a čo zostane.

Užitočná odpoveď pomenuje mechanizmus a autoritu, ktorá za ním stojí. Nikdy nesľubuje ani neobmedzený prístup zamestnávateľa, ani úplnú bezpečnosť vďaka označeniu tunela, a nepletie si trasu s prihlásením.