Admin upozornenie VPN na Macu: inštalácia, rozšírenie alebo pravidlo?

Výzvy na heslo z VPN klienta vyzerajú zameniteľne a nie sú. Za podobným dialógom sa skrývajú štyri rôzne akcie: zápis súborov na chránené miesto počas inštalácie, pridanie alebo zmena konfigurácie siete, aktivácia systémového rozšírenia, ktoré prenáša prevádzku, a dodržanie pravidla, ktoré už nastavil server správy. Každá má iného vlastníka, iný rozsah vplyvu a iný spôsob overenia, či fungovala. Priradenie videnej správy k jednému z tých štyroch je celé cvičenie.

Tri rôzne schválenia vyzerajú rovnako

Autorizácia inštalátora je najjednoduchší prípad: balík zapisuje do priečinkov, ktoré bežný používateľ nemôže meniť, a macOS si vyžiada prihlasovacie údaje správcu, aby to povolil. Systém nerozhoduje, či je softvér bezpečný; rozhoduje, či tam smiete zapisovať. Preto sa balík môže nainštalovať čisto a napriek tomu byť nepoužiteľný: schválenie inštalácie nič nehovorí o tom, či kód bude smieť neskôr bežať. Po inštalácii môže aplikácia ešte potrebovať druhé schválenie, kým môže ovplyvniť sieť.

Autorizácia konfigurácie siete pokrýva zmeny v zozname pripojení systému. Pridanie služby VPN alebo zmena nastavení, ktoré nakonfiguroval správca siete, vyžaduje zvýšenie oprávnení, pretože tieto definície ovplyvňujú každý účet na stroji. Toto schválenie dáva právomoc nad konfiguráciou, nie nad prevádzkou.

Schválenie rozšírenia je to, na čom záleží pri tom, ako cestujú pakety. Moderný klient inštaluje systémové rozšírenie, ktoré macOS načíta do systému, a macOS pred jeho aktiváciou vyžaduje výslovné rozhodnutie v časti Súkromie a bezpečnosť alebo Prihlasovacie položky a rozšírenia. Štvrtým prípadom je spravovaný Mac, kde pravidlo rozšírenie vopred schvaľuje a používateľ nevidí žiadny dialóg.

Čo každé schválenie naozaj mení

Inštalátor mení súbory na disku a jeho následky sa končia po odstránení súborov, okrem zvyškov. Konfigurácia siete pridáva definíciu služby, ktorá sa objaví v zozname pripojení a môže byť znova aktivovaná pravidlami na požiadanie. Schválenie rozšírenia mení, aký kód systém načíta a udrží v chode, a preto v niektorých pracovných postupoch prežije odinštalovanie viditeľnej aplikácie. Odstránenie balíka aplikácie nie vždy odstráni jej rozšírenie a zvyšné rozšírenie si zachová svoje sieťové výsady.

Tento rozdiel predpovedá príznak. Nainštalované, ale nikdy nepripojené zvyčajne znamená, že rozšírenie nie je nikde schválené; pripája sa, ale nastavenia sa pri ďalšej zmene vrátia, zvyčajne znamená, že definíciu vlastní pravidlo správy.

Podpis a vydavateľ rozhodujú o odpovedi

Pred schválením si prečítajte, kto vec podpísal, a nie to, čo naznačuje ikona dialógu. Dve lokálne kontroly stačia na to, aby ste videli podpisovú autoritu a či hodnotenie systému na tomto stroji prejde.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Nepodpísaný alebo nenotarizovaný balík nie je automaticky škodlivý, ale zaslúži si iné rozhodnutie než podpísaný balík od vydavateľa, ktorého ste mali na mysli. Balík, ktorý prišiel správou a nie z vlastnej stránky vydavateľa, je prípad, keď je odpoveď jednoducho nie.

Porovnajte identifikátor tímu s publikovanou identitou vydavateľa, namiesto toho, aby ste dôverovali zobrazovanému názvu aplikácie, pretože názvy sa dajú ľahko znovu použiť a identifikátory nie. Ak vydavateľ publikuje identifikátor vo svojej inštalačnej príručke, táto stránka je referenciou na porovnanie a zároveň miestom, kde by sa mala nahlásiť nezhoda. Klient od predajcu, prezbalený build alebo prenosná kópia z fóra si zaslúži viac podozrenia než podpísané stiahnutie toho istého vydavateľa.

Keď rozhodnutie vlastní pravidlo

Na firemnom Macu mohol správca už rozhodnúť. Profil správy môže doručiť definíciu VPN, vopred schváliť rozšírenie a uzamknúť pripojenie tak, aby sa nedalo odstrániť. V takom usporiadaní je žiadosť o zadanie hesla často žiadosťou o prepísanie rozhodnutia, ktoré nikdy nebolo vaše.

Zníženie bezpečnosti štartu alebo odpojenie správy, aby sa vynútila inštalácia, natrvalo mení model hrozieb stroja, aby sa vyriešil dočasný problém. Táto výmena sa zriedka robí vedome; zvyčajne sa stane pri sledovaní príspevku na fóre. Namiesto toho požiadajte správcu o podporovanú cestu, ktorá môže byť taká jednoduchá ako opätovné odoslanie profilu alebo schválenie rozšírenia na strane servera. Ak ju správca nemôže schváliť, tá odpoveď je zistenie, nie prekážka, ktorú treba obísť.

Po schválení potvrďte stav

Keď je dané autorizované schválenie, overte, čo si myslí systém, a nie čo tvrdí klient. Zoznam rozšírení hlási stav aktivácie bez potreby akéhokoľvek nástroja tretej strany.

systemextensionsctl list

Záznam zobrazený ako aktivovaný patrí identifikátoru tímu, ktorý ste skontrolovali skôr; záznam zobrazený ako ukončený a čakajúci na schválenie používateľa vysvetľuje klienta, ktorý sa spustí a nikdy neprenáša prevádzku. Ak sa výzva vráti po každom pokuse, zachyťte presnú správu a verziu klienta, pretože opakované schválenie zvyčajne znamená, že rozšírenie sa nahrádza bez deaktivácie predchádzajúceho, a to je prípad pre podporu, nie problém s heslom. Poznačte si verziu pred volaním podpory, pretože oprava už môže existovať v novšom builde a rozhovor začne tam.