Upozornenie na filtrovanú alebo monitorovanú VPN na Macu: čo vlastne povoľuje

To upozornenie je povolenie, nie diagnóza. Keď macOS povie, že konfigurácia bude filtrovať alebo monitorovať prevádzku, hovorí vám, že komponent, ktorý ste schválili, vidí trasu, ktorú pokrýva, a pýta sa, či je to prijateľné. Dialóg vám nevie povedať, kto komponent prevádzkuje, čo zaznamenáva ani či niečo dešifruje. Tie odpovede sú v profile, v zozname rozšírení a v certifikátoch na stroji, takže začnite tam namiesto opätovného čítania vety.

Ako čítať výzvu: otázka rozsahu

Každé oznámenie o aktivácii ukazuje na dve veci bez toho, aby ich jasne pomenovalo: rozšírenie, ktoré bude spracúvať prevádzku, a konfiguráciu, ktorá doň prevádzku smeruje. V súčasnom macOS sú tieto komponenty systémové rozšírenia NetworkExtension a ich inštalácia alebo aktivácia si vyžaduje schválenie v Systémových nastaveniach. Znenie zostáva široké, pretože operačný systém nemá ako vedieť, či schvaľujúcim je IT oddelenie, predplatene VPN alebo filtračný agent pribalený k niečomu inému.

Preto ten istý text pokrýva tri rôzne usporiadania. Spravovaný Mac dostane profil od správy zariadení, osobný Mac dostane konfiguráciu z aplikácie, ktorú ste nainštalovali, a bezpečnostný produkt môže nainštalovať filter, ktorý sa nikdy nepredstaví ako VPN. Žiadny z týchto štítkov neurčuje úmysel. Len vám povedia, koho sa treba spýtať ako prvého.

Dva príkazy tieto prípady rýchlo oddelia. Prvý vypíše nainštalované systémové rozšírenia a to, či je každé aktívne, druhý vypíše konfiguračné profily s ich obsahom a podpisujúcou organizáciou.

systemextensionsctl list
profiles show -type configuration

Odlíšte tunel od filtra

Paketový tunel dá Macu trasu a prenáša všetko, čo doň smerovacia tabuľka pošle. Obsahový filter sedí na úrovni toku, pozrie sa na každé spojenie a môže ho povoliť, zablokovať alebo presmerovať. Produkt môže dodať oboje naraz a upozornenie sa pritom nemení. Rozdiel je dôležitý, pretože dôkazy, ktoré môžete zozbierať, aj poruchy, ktoré uvidíte, sú iné.

Sledujte kategóriu rozšírenia, nie marketingový názov. Tunel sa zvyčajne javí ako konfigurácia VPN a ako sieťové rozšírenie, kým filter nemusí mať službu VPN vôbec. Ak produkt ponúka oba režimy, aktívna konfigurácia vyberá jeden z nich a prepnutie režimu môže zmeniť pokrytie bez zmeny dodávateľa.

Zoznam služieb VPN je najrýchlejší spôsob, ako zistiť, či tunel existuje. Filter, ktorý nie je VPN, sa v ňom neobjaví, čo je samo užitočná informácia.

scutil --nc list

Odznak pripojenia nie je dôkazom pokrytia. Aplikácie možno vylúčiť pravidlami pre jednotlivé aplikácie a prevádzka do lokálnych sietí často zámerne obchádza tunel. Keď sa jedna aplikácia správa, akoby ju nikto nesledoval, podozrievajte trasu alebo vylúčenie skôr, než budete predpokladať, že monitor je pokazený.

Čo sa prevádzkovateľ dozvie bez čítania obsahu

Metadáta nie sú útechou. Adresy, porty, názvy DNS, časy pripojenia, počty bajtov a identita, ktorá sa autentizovala, sú viditeľné pre komponent na trase. Opakované návštevy jedného hostiteľa v rovnakú hodinu vytvárajú rutinu a rutina môže povedať viac než jediná stránka.

To je úprimná odpoveď na zvyčajnú otázku. Prevádzkovateľ vidí kde a kedy, aj keď obsah zostáva zapečatený.

Viditeľnosť obsahu si vyžaduje druhú, hlasnejšiu zmenu. Správne overená relácia HTTPS zostáva pre tunel alebo tokový filter nepriehľadná, a to isté platí pre lokálne súbory a prevádzku, ktorá nikdy nevstúpi na pokrytú trasu. Na čítanie tiel stránok je potrebná certifikačná autorita, ktorej Mac už dôveruje, teda interceptný certifikát nainštalovaný s vlastným schválením. Tento krok presúva hranicu z metadát na obsah a zaslúži si samostatné skúmanie.

Rozsah sa tiež končí pri zariadení. Tunel na jednom notebooku nepokrýva telefón, tablet ani stroj inej osoby na tej istej Wi-Fi a firemný klient nedokáže zmapovať ostatných hostí kaviarne. Softvér na správu zariadení môže zozbierať viac, než tunel odhalí, ale to je samostatná kontrola s iným vlastníkom politiky.

Pred panikou si preverte úložisko certifikátov

Dôveryhodný koreň je rozdiel medzi sledovaním prevádzky a jej čítaním. Preverte systémovú kľúčenku, či v nej nie sú autority, ktoré nepoznáte, a všimnite si tie, ktoré sa objavili približne v čase výzvy. Spravovaný Mac môže legitímne niesť interceptný koreň, ktorý tam poslal zamestnávateľ, a potom patrí rozhovor správcovi. Osobný Mac, ktorý ho získal omylom, má nález, s ktorým sa oplatí niečo urobiť. Zapíšte si bežný názov, vydavateľa a dátum pridania, aby sa otázka dala neskôr zodpovedať.

Porovnajte ten zoznam s tým, čo hlási správa zariadení. Ak sa zoznam profilov a zoznam certifikátov rozchádzajú, rozhoduje ten certifikátový — on určuje, čo Mac prijme.

Dva príkazy pokryjú väčšinu kontroly. Prvý vypíše konfiguračné profily; druhý vypíše certifikáty v systémovej kľúčenke spravovanej správcom, kam pridaný koreň zvyčajne pristane.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Korene, ktoré dodáva Apple, sídlia v samostatnej kľúčenke a tu nejde o starosť. Prázdny výsledok druhého príkazu je na osobnom Macu bežný. Nezanedbateľný výsledok si pred odmietnutím zaslúži čítanie položku po položke.

Rozhodnite sa a potom zapíšte prečo

Súhlas je rozumný, keď viete pomenovať prevádzkovateľa, komponent a dôvod a keď požiadavka zodpovedá voľbe, ktorú ste urobili vy alebo vaša organizácia. Skúmanie je správna reakcia, keď výzva príde bez kontextu, najmä po zmene siete alebo nesúvisiacej inštalácii. Najprv sa odpojte, zachyťte identifikátor profilu a rozšírenie, potom sa rozhodnite. Odstránenie je tretia cesta a obnoví predchádzajúce smerovanie bez zásahu do účtu.

Súhlas a odstránenie berte ako dve samostatné rozhodnutia urobené v rôznych časoch. Schválenie filtra dnes neznamená, že si ho ponecháte, a odstránenie profilu nevymaže záznamy na strane servera o tom, čo sa počas jeho činnosti pozorovalo.

Ak upozornenie prišlo po aktualizácii softvéru, ktorý už používate, prečítajte si pred kliknutím poznámky k tejto verzii. Dodávatelia medzi vydaniami menia architektúru rozšírení a nový filter môže prísť s rutinnou aktualizáciou. Ak upozornenie prišlo po pripojení k novej sieti, berte načasovanie ako dôkaz a preverte, čo sa zmenilo.

Vedte krátky záznam: názov profilu, identifikátor rozšírenia, prevádzkovateľa, odtlačok certifikátu, ak bol pridaný, a dátum. Ďalší človek môže začať z tejto časovej osi a nie zo znenia dialógu.