Výzvy na povolenie VPN na Macu: ktoré vlastne schvaľujete?
Súhlas s konfiguráciou siete, prístup k Keychain, firewall a úplný prístup k disku sú štyri rôzne povolenia. Schváľte to, ktoré má doložený účel.
Klient VPN žiada o povolenie a vy kliknete na Povoliť, pretože alternatívou je spojenie, ktoré sa nenadviaže. Práve tento zvyk spôsobuje, že stroj skončí so širokými povoleniami, ktoré nikto nevie vysvetliť. Výzvy nie sú zameniteľné: každá schvaľuje inú schopnosť a rovnaký názov aplikácie sa môže objaviť pred všetkými. Pred rozhodnutím si prečítajte vetu pod ikonou.
Štyri povolenia za bežnými výzvami
Uloženie konfigurácie VPN je prvé. V macOS aplikácia, ktorá používa natívne Personal VPN API, potrebuje pri prvom uložení konfigurácie výslovné povolenie, preto sa dialóg zobrazí pri inštalácii a nie pri pripojení. Odmietnutie ponechá klienta nainštalovaného, ale nedokáže uložiť profil, a to je stav, z ktorého sa dá dostať.
Keychain je druhý. Načítanie uloženého hesla pre konkrétnu položku je iné rozhodnutie než dôvera v server, ktorý ho dostane. Firewall je tretí a jeho ovládanie aplikácií riadi prichádzajúce spojenia, nie to, ktorým rozhraním váš prenos odchádza. Úplný prístup k disku je štvrtý a práve ten sa udeľuje z nesprávnych dôvodov.
| Prompt | What you are approving | What it does not prove |
|---|---|---|
| Save a VPN configuration | The configuration operation itself | That the gateway is legitimate or that the account works |
| Access a Keychain item | This component reading this credential | Trust in the server or access for other apps |
| Allow incoming connections | Traffic reaching the app from the network | That outgoing traffic uses the tunnel |
| Full Disk Access | Broad access to protected data | Anything about VPN configuration or login |
Úplný prístup k disku nie je nikdy oprava VPN
Referenčná príručka Apple o súkromí opisuje úplný prístup k disku ako široký prístup zahŕňajúci údaje iných aplikácií, zálohy a niektoré administratívne nastavenia. Files & Folders je užšia kontrola založená na umiestnení, ktorá pokrýva väčšinu legitímnych potrieb práce so súbormi.
Niektoré bezpečnostné produkty skutočne dokumentujú funkciu, ktorá vyžaduje široký prístup, a keď tak robia, žiadosť by mala uviesť komponent a verziu. To, čo by ste nemali prijať, je dialóg konfigurácie siete, na ktorý sa odpovedá povolením k disku, pretože sa prvý dialóg stále vracal.
Tieto dve povolenia nemajú nič spoločné. Udelenie jedného, aby umlčalo druhé, vám nechá viac rozdaného prístupu a ten istý nevyriešený problém.
Postup: čo robiť s nečakanou výzvou
Začnite tým, že zachytíte presné znenie a názov komponentu, a urobte snímku obrazovky namiesto parafrázy. Znenie sa medzi verziami mení a práve presná veta je to, čo dodávateľ alebo správca rozpozná. Snímka obrazovky tiež ukončí spory o tom, čo dialóg skutočne povedal.
Potom zistite, čo o povolenie žiada. Skontrolujte verziu aplikácie a kto ju podpísal a overte, že ide o klienta, ktorého považujete za nainštalovaného, a nie o pomocný nástroj, aktualizátor alebo zvyšok produktu, ktorý ste odstránili.
Rozhodnite podľa jednej otázky: má tento komponent v tejto verzii doloženú potrebu tejto schopnosti? Ak dokumentácia dodávateľa nič také neuvádza, výzvu odmietnite a zistite, prečo sa objavila, pretože nevysvetlená žiadosť je informácia, nie prekážka.
Keď sa rozhodnete, zopakujte jeden bežný pokus o pripojenie a poznamenajte, či sa niečo zmenilo. Povolenie udelené uprostred nesúvisiaceho problému sa neskôr hodnotí ťažko, a preto je poradie rovnako dôležité ako odpoveď.
Prečo sa tá istá výzva vracia
Opakované povolenie zvyčajne znamená, že sa rozhodnutie neukladá tam, kde ho komponent očakáva, že položku znovu vytvorila preinštalácia, alebo že ju správa resetuje. Poznamenajte, kedy sa objaví: pri spustení, pri pripájaní, pri odpájaní alebo po reštarte. Tento čas zúži príčinu rýchlejšie než ktorýkoľvek protokol, ktorý si potom prečítate.
Na spravovanom Macu môže skutočná odpoveď prísť z konfiguračného profilu a nie z vášho kliknutia; v takom prípade opätovné kliknutie na Povoliť nič nevyrieši. Skôr než budete ďalej stláčať to isté tlačidlo, opýtajte sa správcu, ktorá politika ten komponent riadi.
Ak výzva spoľahlivo nasleduje konkrétnu akciu, je to použiteľný záznam o chybe. Ak sa objavuje náhodne, zaznamenajte na deň časové značky a hľadajte vzor v tom, čo iné stroj robil.
Nechajte po sebe záznam, ktorý použije niekto iný
Zapíšte komponent, schopnosť, dôvod a dátum na to isté miesto, kde držíte zvyšok konfigurácie. Budúce vy si nebude pamätať, ktorý dialóg bol za čo schválený. Jeden riadok na povolenie stačí; inventár, ktorý nikto neudržiava, je horší ako žiadny.
Test dobrého rozhodnutia je tu jednoduchý: dokážete vysvetliť, prečo toto povolenie existuje, bez otvorenia aplikácie? Ak nie, je kandidátom na revíziu a príručka nastavení súkromia a zabezpečenia Apple je miesto, kde začať čítať, čo každé z nich skutočne pokrýva.