Pot VPN ne podeli oddaljene prijave na tvoj Mac

Povezava z delovno VPN samo po sebi ne pove ničesar o tem, ali se lahko kdo prijavi v tvoj Mac od drugod. Ujeti se morajo tri ločene stvari: omrežna pot, ki doseže stroj, delujoča dostopna storitev in dovoljenje, da določen račun uporablja to storitev. Tunel zagotavlja le prvo. Vse ostalo na tej strani je namenjeno preverjanju drugih dveh brez domneve o odgovoru.

Začni pri storitvi ali nameščeni komponenti, ki bi omogočila oddaljen dostop, in nehaj to sklepati iz indikatorja povezanega stanja v menijski vrstici.

Trije nadzori, ki jih ljudje zlijejo v enega

Dosegljivost odgovarja, ali lahko paketi prispejo. Storitev souporabe odgovarja, ali na stroju kaj posluša. Avtorizacija odgovarja, katere identitete storitev sprejema in česa se lahko dotaknejo, ko so notri. VPN lahko spremeni prvi odgovor, ne da bi se dotaknil drugih dveh, in prav zato to vprašanje nenehno ustvarja slabe sklepe v obe smeri.

Applova navodila o Remote Login so dober konkreten primer te ločitve, ker se nahajajo na določenem mestu in prinašajo lastne izbire računov. Nahajajo se pod System Settings, General, Sharing in opisujejo dostop prek SSH in SFTP z izborom dovoljenih uporabnikov. Popoln dostop do diska za oddaljene uporabnike je spet ločena možnost, kar krepi poanto: vklopiti storitev ni isto kot podeliti vse zmožnosti, ki bi jih storitev lahko ponudila.

Preveri, kaj je v resnici vklopljeno

Pojdi skozi ploščo Sharing in zabeleži vsako vklopljeno storitev, ne le tiste, ki si jo pričakoval. Remote Login, Screen Sharing in File Sharing vsaka odpira drugo površino in vsaka ima svoj seznam uporabnikov. Nastavitev za SSH ne pove ničesar o souporabi zaslona, prisotnost funkcije souporabe v operacijskem sistemu pa ne pove ničesar o tem, ali jo je kdo uporabil.

Nato popiši, kaj drugega bi lahko omogočalo dostop: agent za oddaljeno podporo tretje strani, orodje za upravljanje, nameščeno ob vpisu, ali strežnik za souporabo zaslona, vključen s čim drugim. Ti se ne pojavijo na plošči Sharing in prav te komponente ljudje pozabijo pri reviziji prenosnika. Zapiši vsakega agenta, ki ga ne moreš prepoznati, ker je neznan proces s poslušajočimi vrati zanimivejši od znanega brez njih. Kratek seznam neznanih je boljši od samozavestnega sklepa, zgrajenega na edini plošči, ki si jo slučajno odprl.

Vprašaj skrbnika, kaj je vpis namestil

Če je delovni vpis vključeval konfiguracijski profil, odobritev skrbnika ali dodatno programsko opremo, prosi osebo, ki to upravlja, da odgovori na tri stvari: katere komponente so bile nameščene, kakšna dovoljenja imajo in kaj ostane aktivno, ko se odklopiš. Pot VPN in privilegirani agent končne točke imata zelo različne zmožnosti in običajno je uporabniku vidna le ena od njiju.

Za dovoljeno ureditev oddaljene podpore pridobi podrobnosti pisno: kateri uporabniki so pooblaščeni, katere operacije so predvidene, ali se pojavi poziv za potrditev in kako se ureditev odstrani, ko je delo končano. Ne dodeli dostopa vsem uporabnikom ali širokih dovoljenj za disk samo zato, da bi preveril, ali se podpora lahko poveže, ker ta test trajno razširi mejo.

Če najdeš dokaz, ki ga nisi pričakoval

Neznan dnevnik povezav ali vklopljeno stikalo je sled, ne dokaz dejavnosti določene osebe. Ohrani ustrezne nerazkrite dogodke, zabeleži čase in uporabi postopek za incidente organizacije ali platforme, namesto da bi se soočil z nekom ali brisal dokaze v upanju, da se bo samo rešilo.

Na upravljanem napravi naj lastnik pregleda predlagane spremembe, preden onemogočiš nadzor, ki ga zahteva politika. Na osebni napravi, povezani z delovnim omrežjem, zaprosi za jasno mejo vpisa in podprt postopek izstopa, vključno s tem, kaj se odstrani in kaj ostane.

Koristen odgovor poimenuje mehanizem in oblast za njim. Nikoli ne obljubi neomejenega dostopa delodajalca ne popolne varnosti zaradi oznake tunela in ne zamenjuje poti s prijavo.