Përdorimi i një kompjuteri publik me VPN: çfarë të kontrolloni së pari
Një tunel mbron rrugën, jo makinën në të dy skajet. Vendosni kush kontrollon hostin, çfarë mbetet në disk dhe si ta revokoni qasjen para se të hyni.
Makinë e huazuar, detyrë urgjente dhe një klient VPN që premton të kriptojë gjithçka: sekuenca duket e sigurt dhe nuk është. Një tunel mbron rrugën midis dy pikave fundore, dhe pika përballë jush është pjesa që nuk mund ta verifikoni. Tre hapat më poshtë vendosin nëse pajisja është e përdorshme fare, si t'i mbani kredencialet larg saj dhe çfarë të bëni më pas që një sesion i përkohshëm të mos bëhet kopje e përhershme.
Tuneli fillon pasi hosti tashmë i ka parë të dhënat
Kriptimi ndodh në klientin VPN, i cili ekzekutohet si program në makinë. Gjithçka mbi atë program, përfshirë shfletuesin, sistemin operativ dhe çdo shtojcë ose drejtues me qasje të mjaftueshme, i trajton të dhënat tuaja para se ato të kriptohen. Ky nuk është defekt i protokollit; ky është vendi ku qëndron protokolli.
Kontrolli i adresës së daljes, pra, nuk provon pothuajse asgjë për hostin. Një makinë mund ta drejtojë të gjithë trafikun përmes një daljeje të pastër dhe gjithsesi të regjistrojë çdo shtypje taste, dhe këto dy fakte nuk janë në kundërshtim.
Korniza e dobishme është të pyesni çfarë mund të vëzhgojë hosti, jo çfarë mund të bëjë rrjeti. Në një makinë që administrohet nga dikush tjetër, ai grup është më i madh sesa mund të numëroni.
Hapi i parë: përcaktoni kush e kontrollon pajisjen
Kontrolli është çështje e të drejtave administrative dhe qasjes fizike, jo e mirësjelljes. Nëse një person tjetër mund të instalojë software, të ngarkojë një drejtues, të lidhë një pajisje ose të rivendosë një imazh, sjellja e makinës nuk është diçka që mund ta përcaktoni duke e shikuar. Administrimi është një aftësi, dhe aftësitë nuk shfaqen në një pamje ekrani. Pyetni personin që ju dha makinën.
Kërkoni sinjalet e zakonshme dhe trajtojini secilin si provë për kontrollin dhe jo si provë sigurie. Asnjë prej tyre nuk është vendimtar më vete.
- Një llogari mysafire ose kioske që nuk mund të instalojë software është pikënisje më e mirë sesa një llogari administratori që dikush ju dha.
- Një pajisje e menaxhuar me pronar të njohur dhe kontakt mbështetjeje është më mirë se një terminal pa mbikëqyrje, edhe kur terminali duket më i pastër.
- Një makinë ku nuk mund të përcaktoni kush hyri i fundit është një makinë gjendjen e së cilës nuk mund ta përshkruani.
Asnjë nga këto kontrolle nuk e bën një host të përbashkët të besueshëm. Ato ju tregojnë nëse rreziku është i kufizuar mjaftueshëm për të vazhduar me një detyrë të kufizuar, që është një pyetje tjetër dhe më e sinqertë. Shkruani përgjigjen para se të vazhdoni.
Hapi i dytë: mbani kredencialet larg hostit
Një profil aktiv nuk është faqeshënues. Një profil OpenVPN mund të përmbajë certifikata të integruara dhe një çelës privat, dhe importimi i tij shkruan atë material në një pajisje që nuk është e juaja. E njëjta gjë vlen për një sesion shfletuesi që ruan një cookie dhe për çdo menaxher fjalëkalimesh që ruan një kasafortë lokalisht.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Preferoni qasjen më pak të vazhdueshme që mbështet shërbimi. Një portal web që autentikon për sesion dhe kërkon një faktor të dytë lë më pak pas sesa një klient desktop me profil të ruajtur, dhe një sesion që përfundon kur mbyllet shfletuesi është më mirë sesa një që i mbijeton një rindezjeje.
Më pas kontrolloni çfarë mban makina. Në një host Linux të përbashkët vendndodhja e profilit është e lehtë për t'u inspektuar, dhe në Windows kërkimi ekuivalent kërkon një komandë. Gjetja e profilit të një përdoruesi të mëparshëm është një kujtesë e dobishme se me tuajin do të veprohej njësoj.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueHapi i tretë: përfundoni qasjen nga një vend që ju besoni
Pastrimi lokal ia vlen dhe nuk mjafton. Dilni nga shërbimi, mbyllni shfletuesin, hiqni çdo skedar të shkarkuar dhe më pas bëni hapin që ka vërtet rëndësi: revokoni sesionin ose kredencialin nga një pajisje që ju e kontrolloni.
Pikërisht ky veprim i fundit është ai që njerëzit e anashkalojnë, sepse ekrani lokal duket i pastër. Një token sesioni i kopjuar nga software në host vazhdon të funksionojë pasi ju largoheni, dhe nuk i intereson që shfletuesi u mbyll. Revokimi është hapi i vetëm që supozon se hosti mund të ketë qenë armiqësor. Është gjithashtu i vetmi që ende funksionon nëse ishte.
Nëse një çelës privat ose një sekret rikuperimi ka prekur makinën, trajtojeni si të ekspozuar dhe rrotullojeni në vend që të inspektoni kopje. Për një llogari që përdori një faktor të dytë, rishikoni edhe pajisjet dhe sesionet që liston ofruesi, sepse një token i lëshuar gjatë vizitës tuaj mund të jetë ende aktiv.
Shkruani rezultatin sa është i freskët: cila pajisje, cila llogari, çfarë u instalua, çfarë u revokua dhe kur. Ai shënim është ai që i mundëson personit tjetër të përgjigjet pyetjes së vetme që ka rëndësi më pas: nëse diçka ka ende qasje.
Një pajisje nën kontroll privat ka ende nevojë për mirëmbajtje, dhe ju jep një bazë për të menaxhuar pikën fundore që një terminal i huazuar nuk do ta japë kurrë. Tuneli ishte pjesa e lehtë.