คำเตือน VPN ที่ถูกกรองหรือถูกเฝ้าดูบน Mac: มันอนุญาตอะไรจริง ๆ
ข้อความแจ้งของ macOS คือการขอความยินยอมว่าผู้ให้บริการเห็นอะไรได้บ้างบนเส้นทางที่ถูกครอบคลุม ไม่ใช่คำตัดสินเรื่องมัลแวร์ และไม่ใช่หลักฐานว่าทราฟฟิกของคุณถูกถอดรหัส
คำเตือนนั้นคือใบอนุญาต ไม่ใช่การวินิจฉัย เมื่อ macOS บอกว่าคอนฟิกูเรชันหนึ่งจะกรองหรือเฝ้าดูทราฟฟิก มันกำลังบอกว่าองค์ประกอบที่คุณอนุมัติสามารถเห็นเส้นทางที่มันครอบคลุม และถามว่าคุณยอมรับได้หรือไม่ กล่องโต้ตอบบอกไม่ได้ว่าใครเป็นผู้รันองค์ประกอบนั้น มันบันทึกอะไร หรือถอดรหัสสิ่งใดหรือไม่ คำตอบเหล่านั้นอยู่ในโปรไฟล์ รายการส่วนขยาย และใบรับรองบนเครื่อง ดังนั้นเริ่มจากตรงนั้นแทนที่จะอ่านประโยคเดิมซ้ำ
อ่านข้อความว่าเป็นคำถามเรื่องขอบเขต
ข้อความแจ้งการเปิดใช้งานทุกครั้งชี้ไปที่สองสิ่งโดยไม่ระบุชื่อชัดเจน: ส่วนขยายที่จะจัดการทราฟฟิก และคอนฟิกูเรชันที่พาทราฟฟิกเข้าไปในส่วนขยายนั้น บน macOS ปัจจุบัน องค์ประกอบเหล่านี้คือส่วนขยายระบบ NetworkExtension และการติดตั้งหรือเปิดใช้งานหนึ่งในนั้นต้องได้รับอนุมัติใน การตั้งค่าระบบ ถ้อยคำยังคงกว้างเพราะระบบปฏิบัติการไม่มีทางรู้ว่าผู้อนุมัติคือแผนกไอที VPN แบบสมัครสมาชิก หรือเอเจนต์กรองที่มาพร้อมกับสิ่งอื่น
นั่นคือเหตุผลที่ข้อความเดียวกันครอบคลุมการจัดวางที่แตกต่างกันสามแบบ Mac ที่ถูกจัดการได้รับโปรไฟล์จากระบบจัดการอุปกรณ์ Mac ส่วนตัวได้รับคอนฟิกูเรชันจากแอปที่คุณติดตั้ง และผลิตภัณฑ์ความปลอดภัยอาจติดตั้งตัวกรองที่ไม่เคยนำเสนอตัวเองว่าเป็น VPN ป้ายชื่อเหล่านี้ไม่ได้ตัดสินเจตนา มันแค่บอกว่าควรถามใครก่อน
สองคำสั่งแยกกรณีเหล่านี้ได้อย่างรวดเร็ว คำสั่งแรกแสดงรายการส่วนขยายระบบที่ติดตั้งและแต่ละตัวทำงานอยู่หรือไม่ คำสั่งที่สองแสดงโปรไฟล์คอนฟิกูเรชันพร้อมเพย์โหลดและองค์กรที่ลงนาม
systemextensionsctl list
profiles show -type configurationแยกอุโมงค์ออกจากตัวกรอง
อุโมงค์แพ็กเก็ตให้เส้นทางแก่ Mac และพาทุกสิ่งที่ตารางเส้นทางส่งเข้าไปข้างใน ตัวกรองเนื้อหาอยู่ที่ระดับโฟลว์ มองเห็นทุกการเชื่อมต่อ และสามารถอนุญาต บล็อก หรือเปลี่ยนเส้นทางได้ ผลิตภัณฑ์หนึ่งอาจมีทั้งสองอย่างพร้อมกัน และคำเตือนไม่เปลี่ยนเมื่อเป็นเช่นนั้น ความแตกต่างนี้สำคัญเพราะหลักฐานที่คุณเก็บได้และความล้มเหลวที่คุณจะเห็นนั้นต่างกัน
ดูหมวดหมู่ของส่วนขยาย ไม่ใช่ชื่อทางการตลาด อุโมงค์มักปรากฏเป็นคอนฟิกูเรชัน VPN และเป็นส่วนขยายเครือข่าย ขณะที่ตัวกรองอาจไม่มีบริการ VPN เลย ถ้าผลิตภัณฑ์มีทั้งสองโหมด คอนฟิกูเรชันที่ใช้งานอยู่จะเลือกหนึ่ง และการสลับโหมดสามารถเปลี่ยนสิ่งที่ถูกครอบคลุมโดยไม่เปลี่ยนผู้จำหน่าย
รายการบริการ VPN เป็นวิธีเร็วที่สุดในการดูว่ามีอุโมงค์อยู่หรือไม่ ตัวกรองที่ไม่ใช่ VPN จะไม่ปรากฏในรายการนั้น ซึ่งเป็นข้อมูลที่มีประโยชน์ในตัวมันเอง
scutil --nc listป้ายเชื่อมต่อไม่ใช่หลักฐานของการครอบคลุม แอปอาจถูกยกเว้นด้วยกฎรายแอป และทราฟฟิกไปยังเครือข่ายท้องถิ่นมักข้ามอุโมงค์โดยการออกแบบ เมื่อแอปหนึ่งทำงานเสมือนไม่มีใครเฝ้าดู ให้สงสัยเส้นทางหรือข้อยกเว้นก่อนจะสรุปว่าตัวเฝ้าดูเสีย
ผู้ให้บริการเรียนรู้อะไรได้โดยไม่ต้องอ่านเพย์โหลด
เมทาดาทาไม่ใช่รางวัลปลอบใจ ที่อยู่ พอร์ต ชื่อ DNS เวลาเชื่อมต่อ จำนวนไบต์ และตัวตนที่ผ่านการยืนยันตัวตน ล้วนมองเห็นได้โดยองค์ประกอบบนเส้นทาง การเยี่ยมชมโฮสต์เดิมซ้ำในชั่วโมงเดียวกันสร้างกิจวัตร และกิจวัตรบอกได้มากกว่าหน้าเดียว
นั่นคือคำตอบที่ซื่อตรงต่อคำถามปกติ ผู้ให้บริการเห็นที่ไหนและเมื่อไร แม้เนื้อหาจะยังถูกปิดผนึก
การมองเห็นเพย์โหลดต้องมีการเปลี่ยนแปลงครั้งที่สองที่ดังกว่า เซสชัน HTTPS ที่ตรวจสอบอย่างถูกต้องยังคงทึบแสงต่ออุโมงค์หรือตัวกรองโฟลว์ เช่นเดียวกับไฟล์ในเครื่องและทราฟฟิกที่ไม่เคยเข้าสู่เส้นทางที่ถูกครอบคลุม การอ่านเนื้อหาหน้าต้องใช้ผู้ออกใบรับรองที่ Mac ไว้วางใจอยู่แล้ว นั่นคือใบรับรองสำหรับดักจับที่ติดตั้งพร้อมการอนุมัติของมันเอง ขั้นตอนนั้นย้ายขอบเขตจากเมทาดาทาไปยังเนื้อหาและสมควรได้รับการพิจารณาแยกต่างหาก
ขอบเขตยังหยุดที่อุปกรณ์ อุโมงค์บนแล็ปท็อปเครื่องหนึ่งไม่ครอบคลุมโทรศัพท์ แท็บเล็ต หรือเครื่องของคนอื่นบน Wi-Fi เดียวกัน และไคลเอนต์องค์กรไม่สามารถทำบัญชีลูกค้าคนอื่นในร้านกาแฟได้ ซอฟต์แวร์จัดการอุปกรณ์เก็บข้อมูลได้มากกว่าที่อุโมงค์เปิดเผย แต่นั่นเป็นการควบคุมแยกต่างหากที่มีเจ้าของนโยบายคนละคน
| Artifact | Visible on the covered path | Extra step required |
|---|---|---|
| Destination address and port | Yes | None |
| DNS names and query timing | Usually | None |
| HTTPS request and response bodies | No | Trusted root certificate |
| Files already stored on the Mac | No | Endpoint agent |
| Other devices on the same Wi-Fi | No | Separate enrollment |
ตรวจสอบที่เก็บใบรับรองก่อนจะตื่นตระหนก
รากที่เชื่อถือได้คือความแตกต่างระหว่างการดูทราฟฟิกกับการอ่านมัน ตรวจสอบพวงกุญแจระบบว่ามีผู้ออกใบรับรองที่คุณไม่รู้จักหรือไม่ และจดบันทึกสิ่งที่ปรากฏขึ้นใกล้เวลาที่ข้อความแจ้งปรากฏ Mac ที่ถูกจัดการอาจมีรากสำหรับตรวจสอบที่องค์กรผลักดันมาอย่างชอบธรรม และเมื่อเป็นเช่นนั้นการสนทนาก็เป็นเรื่องของผู้ดูแลระบบ Mac ส่วนตัวที่ได้มาโดยบังเอิญมีสิ่งที่ค้นพบที่ควรค่าแก่การลงมือ บันทึกชื่อสามัญ ผู้ออก และวันที่เพิ่มไว้เพื่อให้ตอบคำถามได้ในภายหลัง
เปรียบเทียบรายการนั้นกับสิ่งที่ระบบจัดการอุปกรณ์รายงาน ถ้ารายการโปรไฟล์กับรายการใบรับรองไม่ตรงกัน รายการใบรับรองคือสิ่งที่ตัดสินว่า Mac จะยอมรับอะไร
สองคำสั่งครอบคลุมการตรวจสอบส่วนใหญ่ คำสั่งแรกพิมพ์โปรไฟล์คอนฟิกูเรชัน คำสั่งที่สองพิมพ์ใบรับรองในพวงกุญแจระบบที่ผู้ดูแลจัดการ ซึ่งเป็นที่ที่รากที่เพิ่มเข้ามามักไปลงเอย
profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychainรากที่ Apple จัดหาให้อยู่ในพวงกุญแจแยกต่างหากและไม่ใช่ความกังวลตรงนี้ ผลลัพธ์ว่างจากคำสั่งที่สองเป็นเรื่องปกติบน Mac ส่วนตัว ผลลัพธ์ที่มีข้อมูลควรค่าแก่การอ่านทีละหัวข้อก่อนจะปัดทิ้ง
ตัดสินใจ แล้วเขียนเหตุผลลงไป
การอนุมัติสมเหตุสมผลเมื่อคุณระบุผู้ให้บริการ องค์ประกอบ และเหตุผลได้ และเมื่อคำขอตรงกับการเลือกที่คุณหรือองค์กรของคุณทำไว้ การสอบสวนคือการตอบสนองที่ถูกต้องเมื่อข้อความแจ้งมาโดยไม่มีบริบท โดยเฉพาะหลังการเปลี่ยนเครือข่ายหรือการติดตั้งที่ไม่เกี่ยวข้อง ตัดการเชื่อมต่อก่อน บันทึกตัวระบุโปรไฟล์และส่วนขยาย แล้วจึงตัดสินใจ การลบเป็นเส้นทางที่สาม และคืนเส้นทางเดิมโดยไม่แตะบัญชี
มองความยินยอมและการลบเป็นสองการตัดสินใจแยกกันที่ทำในเวลาต่างกัน การอนุมัติตัวกรองวันนี้ไม่ได้ผูกมัดให้คุณเก็บมันไว้ และการลบโปรไฟล์ไม่ได้ลบบันทึกฝั่งเซิร์ฟเวอร์เกี่ยวกับสิ่งที่ถูกสังเกตขณะมันทำงาน
ถ้าข้อความแจ้งตามหลังการอัปเดตซอฟต์แวร์ที่คุณใช้อยู่แล้ว ให้อ่านบันทึกประจำรุ่นของเวอร์ชันนั้นก่อนคลิก ผู้จำหน่ายเปลี่ยนสถาปัตยกรรมส่วนขยายระหว่างรุ่นจริง และตัวกรองใหม่อาจมาพร้อมการอัปเดตตามปกติ ถ้าข้อความแจ้งตามหลังการเชื่อมต่อเครือข่ายใหม่ ให้ถือเวลาเป็นหลักฐานและตรวจสอบว่าอะไรเปลี่ยนไป
เก็บบันทึกสั้น ๆ: ชื่อโปรไฟล์ ตัวระบุส่วนขยาย ผู้ให้บริการ ลายนิ้วมือใบรับรองถ้ามีการเพิ่ม และวันที่ คนถัดไปสามารถเริ่มจากไทม์ไลน์นั้นแทนที่จะเริ่มจากถ้อยคำในกล่องโต้ตอบ