พรอมป์ต์ขออนุญาต VPN บน Mac: คุณกำลังอนุมัติอันไหน?
ความยินยอมในการกำหนดค่าเครือข่าย การเข้าถึงพวงกุญแจ ไฟร์วอลล์ และการเข้าถึงดิสก์เต็มรูปแบบเป็นสี่สิทธิ์ที่แตกต่างกัน อนุมัติสิทธิ์ที่มีวัตถุประสงค์ชัดเจนเป็นลายลักษณ์อักษร
ไคลเอนต์ VPN ขออนุญาตแล้วคุณกดอนุญาต เพราะทางเลือกคือการเชื่อมต่อที่ไม่ขึ้นมา นิสัยนี้เองทำให้เครื่องหนึ่งมีสิทธิ์กว้างขวางที่ไม่มีใครอธิบายได้ พรอมป์ต์เหล่านี้ใช้แทนกันไม่ได้ แต่ละอันอนุมัติความสามารถคนละอย่าง และชื่อแอปเดียวกันอาจปรากฏอยู่หน้าพรอมป์ต์ทั้งหมด อ่านประโยคใต้ไอคอนก่อนตัดสินใจ
สี่สิทธิ์ที่อยู่เบื้องหลังพรอมป์ต์ปกติ
การบันทึกการกำหนดค่า VPN คืออันแรก บน macOS แอปที่ใช้ Personal VPN API แบบเนทีฟต้องได้รับอนุญาตอย่างชัดเจนเมื่อบันทึกการกำหนดค่าเป็นครั้งแรก จึงเป็นเหตุให้กล่องโต้ตอบปรากฏตอนติดตั้งไม่ใช่ตอนเชื่อมต่อ การปฏิเสธทำให้ไคลเอนต์ยังติดตั้งอยู่แต่บันทึกโปรไฟล์ไม่ได้ ซึ่งเป็นสภาวะที่กู้คืนได้
พวงกุญแจคืออันที่สอง การดึงรหัสผ่านที่บันทึกไว้สำหรับรายการใดรายการหนึ่งเป็นการตัดสินใจคนละเรื่องกับการไว้ใจเซิร์ฟเวอร์ที่จะรับมัน ไฟร์วอลล์คืออันที่สาม และการควบคุมระดับแอปของมันดูแลการเชื่อมต่อขาเข้า ไม่ใช่ว่าทราฟฟิกของคุณออกทางอินเทอร์เฟซไหน การเข้าถึงดิสก์เต็มรูปแบบคืออันที่สี่ และเป็นอันที่ถูกให้ด้วยเหตุผลผิด ๆ
| Prompt | What you are approving | What it does not prove |
|---|---|---|
| Save a VPN configuration | The configuration operation itself | That the gateway is legitimate or that the account works |
| Access a Keychain item | This component reading this credential | Trust in the server or access for other apps |
| Allow incoming connections | Traffic reaching the app from the network | That outgoing traffic uses the tunnel |
| Full Disk Access | Broad access to protected data | Anything about VPN configuration or login |
การเข้าถึงดิสก์เต็มรูปแบบไม่เคยเป็นการแก้ปัญหา VPN
เอกสารอ้างอิงความเป็นส่วนตัวของ Apple อธิบายการเข้าถึงดิสก์เต็มรูปแบบว่าเป็นการเข้าถึงกว้างที่รวมข้อมูลของแอปอื่น ข้อมูลสำรอง และการตั้งค่าบางอย่างของผู้ดูแลระบบ ส่วน Files & Folders เป็นการควบคุมที่แคบกว่าและอิงตำแหน่ง ซึ่งครอบคลุมความจำเป็นด้านไฟล์ที่ชอบด้วยกฎหมายส่วนใหญ่
ผลิตภัณฑ์ความปลอดภัยบางตัวบันทึกคุณสมบัติที่ต้องใช้การเข้าถึงกว้าง และเมื่อทำเช่นนั้น คำขอควรระบุส่วนประกอบและเวอร์ชัน สิ่งที่คุณไม่ควรยอมรับคือกล่องโต้ตอบกำหนดค่าเครือข่ายที่ถูกตอบด้วยสิทธิ์ดิสก์เพราะกล่องแรกยังคงกลับมาซ้ำ
สิทธิ์สองอย่างนี้ไม่เกี่ยวข้องกันเลย การให้อันหนึ่งเพื่อปิดปากอีกอันทำให้คุณเหลือการเข้าถึงที่แจกออกไปมากขึ้นและปัญหาเดิมที่ยังไม่ถูกแก้
คู่มือ: รับมือกับพรอมป์ต์ที่คุณไม่ได้คาดคิด
เริ่มจากการบันทึกถ้อยคำที่แน่นอนและชื่อส่วนประกอบ แล้วจับภาพหน้าจอแทนการถอดความ ถ้อยคำเปลี่ยนไประหว่างเวอร์ชัน และประโยคที่แน่นอนคือสิ่งที่ผู้ขายหรือผู้ดูแลระบบจะจำได้ ภาพหน้าจอยังยุติข้อโต้แย้งว่ากล่องโต้ตอบพูดอะไรจริง ๆ
จากนั้นระบุว่าอะไรเป็นผู้ขอ ตรวจสอบเวอร์ชันของแอปและใครเป็นผู้ลงนาม และยืนยันว่าเป็นไคลเอนต์ที่คุณคิดว่าติดตั้งอยู่ ไม่ใช่ตัวช่วย ตัวอัปเดต หรือเศษของผลิตภัณฑ์ที่คุณถอดออกไป
ตัดสินด้วยคำถามเดียว: ส่วนประกอบนี้มีความจำเป็นที่บันทึกไว้เป็นลายลักษณ์อักษรสำหรับความสามารถนี้ในเวอร์ชันนี้หรือไม่ ถ้าเอกสารของผู้ขายไม่ได้ระบุไว้ ให้ปฏิเสธพรอมป์ต์และหาสาเหตุที่มันปรากฏ เพราะคำขอที่อธิบายไม่ได้คือข้อมูลไม่ใช่อุปสรรค
หลังจากตัดสินแล้ว ให้ลองเชื่อมต่อปกติหนึ่งครั้งและบันทึกว่ามีอะไรเปลี่ยนไป สิทธิ์ที่ให้กลางปัญหาที่ไม่เกี่ยวข้องนั้นประเมินภายหลังได้ยาก จึงเป็นเหตุให้ลำดับความสำคัญเท่ากับคำตอบ
ทำไมพรอมป์ต์เดิมกลับมาอีก
การอนุญาตซ้ำมักหมายความว่าการตัดสินใจไม่ได้ถูกบันทึกในที่ที่ส่วนประกอบคาดไว้ รายการถูกสร้างใหม่จากการติดตั้งซ้ำ หรือนโยบายการจัดการรีเซ็ตมัน สังเกตว่าเกิดเมื่อไร: ตอนเปิดเครื่อง ตอนเชื่อมต่อ ตอนตัดการเชื่อมต่อ หรือหลังรีบูต เวลานั้นช่วยจำกัดสาเหตุได้เร็วกว่าบันทึกใด ๆ ที่คุณจะอ่านภายหลัง
บน Mac ที่มีการจัดการ คำตอบที่แท้จริงอาจมาจากโปรไฟล์การกำหนดค่าแทนการคลิกของคุณ และในกรณีนั้นการกดอนุญาตอีกครั้งจะไม่ช่วยอะไร ถามผู้ดูแลระบบว่านโยบายใดควบคุมส่วนประกอบนั้นก่อนที่คุณจะกดปุ่มเดิมต่อไป
ถ้าพรอมป์ต์ตามการกระทำที่เฉพาะเจาะจงอย่างสม่ำเสมอ นั่นคือรายงานข้อบกพร่องที่ใช้ได้ ถ้ามันปรากฏแบบสุ่ม ให้บันทึกเวลาไว้หนึ่งวันและมองหารูปแบบในสิ่งที่เครื่องทำอยู่ด้วย
ทิ้งบันทึกที่คนอื่นใช้ได้
เขียนส่วนประกอบ ความสามารถ เหตุผล และวันที่ ไว้ที่เดียวกับที่คุณเก็บการกำหนดค่าที่เหลือ ตัวคุณในอนาคตจะจำไม่ได้ว่ากล่องโต้ตอบไหนได้รับการอนุมัติเพื่ออะไร หนึ่งบรรทัดต่อหนึ่งสิทธิ์ก็พอ ทะเบียนที่ไม่มีใครดูแลแย่กว่าไม่มีเลย
การทดสอบการตัดสินใจที่ดีตรงนี้ง่าย: คุณอธิบายได้ไหมว่าทำไมสิทธิ์นี้จึงมีอยู่โดยไม่ต้องเปิดแอป ถ้าไม่ได้ มันเป็นตัวเลือกให้ทบทวน และ เอกสารอ้างอิงการตั้งค่าความเป็นส่วนตัวและความปลอดภัยของ Apple คือจุดที่ควรเริ่มอ่านว่าสิทธิ์แต่ละอย่างครอบคลุมอะไรจริง ๆ