Paggamit ng pampublikong kompyuter na may VPN: ano ang unang titingnan
Pinoprotektahan ng tunnel ang ruta, hindi ang makina sa magkabilang dulo. Magpasya kung sino ang kumokontrol sa host, ano ang natitira sa disk at paano bawiin ang access bago mag-sign in.
Hiram na makina, apurahang gawain at isang VPN client na nangangakong ie-encrypt ang lahat: mukhang ligtas ang pagkakasunod-sunod at hindi. Pinoprotektahan ng tunnel ang ruta sa pagitan ng dalawang dulo, at ang dulong nasa harap mo ang bahaging hindi mo ma-verify. Ang tatlong hakbang sa ibaba ang magpapasya kung magagamit man ang device, paano ilalayo ang mga kredensyal dito at ano ang gagawin pagkatapos upang ang pansamantalang session ay hindi maging permanenteng kopya.
Nagsisimula ang tunnel pagkatapos nang makita ng host ang data
Ang encryption ay nangyayari sa VPN client, na tumatakbo bilang programa sa makina. Lahat ng nasa itaas ng programang iyon, kasama ang browser, operating system at anumang extension o driver na may sapat na access, ay humahawak sa iyong data bago ito ma-encrypt. Hindi ito depekto ng protocol; ito ang lugar kung saan nakaupo ang protocol.
Kaya ang pagsuri sa exit address ay halos walang pinapatunayan tungkol sa host. Maaaring i-route ng makina ang lahat ng trapiko sa malinis na exit at mag-log pa rin ng bawat pagpindot sa key, at ang dalawang katotohanang ito ay hindi magkasalungat.
Ang kapaki-pakinabang na balangkas ay itanong kung ano ang mapapansin ng host, hindi kung ano ang kaya ng network. Sa makinang pinangangasiwaan ng ibang tao, mas malaki ang set na iyon kaysa sa maaari mong ilista.
Unang hakbang: alamin kung sino ang kumokontrol sa device
Ang kontrol ay usapin ng mga karapatang pang-administratibo at pisikal na access, hindi ng kagandahang-asal. Kung may ibang taong makakapag-install ng software, makakapag-load ng driver, makakapag-konekta ng device o makakapag-restore ng image, ang pag-uugali ng makina ay hindi isang bagay na matutukoy mo sa pamamagitan ng pagtingin dito. Ang administrasyon ay isang kakayahan, at ang mga kakayahan ay hindi lumalabas sa screenshot. Tanungin ang taong nagbigay sa iyo ng makina.
Hanapin ang mga karaniwang senyales, at ituring ang bawat isa bilang ebidensya tungkol sa kontrol hindi bilang patunay ng kaligtasan. Wala sa mga ito ang naging tiyak mag-isa.
- Ang guest o kiosk account na hindi makapag-install ng software ay mas mabuting panimulang punto kaysa sa administrator account na ibinigay sa iyo ng iba.
- Ang pinangangasiwaang device na may kilalang may-ari at contact ng suporta ay mas mabuti kaysa sa terminal na walang nagbabantay, kahit mas mukhang malinis ang terminal.
- Ang makinang hindi mo matukoy kung sino ang huling nag-log in ay makinang hindi mo maipaliwanag ang kalagayan.
Wala sa mga pagsusuring ito ang gumagawa sa pinagsasaluhang host na mapagkakatiwalaan. Sinasabi nila kung ang panganib ay sapat na limitado upang magpatuloy sa limitadong gawain, na ibang at mas tapat na tanong. Isulat ang sagot bago magpatuloy.
Ikalawang hakbang: ilayo ang mga kredensyal sa host
Ang buhay na profile ay hindi bookmark. Ang OpenVPN profile ay maaaring maglaman ng naka-embed na mga sertipiko at pribadong key, at ang pag-import nito ay nagsusulat ng materyal na iyon sa device na hindi mo pag-aari. Ganoon din sa session ng browser na nag-iimbak ng cookie, at sa anumang password manager na nag-cache ng vault nang lokal.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Piliin ang pinakamaliit na tumatagal na access na sinusuportahan ng serbisyo. Ang web portal na nagpapatunay bawat session at nangangailangan ng pangalawang factor ay nag-iiwan ng mas kaunti kaysa sa desktop client na may naka-save na profile, at ang session na nagtatapos kapag sarado ang browser ay mas mabuti kaysa sa tumatagal pagkatapos ng restart.
Pagkatapos ay tingnan kung ano ang itinatago ng makina. Sa pinagsasaluhang Linux host, madaling suriin ang lokasyon ng profile, at sa Windows ang katumbas na paghahanap ay isang utos lang. Ang paghahanap ng profile ng dating user ay kapaki-pakinabang na paalala na ang sa iyo ay tratuhin din nang ganoon.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueIkatlong hakbang: wakasan ang access mula sa lugar na pinagkakatiwalaan mo
Ang paglilinis sa lokal ay sulit at hindi sapat. Mag-log out sa serbisyo, isara ang browser, alisin ang anumang na-download na file, at pagkatapos ay gawin ang hakbang na talagang mahalaga: bawiin ang session o ang kredensyal mula sa device na kinokontrol mo.
Ito ang huling aksyon na nilalaktawan ng mga tao, dahil mukhang malinis ang lokal na screen. Ang session token na kinopya ng software sa host ay patuloy na gumagana pagkatapos mong umalis, at wala itong pakialam na isinara ang browser. Ang pagbawi ay ang tanging hakbang na ipinapalagay na maaaring naging kaaway ang host. Ito rin ang tanging gumagana pa kung naging ganoon ito.
Kung may pribadong key o recovery secret na naka-touch sa makina, ituring itong na-expose at paikutin ito sa halip na siyasatin ang mga kopya. Para sa account na gumamit ng pangalawang factor, suriin din ang mga device at session na nakalista ng provider, dahil ang token na inilabas habang bumibisita ka ay maaaring aktibo pa rin.
Isulat ang resulta habang sariwa pa: aling device, aling account, ano ang na-install, ano ang nabawi at kailan. Ang talaang iyon ang nagpapahintulot sa susunod na tao na sagutin ang tanging tanong na mahalaga pagkatapos: kung may isang bagay pang may access.
Ang device sa ilalim ng pribadong kontrol ay nangangailangan pa rin ng maintenance, at binibigyan ka nito ng batayan para pamahalaan ang dulo na hindi kailanman ibibigay ng hiram na terminal. Ang tunnel ang madaling bahagi.