Ortak bir bilgisayarı VPN ile kullanmak: önce neleri kontrol etmeli
Tünel yolu korur, iki uçtaki makineyi değil. Oturum açmadan önce ana bilgisayarı kimin denetlediğine, diskte neyin kaldığına ve erişimin nasıl geri alınacağına karar verin.
Ödünç alınmış makine, acil bir iş ve her şeyi şifreleyeceğini vaat eden bir VPN istemcisi: sıralama güvenli hissettiriyor ve değil. Tünel iki uç nokta arasındaki yolu korur ve önünüzdeki uç nokta doğrulayamadığınız kısımdır. Aşağıdaki üç adım cihazın kullanılabilir olup olmadığını, kimlik bilgilerinin ondan nasıl uzak tutulacağını ve geçici bir oturumun kalıcı bir kopyaya dönüşmemesi için sonrasında ne yapılacağını belirler.
Tünel, ana bilgisayar verileri zaten gördükten sonra başlar
Şifreleme, makinede program olarak çalışan VPN istemcisinde gerçekleşir. Bu programın üzerindeki her şey, tarayıcı, işletim sistemi ve yeterli erişime sahip herhangi bir uzantı veya sürücü dahil, verilerinizi şifrelenmeden önce işler. Bu protokolün kusuru değil; protokolün durduğu yer burasıdır.
Bu nedenle çıkış adresini kontrol etmek ana bilgisayar hakkında neredeyse hiçbir şey kanıtlamaz. Bir makine tüm trafiği temiz bir çıkıştan geçirip yine de her tuş vuruşunu kaydedebilir ve bu iki olgu çelişmez.
Yararlı çerçeve, ağın ne yapabildiği değil, ana bilgisayarın neyi gözlemleyebildiğini sormaktır. Başkasının yönettiği bir makinede bu küme, sayabileceğinizden büyüktür.
Birinci adım: cihazı kimin denetlediğini belirleyin
Denetim, yönetici hakları ve fiziksel erişimle ilgili bir sorudur, nezaketle değil. Başka biri yazılım kurabiliyor, sürücü yükleyebiliyor, cihaz bağlayabiliyor veya bir imajı geri yükleyebiliyorsa, makinenin davranışı ona bakarak belirleyebileceğiniz bir şey değildir. Yönetim bir yetenektir ve yetenekler ekran görüntüsünde görünmez. Makineyi size veren kişiye sorun.
Olağan işaretleri arayın ve her birini güvenliğin kanıtı değil denetim hakkında kanıt olarak değerlendirin. Hiçbiri tek başına belirleyici değildir.
- Yazılım kuramayan bir konuk veya kiosk hesabı, birinin size verdiği yönetici hesabından daha iyi bir başlangıç noktasıdır.
- Sahibi ve destek iletişimi bilinen yönetilen bir cihaz, terminal daha temiz görünse bile, gözetimsiz bir terminalden daha iyidir.
- En son kimin oturum açtığını belirleyemediğiniz bir makine, durumunu tanımlayamadığınız bir makinedir.
Bu kontrollerin hiçbiri ortak bir ana bilgisayarı güvenilir kılmaz. Riskin sınırlı bir görevle devam etmeye yetecek kadar sınırlı olup olmadığını söylerler ki bu başka ve daha dürüst bir sorudur. Devam etmeden önce yanıtı yazın.
İkinci adım: kimlik bilgilerini ana bilgisayardan uzak tutun
Canlı bir profil yer imi değildir. Bir OpenVPN profili gömülü sertifikalar ve özel bir anahtar içerebilir ve içe aktarmak bu malzemeyi sizin olmayan bir cihaza yazar. Aynı şey çerez saklayan bir tarayıcı oturumu ve kasayı yerel olarak önbelleğe alan her parola yöneticisi için de geçerlidir.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Hizmetin desteklediği en az kalıcı erişimi tercih edin. Oturum başına kimlik doğrulayan ve ikinci bir faktör isteyen bir web portalı, kayıtlı profili olan bir masaüstü istemcisinden daha az iz bırakır ve tarayıcı kapanınca biten bir oturum, yeniden başlatmayı atlatan bir oturumdan daha iyidir.
Ardından makinenin ne sakladığını kontrol edin. Paylaşılan bir Linux ana bilgisayarında profilin konumu kolayca incelenir ve Windows'ta eşdeğer arama tek bir komut alır. Önceki bir kullanıcının profilini bulmak, sizinkiyle de aynı şekilde davranılacağına dair yararlı bir hatırlatmadır.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueÜçüncü adım: erişimi güvendiğiniz bir yerden sonlandırın
Yerel olarak temizlik yapmaya değer ve yeterli değil. Hizmetten çıkış yapın, tarayıcıyı kapatın, indirilen her dosyayı silin ve sonra gerçekten önemli olan adımı yapın: oturumu veya kimlik bilgisini denetlediğiniz bir cihazdan iptal edin.
İnsanların atladığı tam da bu son işlemdir, çünkü yerel ekran temiz görünür. Ana bilgisayardaki yazılımın kopyaladığı bir oturum belirteci siz gittikten sonra çalışmaya devam eder ve tarayıcının kapatılmış olmasını umursamaz. İptal, ana bilgisayarın düşmanca olmuş olabileceğini varsayan tek adımdır. Öyle olduysa hâlâ işleyen tek adım da odur.
Özel bir anahtar veya kurtarma sırrı makineye dokunduysa, açığa çıkmış olarak değerlendirin ve kopyaları incelemek yerine değiştirin. İkinci faktör kullanan bir hesap için sağlayıcının listelediği cihazları ve oturumları da gözden geçirin, çünkü ziyaretiniz sırasında verilen bir belirteç hâlâ etkin olabilir.
Sonucu taze olduğu sürece yazın: hangi cihaz, hangi hesap, ne kuruldu, ne iptal edildi ve ne zaman. O not, sonraki kişinin sonrasında önemli olan tek soruya yanıt vermesini sağlar: bir şeyin hâlâ erişimi var mı.
Özel denetim altındaki bir cihaz yine de bakım gerektirir ve ödünç alınmış bir terminalin asla vermeyeceği uç noktayı yönetmek için size bir temel verir. Tünel kolay kısımdı.