Mac VPN administrator ogohlantirishi: o'rnatish, kengaytma yoki siyosat?

VPN mijozi ko'rsatadigan parol so'rovlari bir-biriga o'xshab ko'rinadi, lekin aslida unday emas. O'xshash muloqot oynasi ortida to'rt xil amal yashiringan: o'rnatish paytida himoyalangan joyga fayl yozish, tarmoq sozlamasini qo'shish yoki o'zgartirish, trafikni tashuvchi tizim kengaytmasini faollashtirish va boshqaruv serveri allaqachon o'rnatgan siyosatga rioya qilish. Har birining egasi boshqa, ta'sir doirasi boshqa va ishlaganini tekshirish usuli boshqa. Ko'rib turgan xabarni shu to'rttadan biriga moslashtirish — butun mashq shundan iborat.

Uch xil tasdiq bir xil ko'rinadi

O'rnatuvchi avtorizatsiyasi eng oddiy holat: paket oddiy foydalanuvchi o'zgartira olmaydigan kataloglarga yozadi va macOS bunga ruxsat berish uchun administrator hisob ma'lumotlarini so'raydi. Tizim bu yerda dasturiy ta'minot xavfsizmi yoki yo'qmi, deb qaror qilmayapti; u siz u yerga yoza olasizmi, deb qaror qilmoqda. Paket toza o'rnatilib, baribir foydasiz bo'lishining sababi ham shu: o'rnatish ruxsati kod keyinchalik ishga tushishiga ruxsat beriladimi-yo'qmi haqida hech narsa demaydi. O'rnatilgandan so'ng ham ilova tarmoqqa ta'sir qilishdan oldin ikkinchi tasdiqni talab qilishi mumkin.

Tarmoq sozlamasi avtorizatsiyasi tizimning ulanish ro'yxatidagi o'zgarishlarni qamrab oladi. VPN xizmatini qo'shish yoki tarmoq administratori sozlagan parametrlarni o'zgartirish yuqori huquq talab qiladi, chunki bu ta'riflar mashinadagi har bir hisobga ta'sir qiladi. Bu ruxsat sozlash huquqini beradi, trafik huquqini emas.

Kengaytma tasdig'i paketlar qanday harakatlanishini belgilaydigan narsadir. Zamonaviy mijoz macOS tizimga yuklaydigan tizim kengaytmasini o'rnatadi va macOS uni faollashtirishdan oldin Maxfiylik va xavfsizlik yoki Kirish elementlari va kengaytmalar bo'limida aniq qaror talab qiladi. To'rtinchi holat — boshqariladigan Mac: siyosat kengaytmani oldindan tasdiqlagan va foydalanuvchi hech qanday oyna ko'rmaydi.

Har bir tasdiq aslida nimani o'zgartiradi

O'rnatuvchi diskdagi fayllarni o'zgartiradi va uning oqibatlari fayllar olib tashlanganda tugaydi, qoldiqlar bundan mustasno. Tarmoq sozlamasi ulanish ro'yxatida ko'rinadigan va talab bo'yicha qoidalar bilan qayta faollashtirilishi mumkin bo'lgan xizmat ta'rifini qo'shadi. Kengaytma tasdig'i tizim yuklaydigan va ishlatishda davom etadigan kodni o'zgartiradi, shuning uchun u ba'zi ish jarayonlarida ko'rinadigan ilovani o'chirishdan keyin ham saqlanib qoladi. Ilova paketini olib tashlash har doim ham uning kengaytmasini olib tashlamaydi va ortda qolgan kengaytma tarmoq imtiyozlarini saqlab qoladi.

Bu farq belgini bashorat qiladi. O'rnatilgan, ammo hech qachon ulanmaydigan holat odatda kengaytma hech qayerda tasdiqlanmaganligini bildiradi; ulanadigan, ammo sozlamalar keyingi o'zgarishda orqaga qaytadigan holat odatda ta'rif boshqaruv siyosatiga tegishli ekanini bildiradi.

Imzo va nashriyotchi javobni belgilaydi

Tasdiqlashdan oldin oynadagi belgi nimani imo qilishiga emas, narsani kim imzolaganiga qarang. Imzolovchi organni va tizim bahosi bu mashinada o'tadimi-yo'qmi, ko'rish uchun ikkita mahalliy tekshiruv yetarli.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Imzosiz yoki notarial tasdiqlanmagan paket avtomatik ravishda zararli emas, lekin u siz nazarda tutgan nashriyotchining imzolangan versiyasidan boshqacha qarorga loyiq. Nashriyotchining o'z saytidan emas, xabar orqali kelgan paket — javob oddiygina yo'q bo'lgan holatdir.

Jamoa identifikatorini ilovaning ko'rsatiladigan nomiga ishonish o'rniga nashriyotchining e'lon qilingan shaxsi bilan solishtiring, chunki nomlarni qayta ishlatish oson, identifikatorlarni esa emas. Agar nashriyotchi identifikatorni o'rnatish qo'llanmasida e'lon qilsa, o'sha sahifa solishtirish uchun manba va nomuvofiqlik haqida xabar beriladigan joydir. Qayta sotuvchi, qayta paketlangan build yoki forumdan olingan ko'chma nusxa bir xil nashriyotchining imzolangan yuklamasidan ko'ra ko'proq shubhaga loyiq.

Qaror siyosatga tegishli bo'lganda

Korporativ Mac'da administrator allaqachon qaror qilgan bo'lishi mumkin. Boshqaruv profili VPN ta'rifini yetkazishi, kengaytmani oldindan tasdiqlashi va ulanishni olib tashlanmaydigan qilib qulflashi mumkin. Bunday tartibda parol kiritish so'rovi ko'pincha hech qachon sizga tegishli bo'lmagan qarorni bekor qilish so'rovidir.

O'rnatishni majburlash uchun yuklanish xavfsizligini pasaytirish yoki boshqaruvni uzish vaqtinchalik muammoni hal qilish uchun mashinaning tahdid modelini doimiy ravishda o'zgartiradi. Bunday almashinuv kamdan-kam ongli ravishda amalga oshiriladi; odatda forum postiga ergashayotganda yuz beradi. Buning o'rniga administratordan qo'llab-quvvatlanadigan yo'lni so'rang, bu profilni qayta yuborish yoki kengaytmani server tomonida tasdiqlash kabi oddiy bo'lishi mumkin. Agar administrator uni tasdiqlay olmasa, o'sha javob natijadir, aylanib o'tiladigan to'siq emas.

Tasdiqdan keyin holatni qayd eting

Vakolatli tasdiq berilgandan so'ng, mijoz da'vo qilganini emas, tizim nima deb hisoblashini tekshiring. Kengaytmalar ro'yxati hech qanday uchinchi tomon vositasisiz faollashuv holatini ko'rsatadi.

systemextensionsctl list

Faollashtirilgan deb ko'rsatilgan yozuv avval tekshirgan jamoa identifikatoriga tegishli; foydalanuvchi tasdig'ini kutib to'xtatilgan deb ko'rsatilgan yozuv esa ishga tushadigan, ammo hech qachon trafik tashimaydigan mijozni tushuntiradi. Har bir urinishdan so'ng so'rov qaytadigan bo'lsa, aniq xabar va mijoz versiyasini yozib oling, chunki takrorlanuvchi tasdiq odatda kengaytma avvalgisi o'chirilmasdan almashtirilayotganini bildiradi va bu parol muammosi emas, qo'llab-quvvatlash ishi. Qo'llab-quvvatlashga qo'ng'iroq qilishdan oldin versiyani qayd eting, chunki tuzatish yangiroq buildda allaqachon mavjud bo'lishi mumkin va suhbat o'shandan boshlanadi.