Tuyến VPN không cấp đăng nhập từ xa vào Mac của bạn

Việc kết nối vào VPN công ty tự nó không nói lên điều gì về việc liệu ai đó có thể đăng nhập vào Mac của bạn từ nơi khác hay không. Ba thứ riêng biệt phải khớp nhau: một đường mạng đi tới máy, một dịch vụ truy cập đang chạy và quyền cho một tài khoản cụ thể sử dụng dịch vụ đó. Đường hầm chỉ cung cấp thứ đầu tiên. Mọi thứ còn lại trên trang này nói về việc kiểm tra hai thứ kia mà không mặc định câu trả lời.

Hãy bắt đầu từ dịch vụ hoặc thành phần đã cài đặt có thể cung cấp truy cập từ xa, và đừng suy ra điều đó từ chỉ báo trạng thái đã kết nối trên thanh menu.

Ba kiểm soát mà người ta gộp thành một

Khả năng tiếp cận trả lời liệu các gói tin có thể đến được. Một dịch vụ chia sẻ trả lời liệu có thứ gì đang lắng nghe trên máy. Việc ủy quyền trả lời dịch vụ chấp nhận những danh tính nào, và chúng có thể chạm vào gì khi đã vào trong. Một VPN có thể thay đổi câu trả lời đầu tiên mà không chạm vào hai câu còn lại, và đó chính là lý do câu hỏi này tiếp tục tạo ra kết luận sai theo cả hai hướng.

Hướng dẫn của Apple về Remote Login là một ví dụ cụ thể tốt về sự tách biệt này, vì nó nằm ở một vị trí xác định và mang theo các lựa chọn tài khoản riêng. Nó nằm trong System Settings, General, Sharing, và mô tả quyền truy cập SSH và SFTP với việc chọn người dùng được phép. Quyền truy cập toàn bộ ổ đĩa cho người dùng từ xa lại là một tùy chọn riêng, điều này củng cố luận điểm: bật một dịch vụ không giống với việc trao mọi khả năng mà dịch vụ đó có thể cung cấp.

Kiểm tra thực sự những gì đang bật

Hãy đi qua bảng Sharing và ghi lại mọi dịch vụ đang bật, không chỉ dịch vụ bạn mong đợi. Remote Login, Screen Sharing và File Sharing mỗi cái mở ra một bề mặt khác nhau, và mỗi cái có danh sách người dùng riêng. Một cài đặt cho SSH không nói gì về chia sẻ màn hình, và việc hệ điều hành có tính năng chia sẻ không nói gì về việc liệu ai đó đã dùng nó hay chưa.

Sau đó hãy kiểm kê những gì khác có thể cấp quyền truy cập: một tác nhân hỗ trợ từ xa của bên thứ ba, một công cụ quản lý được cài trong quá trình ghi danh, hoặc một máy chủ chia sẻ màn hình đi kèm với thứ khác. Những thứ này không xuất hiện trong bảng Sharing, và đây chính là những thành phần mà người ta quên khi kiểm tra một máy tính xách tay. Hãy ghi lại mọi tác nhân bạn không thể nhận diện, vì một tiến trình lạ có cổng đang lắng nghe thú vị hơn một tiến trình quen thuộc không có. Một danh sách ngắn những thứ chưa rõ tốt hơn một kết luận tự tin dựa trên chiếc bảng duy nhất mà bạn tình cờ mở ra.

Hỏi quản trị viên xem việc ghi danh đã cài gì

Nếu việc ghi danh công việc bao gồm một cấu hình, sự chấp thuận của quản trị viên hoặc phần mềm bổ sung, hãy đề nghị người vận hành nó trả lời ba điều: những thành phần nào đã được cài, chúng có quyền gì và điều gì vẫn hoạt động sau khi bạn ngắt kết nối. Một tuyến VPN và một tác nhân điểm cuối có đặc quyền có khả năng rất khác nhau, và thường chỉ một trong hai là hiển thị với người dùng.

Đối với một thỏa thuận hỗ trợ từ xa được phép, hãy lấy chi tiết bằng văn bản: người dùng nào được ủy quyền, những thao tác nào được dự kiến, có xuất hiện lời nhắc xác nhận hay không, và thỏa thuận được gỡ bỏ như thế nào khi công việc kết thúc. Đừng cấp quyền truy cập cho mọi người dùng hoặc quyền ổ đĩa rộng chỉ để thử xem bộ phận hỗ trợ có kết nối được hay không, vì thử nghiệm đó mở rộng ranh giới một cách vĩnh viễn.

Nếu bạn tìm thấy bằng chứng mà bạn không ngờ

Một nhật ký kết nối lạ hoặc một công tắc đã bật là manh mối, không phải bằng chứng về hoạt động của một người cụ thể. Hãy giữ lại các sự kiện liên quan không bí mật, ghi lại thời gian, và sử dụng quy trình xử lý sự cố của tổ chức hoặc nền tảng thay vì đối chất với ai đó hoặc xóa bằng chứng với hy vọng nó tự giải quyết.

Trên một thiết bị được quản lý, hãy để chủ sở hữu xem xét các thay đổi được đề xuất trước khi bạn vô hiệu hóa một kiểm soát mà chính sách yêu cầu. Trên một thiết bị cá nhân đã tham gia mạng công việc, hãy yêu cầu một ranh giới ghi danh rõ ràng và một quy trình rời đi được hỗ trợ, bao gồm những gì bị xóa và những gì còn lại.

Câu trả lời hữu ích nêu tên cơ chế và thẩm quyền đằng sau nó. Nó không bao giờ hứa quyền truy cập không giới hạn của người sử dụng lao động hay sự an toàn hoàn toàn nhờ nhãn của một đường hầm, và nó không lẫn lộn một tuyến với một lần đăng nhập.