Dùng máy tính công cộng với VPN: cần kiểm tra gì trước tiên
Đường hầm bảo vệ đường đi, không bảo vệ máy ở hai đầu. Hãy quyết định ai kiểm soát máy chủ, thứ gì còn lại trên đĩa và cách thu hồi quyền truy cập trước khi đăng nhập.
Máy mượn, việc gấp và một ứng dụng VPN hứa mã hóa mọi thứ: trình tự này có vẻ an toàn và không phải vậy. Đường hầm bảo vệ đường đi giữa hai điểm cuối, và điểm cuối trước mặt bạn là phần bạn không thể xác minh. Ba bước dưới đây quyết định thiết bị có dùng được hay không, cách giữ thông tin đăng nhập tránh xa nó và cần làm gì sau đó để một phiên tạm thời không thành bản sao vĩnh viễn.
Đường hầm bắt đầu sau khi máy chủ đã thấy dữ liệu
Việc mã hóa diễn ra trong ứng dụng VPN, chạy như một chương trình trên máy. Mọi thứ phía trên chương trình đó, gồm trình duyệt, hệ điều hành và mọi tiện ích mở rộng hay trình điều khiển có đủ quyền truy cập, đều xử lý dữ liệu của bạn trước khi dữ liệu được mã hóa. Đây không phải lỗi của giao thức; đây là vị trí của giao thức.
Vì vậy kiểm tra địa chỉ thoát gần như không chứng minh được gì về máy chủ. Một máy có thể định tuyến toàn bộ lưu lượng qua một lối ra sạch mà vẫn ghi lại từng lần gõ phím, và hai sự thật đó không mâu thuẫn.
Cách đặt vấn đề hữu ích là hỏi máy chủ có thể quan sát được gì, chứ không phải mạng có thể làm gì. Trên một máy do người khác quản trị, tập hợp đó lớn hơn những gì bạn có thể liệt kê.
Bước một: xác định ai kiểm soát thiết bị
Kiểm soát là câu hỏi về quyền quản trị và truy cập vật lý, không phải phép lịch sự. Nếu người khác có thể cài phần mềm, nạp trình điều khiển, kết nối thiết bị hoặc khôi phục ảnh, thì hành vi của máy không phải thứ bạn xác định được bằng cách nhìn vào nó. Quản trị là một năng lực, và năng lực không hiện ra trong ảnh chụp màn hình. Hãy hỏi người đã đưa máy cho bạn.
Tìm những dấu hiệu thông thường và coi mỗi dấu hiệu là bằng chứng về kiểm soát chứ không phải bằng chứng an toàn. Không dấu hiệu nào tự nó là quyết định.
- Một tài khoản khách hoặc kiosk không thể cài phần mềm là điểm khởi đầu tốt hơn tài khoản quản trị mà ai đó đưa cho bạn.
- Một thiết bị được quản lý với chủ sở hữu đã biết và đầu mối hỗ trợ tốt hơn một thiết bị đầu cuối không người trông coi, kể cả khi thiết bị đầu cuối trông sạch hơn.
- Một máy mà bạn không xác định được ai đăng nhập lần cuối là một máy mà bạn không mô tả được trạng thái của nó.
Không kiểm tra nào trong số này khiến một máy chủ dùng chung trở nên đáng tin. Chúng cho biết rủi ro có được giới hạn đủ để tiếp tục với một nhiệm vụ hạn chế hay không, đó là câu hỏi khác và trung thực hơn. Ghi lại câu trả lời trước khi tiếp tục.
Bước hai: giữ thông tin đăng nhập tránh xa máy chủ
Một hồ sơ đang hoạt động không phải dấu trang. Hồ sơ OpenVPN có thể chứa chứng chỉ nhúng và khóa riêng, và việc nhập nó sẽ ghi tư liệu đó vào thiết bị không phải của bạn. Điều tương tự đúng với phiên trình duyệt lưu cookie và mọi trình quản lý mật khẩu lưu bộ lưu trữ cục bộ.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Ưu tiên quyền truy cập ít lâu bền nhất mà dịch vụ hỗ trợ. Một cổng web xác thực theo từng phiên và yêu cầu yếu tố thứ hai để lại ít dấu vết hơn ứng dụng máy tính để bàn có hồ sơ đã lưu, và một phiên kết thúc khi đóng trình duyệt tốt hơn một phiên tồn tại qua lần khởi động lại.
Sau đó kiểm tra xem máy giữ lại gì. Trên máy chủ Linux dùng chung, vị trí hồ sơ dễ kiểm tra, và trên Windows tìm kiếm tương đương chỉ tốn một lệnh. Tìm thấy hồ sơ của người dùng trước là lời nhắc hữu ích rằng hồ sơ của bạn cũng sẽ bị đối xử như vậy.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueBước ba: chấm dứt quyền truy cập từ nơi bạn tin cậy
Dọn dẹp cục bộ là đáng làm và không đủ. Đăng xuất khỏi dịch vụ, đóng trình duyệt, xóa mọi tệp đã tải xuống, rồi thực hiện bước thực sự quan trọng: thu hồi phiên hoặc thông tin đăng nhập từ một thiết bị bạn kiểm soát.
Chính hành động cuối cùng này là thứ mọi người bỏ qua, vì màn hình cục bộ trông sạch. Một mã phiên bị phần mềm trên máy chủ sao chép vẫn hoạt động sau khi bạn rời đi, và nó không quan tâm trình duyệt đã đóng. Thu hồi là bước duy nhất giả định rằng máy chủ có thể đã thù địch. Đó cũng là bước duy nhất vẫn hoạt động nếu đúng là như vậy.
Nếu khóa riêng hoặc bí mật khôi phục đã chạm vào máy, hãy coi nó là đã lộ và xoay vòng nó thay vì kiểm tra bản sao. Với tài khoản đã dùng yếu tố thứ hai, hãy xem cả các thiết bị và phiên mà nhà cung cấp liệt kê, vì mã được phát hành trong chuyến thăm của bạn có thể vẫn còn hiệu lực.
Ghi lại kết quả khi còn mới: thiết bị nào, tài khoản nào, đã cài gì, đã thu hồi gì và khi nào. Chính ghi chú đó giúp người tiếp theo trả lời câu hỏi duy nhất quan trọng về sau: liệu còn thứ gì có quyền truy cập hay không.
Một thiết bị dưới sự kiểm soát riêng vẫn cần bảo trì, và nó cho bạn nền tảng để quản lý điểm cuối mà một thiết bị đầu cuối mượn không bao giờ mang lại. Đường hầm là phần dễ dàng.