Co může pracovní VPN brána zjistit o tom, kde jste

Adresa, kterou web vidí poté, co se připojíte k pracovní VPN, není adresa, kterou pracovní brána viděla při připojení. Brána přijímá příchozí tunel z jakékoli sítě, ve které je váš notebook, a tento zdroj je jí viditelný dřív, než existuje jakýkoli tunelovaný provoz. Prohlížeč, který poté hlásí firemní výstup, dřívější pozorování nevymaže, protože jde o pozorování rozdílných věcí. Pochopení toho, které je které, vyřeší většinu sporu o tom, co zaměstnavatel může a nemůže odvodit.

Dvě adresy, dvě různá pozorování

Mechanismem je socket, ne politika. Když váš klient otevře tunel, posílá pakety z lokální adresy na veřejnou adresu brány a jádro brány zaznamená zdroj tohoto toku. Tím zdrojem je síťový koncový bod, který váš poskytovatel v daném okamžiku přiřadil připojení.

Za domácím routerem je zdrojem veřejná adresa routeru po NAT. V mobilní síti to může být adresa NAT na úrovni operátora sdílená současně s mnoha dalšími účastníky, a proto mohou dva nesouvisející lidé vypadat, že přicházejí ze stejného místa. V podnikové hostitelské síti je to výchozí bod této sítě. V každém případě se brána dozví adresu, port a časové razítko a adresa patří síťovému operátorovi, nikoli osobě.

Co brána skutečně zaznamenává

Co se potom zapíše, je oddělená otázka od toho, co je technicky viditelné. Brána může zaznamenávat připojení, identitu ověření a přidělenou adresu tunelu, nebo nemusí zaznamenávat téměř nic kromě stavu relace. Uchovávání, export do SIEM a korelace s účtem jsou rozhodnutí o nasazení a žádné z nich nevyplývá ze skutečnosti, že zdroj byl pozorovatelný.

Viditelnost a uchovávání berte jako dvě osy. Služba může vidět všechno a nic neuchovávat, nebo vidět málo a všechno předávat dál.

Praktickým důsledkem je, že o záznamech svého zaměstnavatele nemůžete uvažovat na základě klienta, který jste nainstalovali. Ptejte se, co je služba nakonfigurována sbírat a jak dlouho, a očekávejte, že odpovědí bude dokument o politice, nikoli technická záruka. Vyplatí se také oddělit VPN bránu od všeho ostatního na spravovaném zařízení, protože software na koncovém bodě má vlastní možnosti i vlastní záznamy. Osobní VPN mění trasu; nemění to, co může pozorovat software již běžící na stroji.

Co databáze IP může a nemůže říct

Databáze IP geolokace vezme tuto adresu a vrátí pole: zemi, region, město, PSČ, zeměpisnou šířku a délku, plus rádius přesnosti, pokud jej dodavatel uvádí. Tato pole jsou odhady odvozené z registračních údajů, síťové topologie a měřené latence a na každé úrovni degradují jinak. Odpověď o zemi může být spolehlivá, zatímco odpověď o městě je hádanka.

Vlastní pokyny MaxMind k přesnosti výslovně upozorňují na rozdíl, který je zde důležitý: lokalizovat server VPN není totéž jako lokalizovat jeho uživatele a data nemohou identifikovat domácnost, jednotlivce ani pouliční adresu. Čtěte rádius přesnosti a pole spolehlivosti tam, kde je produkt zveřejňuje, a chybějící údaje berte jako chybějící, nikoli jako výchozí hodnotu. Špendlík na mapě je volba zobrazení, ne měření. Registrační záznamy a reverzní DNS jsou dalším druhem důkazu: whois 203.0.113.5 vám řekne, který operátor drží alokaci, a dig +short -x 203.0.113.5 vám řekne, jak ji operátor pojmenoval, a ani jedno není tvrzením o tom, kde člověk stál.

Záznamy, které nejsou zaměnitelné

To platí oběma směry, a proto je to špatný základ pro kategorické rozhodnutí. Odhad, který odpovídá schválenému regionu, nedokazuje přítomnost. Neshoda sama o sobě nedokazuje podvod.

Přezkum práce na dálku, který se opírá o jedno vyhledání, odpovídá na jinou otázku, než jaká se klade. Potřebuje kontext: která místa uspořádání dovoluje, co osoba uvedla a zda s tím ostatní důkazy souhlasí. To je manažerský proces s technickými vstupy, ne technický verdikt.

Ostatní záznamy, které organizace může mít, nejsou se zdrojovou adresou zaměnitelné. Nastavení časového pásma je předvolba zařízení, kterou může kdokoli změnit; událost účtu zaznamenává, že relace proběhla, ne kde; čtení polohy zařízení ze softwaru na koncovém bodě je jiný senzor s jinými oprávněními a jinými režimy chyb. Předpokládat, že každý zaměstnavatel sbírá všechny, je stejně chybné jako předpokládat, že se nesbírá žádný. Užitečná disciplína je pojmenovat záznam, jeho vlastníka a jeho režim chyb dřív, než jej začnete považovat za důkaz čehokoli.

Co z toho plyne pro pracovní uspořádání

U vlastních uspořádání je otázkou, co organizace sbírá a která pracovní místa dovoluje. To jsou dvě odpovědi ze dvou různých částí firmy.

Zobrazení zdrojové IP nemůže vyřešit povolení pracovat z určitého místa a změna trasy není náhradou za dohodu o uspořádání. Pokud je politika nejasná, produktivním krokem je zeptat se, ne optimalizovat síťovou cestu. Technická obejití obvykle vytvoří právě ten záznam, který vypadá jako zatajování.

Obhajitelné technické tvrzení je úzké a vyplatí se je takové udržet: brána pozoruje síťový původ příchozího připojení, databáze geolokace může pro tento původ odhadnout polohu a každé tvrzení o fyzické poloze osoby potřebuje důkazy nad rámec obojího. Pokyny MaxMind k přesnosti jsou referencí pro to, co tyto odhady podporují. Vše za tímto bodem je otázka politiky v technickém kostýmu.