Hvad en arbejds-VPN-gateway kan se om, hvor du er

Den adresse, en hjemmeside ser, når du har oprettet forbindelse til en arbejds-VPN, er ikke den adresse, arbejdsgatewayen så, da du oprettede forbindelsen. Gatewayen accepterer en indgående tunnel fra hvilket netværk, din bærbare computer end er på, og den kilde er synlig for den, før der overhovedet findes tunnelert trafik. At en browser bagefter rapporterer en virksomhedsudgang sletter ikke den tidligere observation, fordi de to er observationer af forskellige ting. Forståelsen af, hvilken der er hvilken, afgør det meste af diskussionen om, hvad en arbejdsgiver kan og ikke kan udlede.

To adresser, to forskellige observationer

Mekanismen er en socket, ikke en politik. Når din klient åbner tunnelen, sender den pakker fra en lokal adresse til gatewayens offentlige adresse, og gatewayens kerne registrerer kilden til den strøm. Den kilde er det netværksendepunkt, som din udbyder tildelte forbindelsen i det øjeblik.

Bag en hjemmerouter er kilden routerens offentlige adresse efter NAT. På et mobilnetværk kan det være en carrier-grade NAT-adresse, der deles med mange andre abonnenter på samme tid, og derfor kan to ubeslægtede personer se ud til at komme fra samme sted. På et virksomhedsgæstenetværk er det det netværks udgang. I alle tilfælde lærer gatewayen en adresse, en port og et tidsstempel, og adressen tilhører en netværksoperatør snarere end en person.

Hvad gatewayen faktisk registrerer

Hvad der bagefter skrives ned, er et andet spørgsmål end, hvad der teknisk er synligt. Gatewayen kan logge forbindelsen, godkendelsesidentiteten og den tildelte tunneladresse, eller den kan logge næsten intet ud over sessionstilstand. Opbevaring, eksport til en SIEM og korrelation med en konto er driftsbeslutninger, og ingen af dem følger af, at kilden var observerbar.

Behandl synlighed og opbevaring som to akser. En tjeneste kan se alt og gemme intet, eller se lidt og videresende det hele.

Den praktiske konsekvens er, at du ikke kan ræsonnere om din arbejdsgivers registreringer ud fra den klient, du installerede. Spørg, hvad tjenesten er konfigureret til at indsamle, og hvor længe, og forvent, at svaret er et politikdokument snarere end en teknisk garanti. Det er også værd at adskille VPN-gatewayen fra alt andet på en administreret enhed, fordi endpoint-software har sine egne muligheder og sine egne registreringer. En personlig VPN ændrer en rute; den ændrer ikke, hvad software, der allerede kører på maskinen, kan observere.

Hvad en IP-database kan og ikke kan sige

En IP-geolokationsdatabase tager den adresse og returnerer felter: land, region, by, postnummer, breddegrad og længdegrad plus en nøjagtighedsradius, hvor udbyderen angiver en. Felterne er estimater udledt af registreringsdata, netværkstopologi og målte forsinkelser, og de forringes forskelligt på hvert niveau. Et landesvar kan være solidt, mens bysvaret er et gæt.

MaxMinds egen nøjagtighedsvejledning er tydelig om den forskel, der betyder noget her: at lokalisere en VPN-server er ikke at lokalisere dens brugere, og dataene kan ikke identificere en husstand, en person eller en gadeadresse. Læs nøjagtighedsradiusen og konfidensfelterne, hvor produktet viser dem, og behandl manglende data som manglende frem for som en standardværdi. Et kortnål er et visningsvalg, ikke en måling. Registreringsposter og omvendt DNS er endnu en slags bevis: whois 203.0.113.5 fortæller dig, hvilken operatør der har tildelingen, og dig +short -x 203.0.113.5 fortæller dig, hvad operatøren kaldte den, og ingen af dem er en udtalelse om, hvor en person stod.

Registreringer, der ikke kan udskiftes

Det skærer begge veje, og derfor er det et dårligt grundlag for en kategorisk beslutning. Et estimat, der passer til den godkendte region, beviser ikke tilstedeværelse. En uoverensstemmelse beviser ikke i sig selv bedrag.

En gennemgang af fjernarbejde, der hviler på et enkelt opslag, besvarer et andet spørgsmål end det stillede. Det, den har brug for, er kontekst: hvilke steder ordningen tillader, hvad personen oplyste, og om andre beviser stemmer overens. Det er en ledelsesproces med tekniske input, ikke en teknisk dom.

De øvrige registreringer, en organisation kan have, kan ikke udskiftes med en kildeadresse. En tidszoneindstilling er en enhedspræference, som enhver kan ændre; en kontohændelse registrerer, at en session fandt sted, ikke hvor; en enhedslokationslæsning fra endpoint-software er en anden sensor med andre tilladelser og andre fejltilstande. At antage, at enhver arbejdsgiver indsamler dem alle, er lige så forkert som at antage, at ingen indsamles. Den nyttige disciplin er at navngive registreringen, dens ejer og dens fejltilstand, før man behandler den som bevis for noget som helst.

Hvad der følger for en arbejdsordning

For dine egne ordninger er spørgsmålet, hvad organisationen indsamler, og hvilke arbejdssteder den tillader. Det er to svar fra to forskellige dele af forretningen.

En visning af kilde-IP kan ikke afgøre tilladelsen til at arbejde fra et sted, og at ændre en rute er ikke en erstatning for at aftale ordningen. Hvis politikken er uklar, er det produktive skridt at spørge i stedet for at optimere netværksvejen. Tekniske omveje har en tendens til at producere netop den registrering, der ligner fortielse.

Den forsvarlige tekniske udtalelse er snæver, og det er værd at holde den snæver: gatewayen observerer netværksoprindelsen af den indgående forbindelse, en geolokationsdatabase kan estimere et sted for den oprindelse, og enhver påstand om en persons fysiske position kræver beviser ud over begge. MaxMinds nøjagtighedsvejledning er reference for, hvad disse estimater understøtter. Alt derefter er et politisk spørgsmål i teknisk kostume.