Geteilter oder voller Tunnel: Was Ihr Arbeitgeber weiterhin aufzeichnet

Die Frage kommt als eine Frage, und sie braucht zwei Antworten. Ein Tunnel ändert, wohin Ihre Pakete reisen, während der Client ändert, was auf dem Rechner läuft, und beides zu vermengen erzeugt entweder falsche Beruhigung oder unnötigen Alarm. Trennen Sie beides, und der Rest der Antwort folgt aus Fakten, die Sie prüfen können.

Die Verkehrshälfte entscheidet die Route, die das Profil installiert. Die Rechnerhälfte entscheiden das, was der Client tut, und das, was Ihr eigener Computer im Netz veröffentlicht.

Eine Frage verbirgt zwei

Ein voller Tunnel installiert eine Standardroute über das Gateway des Unternehmens, sodass öffentliche Anfragen von dort ausgehen und Gateway, Proxy und Resolver Ziele, Zeiten und Mengen aufzeichnen können. Ein geteilter Tunnel installiert nur ausgewählte Routen, sodass gewöhnliches Surfen über Ihre eigene Verbindung geht und stattdessen Ihr Anbieter es sieht. Keine der beiden Anordnungen dreht sich um Verschlüsselungsstärke: HTTPS schützt Inhalte in beiden Fällen und offenbart das Ziel in beiden Fällen. Der Unterschied ist das Routing, und Routing ist auf dem Rechner selbst sichtbar.

Der Client kann außerdem einen Treiber installieren, der Pakete inspiziert, vor dem Zulassen einer Verbindung eine Zustandsprüfung ausführen und melden, welche Software vorhanden ist. Das sind Fähigkeiten der Software und nicht des Tunnels, und sie gelten in beiden Routingmodi.

Was Gateway und Proxy behalten

Wenn die Standardroute in den Tunnel zeigt, ist zu erwarten, dass der Unternehmensresolver und jeder Web-Proxy ein Verzeichnis der von Ihnen kontaktierten Ziele führen. Ein Proxy protokolliert zusätzlich die Anfragezeile einer unverschlüsselten HTTP-Anfrage und das für HTTPS verwendete CONNECT-Ziel, was ein reichhaltigeres Protokoll als ein Flow-Log ist. Inhalte innerhalb von HTTPS bleiben unlesbar, es sei denn, die Organisation hat ihr eigenes vertrauenswürdiges Zertifikat auf dem Rechner installiert, was eine separate und sichtbare Änderung ist. Flow-Metadaten allein genügen, um festzustellen, wann Sie gearbeitet haben und welche Dienste Sie nutzten.

Bei einem geteilten Tunnel verlassen diese öffentlichen Ziele Ihre eigene Leitung, sodass die Aufzeichnung des Unternehmens interne Namen und Unternehmensziele statt allem abdeckt. Das ist eine kleinere Aufzeichnung und dennoch keine leere. Jede Behauptung, ein geteilter Tunnel bedeute, der Arbeitgeber sehe nichts, ist schlicht falsch.

DNS sieht Namen, die der Tunnel womöglich nicht trägt

Die Namensauflösung ist ein eigener Weg, und ein Profil, das den Unternehmensresolver vorschreibt, schickt Abfragen dorthin, selbst wenn die Verbindung lokal endet. Der Resolver zeichnet die Namen auf, nach denen Sie gefragt haben, was oft aufschlussreicher ist als die Adressen, die Sie erreichten. Geteiltes DNS beschränkt das auf interne Domänen, und ein Browser mit eigenem verschlüsseltem Resolver kann die Anordnung völlig umgehen. Drei Komponenten können eine Abfrage beantworten, und nur eine davon gehört dem Unternehmen.

Testen Sie den Auflösungsweg getrennt vom Routingweg. Eine Abfrage an den Unternehmensresolver, während die Verbindung lokal endet, ist eine geteilte Konfiguration, die wie vorgesehen funktioniert, und sie gibt dennoch Namen preis.

Prüfen Sie die Route und die Freigaben

Zwei Fakten entscheiden, was Sie tatsächlich preisgeben, und beide sind auf dem Rechner sichtbar. Die folgenden Befehle zeigen die Standardrouten bei aktivem Tunnel, den Weg der Namensauflösung und die Freigaben, die dieser Computer veröffentlicht. Führen Sie sie vor dem Verbinden aus und danach noch einmal, während Sie verbunden sind.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Eine Standardroute, die den Tunneladapter nennt, bedeutet, dass das Unternehmen Ihren öffentlichen Verkehr trägt, und eine Standardroute, die Ihren eigenen Adapter nennt, bedeutet, dass es das nicht tut. Eine vom dritten Befehl aufgeführte Freigabe ist aus dem Unternehmensnetz erreichbar, solange der Tunnel aktiv ist, selbst wenn der gewöhnliche Hostname nicht aufgelöst wird, und Gastzugriff macht sie ohne Konto erreichbar. Das Firewallprofil ist wichtig, weil ein Tunneladapter als öffentlich eingestuft werden kann, was entscheidet, ob Dateifreigabe überhaupt erlaubt ist. Lesen Sie alle vier zusammen, und die Grenze wird beschrieben statt geraten.

Wählen Sie die Anordnung anhand dieser Grenze: eine direkte Verbindung gibt den Werkzeugen des Arbeitgebers die größte Reichweite, ein Firmengerät hält die Arbeitsüberwachung von Ihren Dateien fern, und eine virtuelle Maschine isoliert die Installation, ohne zu ändern, wo der Verkehr austritt. Halten Sie fest, welche Route und welche Freigaben Sie akzeptiert haben.