Kas brauser ütleb VPN-iga ikka, et seda haldab sinu organisatsioon?
Haldusteade peegeldab brauseri poliitikat, mitte sinu võrguteed. Vaata, milline kiht mida salvestab ja miks VPN ei saa seadme ega konto kirjeid muuta.
Ühendasid VPN-i kaks tundi tagasi ja brauseri menüüs seisab ikka, et seda haldab sinu organisatsioon. Miski ei muutunud ja miski ei pidanudki muutuma. See teade näitab, kuidas brauser on seadistatud, mitte kuhu selle liiklus läheb.
Sama muster ilmub mujal: salveagent, mida sa kunagi ei paigaldanud, töökonto, mis sünkroonib faile, vastavusküsimus pärast DNS-i muutmist. Igaüks kuulub eri kihti ja ainult üks neist kihtidest hoolib sinu tunnelist.
Kõigepealt tee selgeks, millist kihti sa vaatad. Enamik segadust tuleb sellest, et seadme haldamise fakt ja võrgumarsruudi fakt võetakse sama küsimusena.
Teade on poliitika lipp
Chrome näitab seda silti, kui profiilile kehtivad ettevõtte poliitikad. Poliitikad saabuvad failide või registriväärtustena, mille on paigutanud paigaldaja, või kontoga seotud pilvehalduse registreerimise kaudu. Kumbki tee ei puuduta võrguliidest.
Kaks sisemist lehte lahendavad selle oletusteta. chrome://policy loetleb iga rakendatud poliitika, selle väärtuse ja selle, kas see pärineb platvormilt või pilvehaldusest. chrome://management teatab, kas brauserit hallatakse ja uuemates versioonides, mis seda haldab. Kui poliitikad on loetletud, on teade õige ja VPN ei puutu sellesse.
Seepärast jääb silt alles ka teise VPN-serveri, teise DNS-i lahendaja või hotspoti korral. Sa vaatad seadistuse olekut, mis püsib kettal.
Kolm kihti, kolm erinevat kirjet
Viga on eeldada üht vaatlejat. Praktikas on neid vähemalt kolm ja nad vastavad erinevatele küsimustele.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
Loe kolmandat rida kaks korda. VPN peidab sinu aadressi sihtkoha eest, aga sihtkoht teab juba, kes sa oled, sest sa autentisid end. Tunnel liigutas liiklust; see ei muutnud kontot anonüümseks.
Mida registreerimine paljastab ja mida mitte
Microsoft avaldab kasutajale suunatud nimekirja Intune’i registreerimise kohta: seadme mudel ja nimi, operatsioonisüsteem ja versioon, rakenduste loend ning isiklikult omatavate seadmete puhul kitsam kogum. Samal lehel öeldakse selgelt, et organisatsioon ei näe ainult registreerimise kaudu brauseriajalugu, e-posti, paroole, fotosid ega dokumentide sisu.
See piir kuulub Intune’ile. See ei ole väljendi hallatav seade omadus. Lõpp-punkti turbearm, TLS-i lõpetav veebipuhverserver, sisule ligipääsuga brauserilaiend või andmelekke tõkestamise klient võivad igaüks koguda rohkem ja mõned palju rohkem. Küsi, millised tooted on juurutatud, mitte milline sõna menüüs paistab.
See loeb mõlemas suunas. Ära eelda, et registreerimine annab täieliku nähtavuse, ega seda, et see ei anna midagi. Aus vastus on tooteloend pluss registreerimise mudel: ettevõtte omand, sinu oma tööprofiiliga või isiklik brauser, mis juhtumisi on töökontole sisse logitud.
Miks konto kirjet ei saa tunneliga peita
Kui avad tööteenuse, kannab teenus sessiooni selle konto alla, mis autentis end. Teises riigis asuva VPN-i kaudu marsruutimine muudab aadressi, mille see logib; see ei eemalda identiteeti, tokenit ega auditi kannet. Privaatne sirvimine ei muuda seda samuti, sest see piirab kohalikku sessiooni, mitte mandaate, mida sa esitad.
Organisatsioonid nõuavad üha enam kinnitatud klienti ja võivad teisi lüüsil blokeerida. Selle vastu võitlemine ei ole privaatsusstrateegia. Tavaliselt kukutab see läbi vastavuskontrolli, rikub vajaliku rakenduse ja seab konto ohtu hüve nimel, mida kunagi ei olnud.
Mida sümptomiga teha
Alusta sealt, kus tõestus on odav. Ava chrome://policy ja pane kirja poliitikate nimed ja nende allikas, seejärel chrome://management registreerimise oleku jaoks. macOS-is vaata Sätted, Üldine, Seadmehaldus; Windowsis Kontod, Juurdepääs tööle või koolile. Need kaks ekraani ütlevad, kas kontroll on brauseri, seadme või lihtsalt kuskil sisselogitud konto tasandil.
Seejärel otsusta, mida sa tegelikult tahad. Kui seade on ettevõtte oma, on haldamine selle kasutamise hind ja VPN ei muuda selles midagi. Kui see on isiklik tööprofiiliga, ühendab dokumenteeritud eemaldamisvoog profiili lahti ja maksab sulle tavaliselt tööjuurdepääsu; see vahetus on tegelik otsus, mitte server, millega ühendud.
Kui eesmärk on eraldada töö isiklikust liiklusest, eralda hoopis identiteedid. Teine brauseriprofiil ilma töökontota või teine seade teeb selle piiri jaoks rohkem kui ükski tunnel, sest see muudab, mis on paigaldatud ja milline konto on kohal.