مرورگر هنوز می‌گوید «مدیریت‌شده توسط سازمان شما» با VPN؟
نوار مدیریت بازتاب سیاست مرورگر است، نه مسیر شبکه شما. ببینید هر لایه چه چیزی ثبت می‌کند و چرا VPN نمی‌تواند سوابق دستگاه یا حساب را تغییر دهد.
دو ساعت پیش VPN را متصل کردید و منوی مرورگر هنوز می‌گوید «مدیریت‌شده توسط سازمان شما». هیچ چیز تغییر نکرد و قرار هم نبود تغییر کند. آن نوار نشان می‌دهد مرورگر چگونه پیکربندی شده است، نه اینکه ترافیکش کجا می‌رود.
همین الگو جای دیگر هم دیده می‌شود: عاملی در سینی سیستم که هرگز نصبش نکردید، حساب کاری‌ای که فایل‌ها را همگام می‌کند، هشدار انطباق پس از تغییر DNS. هر یک به لایه‌ای متفاوت تعلق دارد و تنها یکی از آن لایه‌ها به تونل شما اهمیت می‌دهد.
اول روشن کنید به کدام لایه نگاه می‌کنید. بیشتر سردرگمی از آن است که یک واقعیت مربوط به مدیریت دستگاه و یک واقعیت مربوط به مسیر شبکه را یک پرسش واحد می‌گیریم.
نوار یک پرچم سیاست است
Chrome آن برچسب را هنگامی نشان می‌دهد که سیاست‌های سازمانی بر پروفایل اعمال شوند. سیاست‌ها به‌صورت فایل یا مقدارهای رجیستری که نصب‌کننده می‌گذارد، یا از طریق ثبت در مدیریت ابری وابسته به یک حساب می‌رسند. هیچ‌یک از این دو مسیر به رابط شبکه دست نمی‌زند.
دو صفحه داخلی بدون حدس‌زدن موضوع را روشن می‌کنند. chrome://policy هر سیاست اعمال‌شده، مقدارش و اینکه از سکو یا از مدیریت ابری آمده است را فهرست می‌کند. chrome://management گزارش می‌دهد که آیا مرورگر مدیریت می‌شود و در نسخه‌های تازه چه چیزی آن را مدیریت می‌کند. اگر سیاست‌ها فهرست شده باشند، نوار درست است و VPN به آن ربطی ندارد.
به همین دلیل برچسب با سرور VPN دیگر، حل‌کننده DNS دیگر یا نقطه اتصال هم می‌ماند. شما وضعیت پیکربندی را می‌بینید که روی دیسک باقی می‌ماند.
سه لایه، سه سابقه متفاوت
اشتباه این است که یک ناظر بیشتر فرض کنیم. در عمل دست‌کم سه ناظر وجود دارد و هر یک به پرسشی متفاوت پاسخ می‌دهد.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
سطر سوم را دو بار بخوانید. VPN نشانی شما را از مقصد پنهان می‌کند، اما مقصد پیش‌تر می‌داند شما کیستید، چون احراز هویت کرده‌اید. تونل ترافیک را جابه‌جا کرد؛ حساب را ناشناس نکرد.
ثبت‌نام چه چیزی را آشکار می‌کند و چه چیزی را نه
Microsoft فهرستی کاربرمحور درباره ثبت‌نام Intune منتشر می‌کند: مدل و نام دستگاه، سیستم‌عامل و نسخه، فهرست برنامه‌ها، و برای دستگاه‌های شخصی مجموعه‌ای محدودتر. همان صفحه صریح می‌گوید سازمان تنها از راه ثبت‌نام نمی‌تواند تاریخچه مرور، ایمیل، گذرواژه‌ها، عکس‌ها یا محتوای اسناد را ببیند.
این محدودیت از آنِ Intune است. ویژگی عبارت «دستگاه مدیریت‌شده» نیست. عامل امنیت نقطه پایانی، پروکسی وب که TLS را پایان می‌دهد، افزونه مرورگر با دسترسی به محتوا، یا کارخواه جلوگیری از نشت داده هر یک می‌توانند بیشتر جمع کنند و برخی بسیار بیشتر. بپرسید چه محصولاتی مستقر شده‌اند، نه اینکه در منو چه واژه‌ای دیده می‌شود.
این در هر دو جهت مهم است. نه فرض کنید ثبت‌نام دید کامل می‌دهد، نه فرض کنید هیچ چیزی نمی‌دهد. پاسخ صادقانه یک فهرست محصول به‌همراه یک مدل ثبت‌نام است: مالکیت شرکت، دستگاه شخصی با نمایه کاری، یا مرورگر شخصی‌ای که تصادفاً به حساب کاری وارد شده است.
چرا سابقه حساب را نمی‌توان با تونل پنهان کرد
وقتی خدمتی کاری را باز می‌کنید، خدمت نشست را به حسابی که احراز هویت کرده نسبت می‌دهد. مسیریابی از VPN کشوری دیگر نشانی‌ای را که ثبت می‌کند تغییر می‌دهد؛ هویت، توکن یا رکورد حسابرسی را حذف نمی‌کند. مرور خصوصی هم این را تغییر نمی‌دهد، چون نشستی محلی را محدود می‌کند، نه اعتبارنامه‌ای را که ارائه می‌دهید.
سازمان‌ها روزبه‌روز کارخواه تأییدشده می‌خواهند و می‌توانند بقیه را در درگاه مسدود کنند. جنگیدن با این کار راهبرد حریم خصوصی نیست. معمولاً بررسی انطباق را شکست می‌دهد، برنامه‌ای لازم را خراب می‌کند و حساب را برای سودی که هرگز وجود نداشته به خطر می‌اندازد.
با این نشانه چه کنید
از جایی شروع کنید که شواهد ارزان است. chrome://policy را باز کنید و نام سیاست‌ها و منبعشان را بنویسید، سپس chrome://management را برای وضعیت ثبت‌نام. در macOS به تنظیمات، عمومی، مدیریت دستگاه بروید؛ در Windows به حساب‌ها، دسترسی به کار یا مدرسه. این دو صفحه می‌گویند کنترل در سطح مرورگر است، در سطح دستگاه، یا فقط حسابی که جایی وارد شده است.
سپس تصمیم بگیرید واقعاً چه می‌خواهید. اگر دستگاه شرکت است، مدیریت بهای استفاده از آن است و VPN هیچ چیز را در آن تغییر نمی‌دهد. اگر شخصی با نمایه کاری است، فرایند حذف مستند نمایه را جدا می‌کند و معمولاً دسترسی کاری را از شما می‌گیرد؛ این معامله تصمیم واقعی است، نه سروری که به آن وصل می‌شوید.
اگر هدف جدا کردن کار از ترافیک شخصی است، به‌جای آن هویت‌ها را جدا کنید. نمایه دوم مرورگر بدون حساب کاری، یا دستگاه دوم، برای این مرز بیش از هر تونلی کار می‌کند، چون آنچه نصب است و حسابی که حاضر است را تغییر می‌دهد.