Sanooko selain yhä, että sitä hallinnoi organisaatiosi VPN:stä huolimatta?
Hallintapalkki kertoo selaimen käytännöistä, ei verkkoreitistäsi. Katso, mikä kerros tallentaa mitä ja miksi VPN ei voi muuttaa laitteen tai tilin tietoja.
Yhdistit VPN:n kaksi tuntia sitten, ja selaimen valikko sanoo yhä, että sitä hallinnoi organisaatiosi. Mikään ei muuttunut, eikä minkään pitänyt muuttua. Palkki kertoo, miten selain on määritetty, ei sitä, minne sen liikenne menee.
Sama kuvio näkyy muuallakin: ilmaisinalueen agentti, jota et koskaan asentanut, tiedostoja synkronoiva työtili, vaatimustenmukaisuuskehotus DNS:n vaihtamisen jälkeen. Jokainen kuuluu eri kerrokseen, ja vain yksi niistä kerroksista välittää tunnelistasi.
Selvitä ensin, mitä kerrosta katsot. Suurin osa sekaannuksesta syntyy siitä, että laitteen hallintaa koskeva tosiasia ja verkkoreittiä koskeva tosiasia käsitellään samana kysymyksenä.
Palkki on käytännön merkki
Chrome näyttää tunnisteen, kun profiiliin sovelletaan yrityksen käytäntöjä. Käytännöt tulevat tiedostoina tai rekisteriarvoina, jotka asentaja on sijoittanut, tai pilvihallinnan rekisteröinnin kautta, joka on sidottu tiliin. Kumpikaan reitti ei kosketa verkkoliitäntää.
Kaksi sisäistä sivua ratkaisevat asian ilman arvailua. chrome://policy luettelee jokaisen sovelletun käytännön, sen arvon ja sen, tuleeko se alustalta vai pilvihallinnasta. chrome://management kertoo, hallitaanko selainta ja uusimmissa versioissa mikä sitä hallinnoi. Jos käytäntöjä on lueteltu, palkki on oikeassa eikä VPN liity siihen.
Siksi tunniste säilyy toisen VPN-palvelimen, toisen DNS-resolverin tai hotspotin kanssa. Katsot levylle jäävää kokoonpanotilaa.
Kolme kerrosta, kolme eri tietuetta
Virhe on olettaa yksi havainnoija. Käytännössä niitä on vähintään kolme, ja ne vastaavat eri kysymyksiin.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
Lue kolmas rivi kahdesti. VPN kätkee osoitteesi kohteelta, mutta kohde tietää jo, kuka olet, koska todensit itsesi. Tunneli siirsi liikenteen; se ei tehnyt tilistä anonyymiä.
Mitä rekisteröinti paljastaa ja mitä ei
Microsoft julkaisee käyttäjille suunnatun luettelon Intune-rekisteröinnistä: laitteen malli ja nimi, käyttöjärjestelmä ja versio, sovellusluettelo ja henkilökohtaisesti omistetuista laitteista suppeampi joukko. Samalla sivulla sanotaan selvästi, että organisaatio ei näe selaushistoriaa, sähköpostia, salasanoja, kuvia tai asiakirjojen sisältöä pelkän rekisteröinnin kautta.
Raja kuuluu Intunelle. Se ei ole ilmauksen hallittu laite ominaisuus. Päätepisteen tietoturva-agentti, TLS:n päättävä verkkoproxy, sisältöön pääsevän selainlaajennus tai tietovuotojen estopalvelin voivat kukin kerätä enemmän, jotkut paljon enemmän. Kysy, mitä tuotteita on käytössä, älä sitä, mikä sana valikossa näkyy.
Tällä on merkitystä molempiin suuntiin. Älä oleta, että rekisteröinti antaa täyden näkyvyyden, äläkä oleta, ettei se anna mitään. Rehellinen vastaus on tuoteluettelo ja rekisteröintimalli: yrityksen omaisuus, oma laite työprofiililla tai henkilökohtainen selain, joka sattuu olemaan kirjautuneena työtiliin.
Miksi tilitietuetta ei voi kätkeä tunnelilla
Kun avaat työpalvelun, palvelu kirjaa istunnon tilille, joka todensi itsensä. Reititys toisen maan VPN:n kautta muuttaa osoitetta, jonka se kirjaa; se ei poista henkilöllisyyttä, tokenia tai auditointimerkintää. Yksityinen selaus ei muuta tätä, koska se rajaa paikallista istuntoa, ei tunnistetietoja, jotka esität.
Organisaatiot vaativat yhä useammin hyväksytyn asiakasohjelman ja voivat estää muita yhdyskäytävässä. Tätä vastaan taisteleminen ei ole yksityisyysstrategia. Se yleensä kaataa vaatimustenmukaisuustarkistuksen, rikkoo tarvittavan sovelluksen ja vaarantaa tilin hyödyn vuoksi, jota ei koskaan ollut.
Mitä oireelle voi tehdä
Aloita sieltä, missä todiste on halpa. Avaa chrome://policy ja kirjaa käytäntöjen nimet ja niiden lähde, sitten chrome://management rekisteröintitilaa varten. macOS:ssä tarkista Asetukset, Yleiset, Laitteiden hallinta; Windowsissa Tilit, Käyttö työhön tai kouluun. Nämä kaksi näyttöä kertovat, onko valvonta selain-, laite- vai vain jossain kirjautuneen tilin tasolla.
Päätä sitten, mitä todella haluat. Jos laite on yrityksen, hallinta on sen käytön hinta eikä VPN muuta siinä mitään. Jos se on henkilökohtainen työprofiililla, dokumentoitu poistoprosessi irrottaa profiilin ja yleensä maksaa sinulle työpääsyn; tämä vaihtokauppa on todellinen päätös, ei se, mihin palvelimeen yhdistät.
Jos tavoite on erottaa työ henkilökohtaisesta liikenteestä, erota sen sijaan henkilöllisyydet. Toinen selainprofiili ilman työtiliä tai toinen laite tekee tälle rajalle enemmän kuin mikään tunneli, koska se muuttaa, mitä on asennettu ja mikä tili on läsnä.