הדפדפן עדיין אומר «מנוהל על ידי הארגון שלך» עם VPN?
פס הניהול משקף את מדיניות הדפדפן, לא את נתיב הרשת שלך. ראו איזו שכבה רושמת מה, ולמה VPN לא יכול לשנות רשומות של המכשיר או החשבון.
חיברתם את ה-VPN לפני שעתיים, והתפריט של הדפדפן עדיין אומר «מנוהל על ידי הארגון שלך». שום דבר לא השתנה, ושום דבר לא היה אמור להשתנות. הפס הזה מראה איך הדפדפן מוגדר, לא לאן התעבורה שלו הולכת.
אותו דפוס מופיע במקומות אחרים: סוכן במגש המערכת שלא התקנתם מעולם, חשבון עבודה שמסנכרן קבצים, בקשת תאימות אחרי ששיניתם DNS. כל אחד שייך לשכבה אחרת, ורק אחת מהשכבות האלה מתעניינת במנהרה שלכם.
קודם כל בררו באיזו שכבה אתם מסתכלים. רוב הבלבול נובע מכך שעובדה של ניהול מכשיר ועובדה של נתיב רשת נחשבות לאותה שאלה.
הפס הוא דגל מדיניות
Chrome מציג את התווית הזו כאשר מדיניות ארגונית חלה על הפרופיל. המדיניות מגיעה כקבצים או כערכי רישום שמתקין מציב, או דרך הרשמה לניהול בענן הקשורה לחשבון. אף אחד מהמסלולים האלה לא נוגע בממשק הרשת.
שני דפים פנימיים מכריעים את השאלה בלי ניחושים. chrome://policy מפרט כל מדיניות שמוחלת, את ערכה ואם היא באה מהפלטפורמה או מניהול בענן. chrome://management מדווח אם הדפדפן מנוהל ובגרסאות אחרונות מה מנהל אותו. אם מופיעות מדיניות, הפס מדויק ו-VPN לא רלוונטי לו.
זו גם הסיבה שהתווית שורדת שרת VPN אחר, פותר DNS אחר או נקודת גישה. אתם מסתכלים על מצב תצורה שנשאר בדיסק.
שלוש שכבות, שלוש רשומות שונות
הטעות היא להניח שיש צופה אחד. בפועל יש לפחות שלושה, והם עונים על שאלות שונות.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
קראו את השורה השלישית פעמיים. VPN מסתיר את הכתובת שלכם מהיעד, אבל היעד כבר יודע מי אתם כי הזדהיתם. המנהרה העבירה את התעבורה; היא לא הפכה את החשבון לאנונימי.
מה ההרשמה חושפת ומה לא
Microsoft מפרסמת רשימה המיועדת למשתמשים על הרשמה ל-Intune: דגם המכשיר ושמו, מערכת ההפעלה והגרסה, מלאי האפליקציות, ולמכשירים בבעלות אישית סט מצומצם יותר. באותו עמוד נאמר בבירור שהארגון לא יכול לראות היסטוריית גלישה, דואר, סיסמאות, תמונות או תוכן מסמכים רק באמצעות ההרשמה.
הגבול הזה שייך ל-Intune. הוא אינו תכונה של הביטוי מכשיר מנוהל. סוכן אבטחת נקודות קצה, פרוקסי רשת שמסיים TLS, הרחבת דפדפן עם גישה לתוכן, או לקוח למניעת דליפת מידע — כל אחד יכול לאסוף יותר, וחלקם הרבה יותר. שאלו אילו מוצרים פרוסים, לא איזו מילה מופיעה בתפריט.
זה חשוב בשני הכיוונים. אל תניחו שההרשמה מעניקה נראות מלאה, ואל תניחו שהיא לא מעניקה דבר. התשובה הכנה היא רשימת מוצרים בתוספת מודל הרשמה: בעלות החברה, מכשיר אישי עם פרופיל עבודה, או דפדפן אישי שמחובר במקרה לחשבון עבודה.
למה אי אפשר להסתיר את רשומת החשבון במנהרה
כשאתם פותחים שירות עבודה, השירות רושם את ההפעלה לחשבון שהזדהה. ניתוב דרך VPN במדינה אחרת משנה את הכתובת שהוא מתעד; הוא לא מסיר את הזהות, את האסימון או את רשומת הביקורת. גלישה פרטית גם לא משנה זאת, כי היא מגבילה הפעלה מקומית, לא את פרטי הכניסה שאתם מציגים.
ארגונים דורשים יותר ויותר לקוח מאושר ועלולים לחסום אחרים בשער. להילחם בזה אינו אסטרטגיית פרטיות. זה בדרך כלל מכשיל בדיקת תאימות, שובר אפליקציה נדרשת ומעמיד את החשבון בסיכון למען תועלת שמעולם לא הייתה.
מה לעשות עם הסימפטום
התחילו במקום שבו ההוכחה זולה. פתחו chrome://policy ורשמו את שמות המדיניות ואת מקורם, ואחר כך chrome://management למצב ההרשמה. ב-macOS בדקו הגדרות, כללי, ניהול מכשירים; ב-Windows חשבונות, גישה לעבודה או לבית הספר. שני המסכים האלה אומרים אם השליטה היא ברמת הדפדפן, ברמת המכשיר או רק של חשבון שמחובר איפשהו.
אחר כך החליטו מה אתם באמת רוצים. אם המכשיר של החברה, הניהול הוא מחיר השימוש בו וה-VPN לא משנה בזה דבר. אם הוא אישי עם פרופיל עבודה, תהליך ההסרה המתועד מנתק את הפרופיל ובדרך כלל עולה לכם בגישה לעבודה; העסקה הזו היא ההחלטה האמיתית, לא לאיזה שרת אתם מתחברים.
אם המטרה היא להפריד עבודה מתעבורה אישית, הפרידו במקום זאת את הזהויות. פרופיל דפדפן שני בלי חשבון העבודה, או מכשיר שני, עושים יותר למען הגבול הזה מכל מנהרה, כי הם משנים מה מותקן ואיזה חשבון נוכח.