A böngésző VPN-nel is azt írja, hogy a szervezete kezeli?
A kezeltsáv a böngésző szabályzatát tükrözi, nem a hálózati útvonalat. Nézze meg, melyik réteg mit naplóz, és miért nem változtat a VPN az eszköz- vagy fiókadatokat.
Két órája csatlakozott a VPN-hez, és a böngésző menüje továbbra is azt írja, hogy a szervezete kezeli. Semmi sem változott, és semminek sem kellett változnia. Az a sáv azt mutatja, hogyan van beállítva a böngésző, nem azt, hogy hová megy a forgalma.
Ugyanez a minta másutt is megjelenik: egy ügynök a tálcán, amelyet soha nem telepített, fájlokat szinkronizáló munka-fiók, megfelelőségi felszólítás a DNS módosítása után. Mindegyik másik réteghez tartozik, és e rétegek közül csak egy foglalkozik az alagútjával.
Először állapítsa meg, melyik réteget nézi. A zavar leginkább abból származik, hogy az eszközkezelési tényt és a hálózati útvonal tényét ugyanannak a kérdésnek tekintjük.
A sáv egy szabályzatjelző
A Chrome akkor mutatja ezt a címkét, ha a profilra vállalati szabályzatok vonatkoznak. A szabályzatok fájlként vagy telepítő által elhelyezett beállításjegyzék-értékként érkeznek, vagy fiókhoz kötött felhőkezelési regisztráció útján. Egyik útvonal sem érinti a hálózati interfészt.
Két belső oldal találgatás nélkül tisztázza. A chrome://policy felsorolja az összes alkalmazott szabályzatot, értéküket, és azt, hogy a platformtól vagy a felhőkezelésből származnak-e. A chrome://management jelzi, hogy a böngésző kezelt-e, és újabb verziókban azt is, mi kezeli. Ha szerepelnek szabályzatok, a sáv pontos, és a VPN-nek ehhez semmi köze.
Ezért marad meg a címke másik VPN-kiszolgáló, másik DNS-feloldó vagy hotspot mellett is. Olyan konfigurációs állapotot néz, amely a lemezen marad.
Három réteg, három különböző nyilvántartás
A hiba az, ha egyetlen megfigyelőt feltételezünk. A gyakorlatban legalább három van, és különböző kérdésekre válaszolnak.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
Olvassa el kétszer a harmadik sort. A VPN elrejti a címét a célpont elől, de a célpont már tudja, ki maga, mert hitelesítette magát. Az alagút áthelyezte a forgalmat; nem tette névtelenné a fiókot.
Mit tár fel a regisztráció és mit nem
A Microsoft felhasználóknak szóló listát tesz közzé az Intune-regisztrációról: eszközmodell és név, operációs rendszer és verzió, alkalmazásleltár, a személyes tulajdonú eszközöknél pedig szűkebb készlet. Ugyanaz az oldal egyértelműen kimondja, hogy a szervezet kizárólag a regisztráció révén nem látja a böngészési előzményeket, az e-mailt, a jelszavakat, a fényképeket vagy a dokumentumok tartalmát.
Ez a korlát az Intune-hoz tartozik. Nem a kezelt eszköz kifejezés tulajdonsága. Egy végpontbiztonsági ügynök, a TLS-t lezáró webes proxy, tartalomhozzáféréssel rendelkező böngészőbővítmény vagy adatszivárgás-megelőző kliens külön-külön többet gyűjthet, némelyik sokkal többet. Azt kérdezze, milyen termékek vannak telepítve, ne azt, milyen szó látható egy menüben.
Ez mindkét irányban számít. Ne feltételezze, hogy a regisztráció teljes láthatóságot ad, és azt sem, hogy semmit sem ad. Az őszinte válasz egy terméklista és egy regisztrációs modell: vállalati tulajdon, saját eszköz munkahellyel, vagy személyes böngésző, amely véletlenül be van jelentkezve egy munka-fiókba.
Miért nem lehet eltüntetni a fiók nyilvántartását alagúttal
Amikor megnyit egy munkahelyi szolgáltatást, a szolgáltatás a munkamenetet ahhoz a fiókhoz rögzíti, amely hitelesítette magát. Egy másik országban lévő VPN-en át történő útválasztás megváltoztatja a naplózott címet; nem távolítja el a személyazonosságot, a tokent vagy az auditbejegyzést. A privát böngészés sem változtat ezen, mert helyi munkamenetet korlátoz, nem az Ön által bemutatott hitelesítő adatokat.
A szervezetek egyre gyakrabban követelnek jóváhagyott klienst, és másokat az átjárónál blokkolhatnak. Ez ellen harcolni nem adatvédelmi stratégia. Általában megbuktat egy megfelelőségi ellenőrzést, elront egy szükséges alkalmazást, és kockára teszi a fiókot egy olyan előnyért, amely soha nem létezett.
Mit tegyen a tünettel
Ott kezdje, ahol a bizonyíték olcsó. Nyissa meg a chrome://policy oldalt, és jegyezze fel a szabályzatok nevét és forrását, majd a chrome://management oldalt a regisztráció állapotáért. macOS-en nézze meg a Beállítások, Általános, Eszközkezelés részt; Windows alatt a Fiókok, Hozzáférés munkahelyhez vagy iskolához részt. Ez a két képernyő megmondja, hogy az ellenőrzés böngésző-, eszköz- vagy csak fiókszintű-e.
Utána döntse el, mit szeretne valójában. Ha az eszköz a vállalaté, a kezelés a használat ára, és a VPN ezen semmit sem változtat. Ha személyes munkahellyel, a dokumentált eltávolítási folyamat leválasztja a profilt, és általában a munkahozzáférésébe kerül; ez a csere a valódi döntés, nem az, hogy melyik kiszolgálóhoz csatlakozik.
Ha a cél a munka és a személyes forgalom szétválasztása, akkor a személyazonosságokat válassza szét. Egy második böngészőprofil a munka-fiók nélkül, vagy egy második eszköz többet tesz ezért a határért, mint bármely alagút, mert megváltoztatja, mi van telepítve, és melyik fiók van jelen.