Tunnel diviso o completo: cosa registra ancora il tuo datore di lavoro

La domanda arriva come una sola domanda e richiede due risposte. Un tunnel cambia dove viaggiano i tuoi pacchetti, mentre il client cambia cosa gira sulla macchina, e confondere le due cose produce o un falso senso di sicurezza o un allarme inutile. Separale e il resto della risposta deriva da fatti che puoi verificare.

La metà del traffico è decisa dalla rotta che il profilo installa. La metà della macchina è decisa da ciò che fa il client e da ciò che il tuo computer pubblica sulla rete.

Una domanda ne nasconde due

Un tunnel completo installa una rotta predefinita attraverso il gateway aziendale, quindi le richieste pubbliche escono da lì e il gateway, il suo proxy e il suo resolver possono registrare destinazioni, orari e volumi. Un tunnel diviso installa solo rotte selezionate, quindi la navigazione ordinaria esce dalla tua connessione e il tuo fornitore la vede al posto suo. Nessuno dei due assetti riguarda la forza della crittografia: HTTPS protegge il contenuto in entrambi i casi e rivela la destinazione in entrambi i casi. La differenza è l’instradamento, e l’instradamento è visibile sulla macchina stessa.

Il client può anche installare un driver che ispeziona i pacchetti, eseguire un controllo di stato prima di consentire una connessione e segnalare quale software è presente. Sono capacità del software e non del tunnel, e valgono in entrambe le modalità di instradamento.

Cosa conservano il gateway e il proxy

Con la rotta predefinita puntata nel tunnel, aspettati che il resolver aziendale e qualsiasi proxy web tengano un registro delle destinazioni contattate. Un proxy registra inoltre la riga di richiesta di una richiesta HTTP non cifrata e la destinazione CONNECT usata per HTTPS, che è un registro più ricco di un log di flusso. Il contenuto dentro HTTPS resta illeggibile a meno che l’organizzazione abbia installato il proprio certificato attendibile sulla macchina, il che è un cambiamento separato e visibile. I metadati di flusso da soli bastano a stabilire quando lavoravi e quali servizi usavi.

Con un tunnel diviso quelle destinazioni pubbliche escono dalla tua connessione, quindi il registro aziendale copre nomi interni e destinazioni aziendali invece di tutto. È un registro più piccolo, e comunque non vuoto. Qualsiasi affermazione secondo cui un tunnel diviso significa che il datore di lavoro non vede nulla è semplicemente falsa.

Il DNS vede nomi che il tunnel potrebbe non trasportare

La risoluzione dei nomi è un percorso a sé, e un profilo che impone il resolver aziendale invia lì le interrogazioni anche quando la connessione esce localmente. Il resolver registra i nomi richiesti, il che è spesso più informativo degli indirizzi raggiunti. Il DNS diviso limita questo ai domini interni, e un browser con il proprio resolver cifrato può aggirare del tutto l’assetto. Tre componenti possono rispondere a un’interrogazione, e solo uno di essi appartiene all’azienda.

Prova il percorso di risoluzione separatamente dal percorso di instradamento. Un’interrogazione che va al resolver aziendale mentre la connessione esce localmente è una configurazione divisa che funziona come previsto, e rivela comunque nomi.

Controlla la rotta e le condivisioni

Due fatti decidono cosa stai davvero esponendo, ed entrambi sono visibili sulla macchina. I comandi seguenti mostrano le rotte predefinite con il tunnel attivo, il percorso di risoluzione dei nomi e le condivisioni che questo computer pubblica. Eseguili prima di connetterti e poi di nuovo mentre sei connesso.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Una rotta predefinita che nomina l’adattatore del tunnel significa che l’azienda trasporta il tuo traffico pubblico, e una rotta predefinita che nomina il tuo adattatore significa che non lo fa. Una condivisione elencata dal terzo comando è raggiungibile dalla rete aziendale finché il tunnel è attivo, anche quando il normale nome host non si risolve, e l’accesso ospite la rende raggiungibile senza account. Il profilo del firewall conta perché un adattatore di tunnel può essere classificato come pubblico, il che decide se la condivisione di file è consentita. Leggi i quattro insieme e il confine è descritto invece che indovinato.

Scegli l’assetto da quel confine: una connessione diretta dà agli strumenti del datore di lavoro la portata massima, un dispositivo aziendale tiene il monitoraggio del lavoro lontano dai tuoi file, e una macchina virtuale isola l’installazione senza cambiare da dove esce il traffico. Annota quale rotta e quali condivisioni hai accettato.