Un accesso VPN non concede diritti di amministratore locale

Tre cose si confondono quando qualcuno chiede se la VPN di lavoro dà all’azienda diritti di amministratore su un PC personale: raggiungibilità, installazione di software e gestione del dispositivo. Una connessione VPN fornisce la prima, il pacchetto client porta la seconda, e solo un’iscrizione separata fornisce la terza. Il meccanismo dietro ciascuna è diverso, e solo una comporta una credenziale di Windows.

Nulla di un tunnel trasforma un account di dominio in uno locale.

Un percorso di rete, non una credenziale

Un tunnel rende raggiungibili le risorse aziendali e può offrire un percorso verso il client stesso, soggetto a instradamento, isolamento del client e filtri host. Non crea un account Windows locale, non eleva uno esistente e non aggiunge nessuno a un gruppo locale. Un servizio in ascolto sulla macchina mantiene la propria politica di ammissione indipendentemente dalla rete da cui è arrivata la richiesta. Per questo le condivisioni esposte e gli endpoint di gestione remota hanno ancora bisogno di una protezione deliberata.

La portata del tunnel è una questione separata: un tunnel completo trasporta più traffico applicativo di uno suddiviso, e nessuna delle due portate dà accesso ai file sul disco.

Il client è un pacchetto, non un tubo

I client aziendali sono modulari. Un deployment può includere il tunnel più componenti di postura, filtraggio o sicurezza, ciascuno con la propria configurazione e il proprio comportamento di raccolta. Dedurre l’insieme installato dal nome del prodotto o da un’icona connessa è un’ipotesi. Quei componenti possono seguire la propria politica di modulo invece della durata di una sessione, quindi disconnettere il tunnel non è un pulsante di arresto universale.

Un inventario dei componenti installati risponde a una domanda diversa da quella a cui risponde l’icona connessa.

Gli script vengono eseguiti come te, non come root

Lo scripting lato client esiste e vale la pena capirlo: hook documentati di connessione e disconnessione possono essere eseguiti durante una sessione e restano disattivati a meno che il profilo e il deployment non li abilitino. Su Windows vengono eseguiti entro le restrizioni di sicurezza esistenti dell’utente, quindi possono chiamare solo ciò a cui quell’utente ha diritto. Abilitare un hook è una capacità aggiuntiva reale; descriverlo come una concessione automatica di amministratore non è accurato.

La distinzione conta in entrambe le direzioni. È più di un tubo passivo e meno di un account di amministratore di dominio.

Consegna e aggiornamenti sono la vera frontiera di fiducia

Chi controlla il pacchetto e il canale di aggiornamento ha più autorità di un sito a cui hai dato una password, perché può cambiare ciò che viene eseguito sulla macchina. È una ragione legittima per esaminare come il client viene consegnato e aggiornato prima di installarlo. Non è però la stessa operazione dell’adesione a un dominio o dell’iscrizione alla gestione, che restano relazioni separate con il proprio stato visibile.

Se l’organizzazione richiede un dispositivo gestito, usa il suo assetto approvato per i dispositivi di lavoro invece di presumere che un client personale possa fornire quello stato. Se la macchina è già iscritta, disconnettere il tunnel non annulla l’iscrizione.

Chiedi un inventario di ciò che è installato e di chi controlla i suoi aggiornamenti. Quella domanda ha una risposta; la rassicurazione no.