Cosa può vedere un gateway VPN aziendale su dove sei

L’indirizzo che un sito web vede dopo che ti sei connesso a una VPN aziendale non è quello che il gateway aziendale ha visto al momento della connessione. Il gateway accetta un tunnel in ingresso da qualunque rete si trovi il tuo portatile, e quella origine gli è visibile prima che esista traffico incapsulato. Il fatto che un browser segnali poi un’uscita aziendale non cancella l’osservazione precedente, perché si tratta di osservazioni di cose diverse. Capire quale sia quale risolve la maggior parte del dibattito su cosa un datore di lavoro possa e non possa dedurre.

Due indirizzi, due osservazioni diverse

Il meccanismo è un socket, non una policy. Quando il tuo client apre il tunnel, invia pacchetti da un indirizzo locale all’indirizzo pubblico del gateway, e il kernel del gateway registra l’origine di quel flusso. Quell’origine è l’endpoint di rete che il tuo provider ha assegnato alla connessione in quel momento.

Dietro un router domestico l’origine è l’indirizzo pubblico del router dopo il NAT. Su una rete mobile può essere un indirizzo NAT di livello operatore condiviso nello stesso momento con molti altri abbonati, ed è per questo che due persone senza rapporti possono sembrare provenire dallo stesso luogo. Su una rete ospiti aziendale è l’uscita di quella rete. In ogni caso il gateway conosce un indirizzo, una porta e un timestamp, e l’indirizzo appartiene a un operatore di rete e non a una persona.

Cosa registra davvero il gateway

Ciò che viene annotato dopo è una questione distinta da ciò che è tecnicamente visibile. Il gateway può registrare la connessione, l’identità di autenticazione e l’indirizzo del tunnel assegnato, oppure non registrare quasi nulla oltre lo stato della sessione. Conservazione, esportazione verso un SIEM e correlazione con un account sono decisioni di distribuzione, e nessuna di esse deriva dal fatto che l’origine fosse osservabile.

Tratta visibilità e conservazione come due assi. Un servizio può vedere tutto e non conservare nulla, oppure vedere poco e inoltrare tutto.

La conseguenza pratica è che non puoi ragionare sui registri del tuo datore di lavoro partendo dal client che hai installato. Chiedi cosa il servizio è configurato per raccogliere e per quanto tempo, e aspettati che la risposta sia un documento di policy e non una garanzia tecnica. Vale anche la pena separare il gateway VPN da tutto il resto su un dispositivo gestito, perché il software di endpoint ha capacità proprie e registri propri. Una VPN personale cambia una rotta; non cambia ciò che può osservare il software già in esecuzione sulla macchina.

Cosa può dire e cosa non può dire un database IP

Un database di geolocalizzazione IP prende quell’indirizzo e restituisce campi: paese, regione, città, codice postale, latitudine e longitudine, più un raggio di accuratezza dove il fornitore lo fornisce. Quei campi sono stime derivate da dati di registrazione, topologia di rete e latenza misurata, e degradano in modo diverso a ogni livello. Una risposta sul paese può essere solida mentre quella sulla città è una congettura.

Le stesse linee guida di accuratezza di MaxMind sono esplicite sulla distinzione che conta qui: localizzare un server VPN non è localizzare i suoi utenti, e i dati non possono identificare una famiglia, una persona o un indirizzo civico. Leggi il raggio di accuratezza e i campi di confidenza dove il prodotto li espone, e tratta i dati mancanti come mancanti e non come valore predefinito. Un segnaposto sulla mappa è una scelta di resa, non una misura. I registri di assegnazione e il DNS inverso sono un altro tipo di prova: whois 203.0.113.5 ti dice quale operatore detiene l’assegnazione e dig +short -x 203.0.113.5 ti dice come l’operatore l’ha chiamata, e nessuno dei due afferma dove si trovasse una persona.

Registri non intercambiabili

Questo taglia in entrambe le direzioni, ed è per questo che è una base scarsa per una decisione categorica. Una stima che coincide con la regione approvata non dimostra la presenza. Una discrepanza non dimostra, da sola, un inganno.

Una revisione del lavoro da remoto che si basa su una sola interrogazione risponde a una domanda diversa da quella posta. Ciò di cui ha bisogno è contesto: quali sedi l’accordo consente, cosa ha dichiarato la persona e se altre prove concordano. È un processo gestionale con input tecnici, non un verdetto tecnico.

Gli altri registri che un’organizzazione può detenere non sono intercambiabili con un indirizzo di origine. L’impostazione del fuso orario è una preferenza del dispositivo che chiunque può cambiare; un evento dell’account registra che una sessione è avvenuta, non dove; una lettura della posizione del dispositivo da software di endpoint è un altro sensore, con altri permessi e altre modalità di errore. Supporre che ogni datore di lavoro li raccolga tutti è sbagliato quanto supporre che nessuno venga raccolto. La disciplina utile è nominare il registro, il suo proprietario e la sua modalità di errore prima di trattarlo come prova di qualcosa.

Cosa ne consegue per un accordo di lavoro

Per i tuoi accordi, la domanda da porre è cosa raccoglie l’organizzazione e quali sedi di lavoro consente. Sono due risposte che vengono da due parti diverse dell’azienda.

Una visualizzazione dell’IP di origine non può risolvere un’autorizzazione a lavorare da un luogo, e cambiare una rotta non sostituisce l’accordo. Se la policy non è chiara, la mossa produttiva è chiedere invece di ottimizzare il percorso di rete. Le soluzioni tecniche tendono a produrre esattamente il registro che sembra un occultamento.

L’affermazione tecnica difendibile è stretta, e vale la pena mantenerla stretta: il gateway osserva l’origine di rete della connessione in ingresso, un database di geolocalizzazione può stimare una posizione per quell’origine, e qualsiasi affermazione sulla posizione fisica di una persona richiede prove oltre entrambe. Le linee guida di accuratezza di MaxMind sono il riferimento per ciò che queste stime sostengono. Tutto ciò che viene dopo è una questione di policy vestita da tecnica.