VPN을 써도 브라우저에 여전히 ‘조직에서 관리함’이라고 뜨는 이유는?
관리 배너는 브라우저 정책을 보여 줄 뿐 네트워크 경로와는 무관합니다. 어느 계층이 무엇을 기록하는지, VPN이 기기나 계정 기록을 바꿀 수 없는 이유를 설명합니다.
두 시간 전에 VPN을 연결했는데도 브라우저 메뉴에는 여전히 조직에서 관리함이라고 표시됩니다. 아무것도 바뀌지 않았고, 바뀔 것도 아니었습니다. 그 배너는 브라우저가 어떻게 설정되어 있는지를 알려 줄 뿐, 트래픽이 어디로 가는지는 말해 주지 않습니다.
같은 양상은 다른 곳에서도 나타납니다. 직접 설치한 적 없는 트레이 에이전트, 파일을 동기화하는 직장 계정, DNS를 바꾼 뒤 뜨는 준수 알림. 각각은 서로 다른 계층에 속하며, 그중 여러분의 터널을 신경 쓰는 계층은 하나뿐입니다.
먼저 어느 계층을 보고 있는지 정리하세요. 대부분의 혼란은 기기 관리에 관한 사실과 네트워크 경로에 관한 사실을 같은 질문으로 다루는 데서 생깁니다.
배너는 정책 표시입니다
Chrome은 프로필에 기업 정책이 적용될 때 그 라벨을 표시합니다. 정책은 설치 프로그램이 배치한 파일이나 레지스트리 값으로, 또는 계정과 연결된 클라우드 관리 등록을 통해 들어옵니다. 어느 경로도 네트워크 인터페이스를 건드리지 않습니다.
내부 페이지 두 개면 추측 없이 확인할 수 있습니다. chrome://policy에는 적용된 모든 정책과 그 값, 그리고 플랫폼에서 왔는지 클라우드 관리에서 왔는지가 나옵니다. chrome://management에는 브라우저가 관리되는지, 최신 버전에서는 무엇이 관리하는지가 표시됩니다. 정책이 나열되어 있다면 배너는 정확하며 VPN과는 무관합니다.
그래서 이 라벨은 다른 VPN 서버, 다른 DNS 리졸버, 테더링에서도 그대로 남습니다. 디스크에 남아 있는 설정 상태를 보고 있는 것입니다.
세 계층, 세 가지 기록
실수는 관찰자가 하나라고 가정하는 것입니다. 실제로는 적어도 셋이 있고, 서로 다른 질문에 답합니다.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
셋째 줄을 두 번 읽어 보세요. VPN은 목적지에서 여러분의 주소를 감추지만, 목적지는 이미 여러분이 누구인지 압니다. 인증을 했기 때문입니다. 터널은 트래픽을 옮겼을 뿐, 계정을 익명으로 만들지 않았습니다.
등록이 드러내는 것과 드러내지 않는 것
Microsoft는 Intune 등록에 대해 사용자용 목록을 공개합니다. 기기 모델과 이름, 운영 체제와 버전, 앱 목록, 개인 소유 기기에는 더 좁은 범위입니다. 같은 페이지에는 조직이 등록만으로는 방문 기록, 이메일, 비밀번호, 사진, 문서 내용을 볼 수 없다고 분명히 적혀 있습니다.
그 한계는 Intune의 것입니다. 관리형 기기라는 표현의 속성이 아닙니다. 엔드포인트 보안 에이전트, TLS를 종료하는 웹 프록시, 콘텐츠에 접근하는 브라우저 확장, 데이터 유출 방지 클라이언트는 각각 더 많이 수집할 수 있고 어떤 것은 훨씬 더 많이 수집합니다. 메뉴에 어떤 단어가 보이는지가 아니라 어떤 제품이 배포되어 있는지를 물으세요.
이는 양방향으로 중요합니다. 등록이 완전한 가시성을 준다고 가정하지도, 아무것도 주지 않는다고 가정하지도 마세요. 정직한 답은 제품 목록과 등록 모델입니다. 회사 소유인지, 업무 프로필이 있는 개인 기기인지, 아니면 우연히 업무 계정으로 로그인된 개인 브라우저인지입니다.
계정 기록을 터널로 지울 수 없는 이유
업무 서비스를 열면 그 서비스는 인증한 계정에 세션을 기록합니다. 다른 나라의 VPN으로 라우팅하면 기록되는 주소는 바뀌지만 신원, 토큰, 감사 항목은 사라지지 않습니다. 시크릿 브라우징도 마찬가지입니다. 그것은 로컬 세션을 제한할 뿐, 여러분이 제시하는 자격 증명을 바꾸지 않습니다.
조직은 승인된 클라이언트를 점점 더 요구하고 게이트웨이에서 다른 것을 차단할 수 있습니다. 그것과 싸우는 것은 개인정보 보호 전략이 아닙니다. 보통 준수 검사를 통과하지 못하고, 필요한 앱이 깨지며, 존재한 적 없는 이득을 위해 계정을 위험에 빠뜨립니다.
이 증상에 어떻게 대응할까
증거가 싼 곳에서 시작하세요. chrome://policy을 열어 정책 이름과 출처를 적고, chrome://management에서 등록 상태를 확인하세요. macOS에서는 설정, 일반, 기기 관리를 보고, Windows에서는 계정, 직장 또는 학교 액세스를 보세요. 이 두 화면이 통제가 브라우저 수준인지, 기기 수준인지, 아니면 어딘가 로그인된 계정 수준인지 알려 줍니다.
그다음 무엇을 원하는지 정하세요. 기기가 회사 소유라면 관리는 사용의 대가이며 VPN이 그것을 바꾸지 않습니다. 개인 기기에 업무 프로필이 있다면 문서화된 제거 절차가 프로필을 분리하고 보통 업무 접근을 잃게 합니다. 그 교환이 진짜 결정이며, 어느 서버에 연결하는지가 아닙니다.
목표가 업무와 개인 트래픽을 분리하는 것이라면 대신 신원을 분리하세요. 업무 계정이 없는 두 번째 브라우저 프로필이나 두 번째 기기는 무엇이 설치되어 있고 어떤 계정이 존재하는지를 바꾸므로 어떤 터널보다 그 경계에 더 효과적입니다.