VPN 로그인은 로컬 관리자 권한을 주지 않는다

직장 VPN이 개인 PC에서 회사에 관리자 권한을 주는지 물을 때 세 가지가 뒤섞인다. 도달 가능성, 소프트웨어 설치, 기기 관리다. VPN 연결은 첫째를 제공하고, 클라이언트 패키지는 둘째를 가져오며, 셋째는 별도의 등록만이 제공한다. 각각의 메커니즘은 다르고, 그중 하나만 Windows 자격 증명을 포함한다.

터널에 관한 어떤 것도 도메인 계정을 로컬 계정으로 바꾸지 않는다.

자격 증명이 아니라 네트워크 경로

터널은 회사 리소스에 도달할 수 있게 하고 라우팅, 클라이언트 격리, 호스트 필터에 따라 클라이언트 자체로 가는 경로를 제공할 수 있다. 로컬 Windows 계정을 만들지 않고, 기존 계정을 승격하지 않으며, 누구도 로컬 그룹에 추가하지 않는다. 기기에서 수신 대기하는 서비스는 요청이 어느 네트워크에서 왔든 자체 허용 정책을 유지한다. 그래서 노출된 공유와 원격 관리 엔드포인트에는 여전히 의도적인 보호가 필요하다.

터널의 범위는 별개의 문제다. 전체 터널은 분할 터널보다 더 많은 애플리케이션 트래픽을 나르며, 어느 범위도 디스크에 있는 파일에 대한 접근을 주지 않는다.

클라이언트는 패키지이지 관이 아니다

기업 클라이언트는 모듈식이다. 배포에는 터널과 함께 상태, 필터링, 보안 구성 요소가 포함될 수 있으며, 각각 고유한 구성과 고유한 수집 동작을 가진다. 제품 이름이나 연결 아이콘으로 설치된 구성을 추론하는 것은 추측이다. 그 구성 요소는 세션 수명 대신 자체 모듈 정책을 따를 수 있으므로 터널 연결을 끊는 것이 보편적인 중지 버튼은 아니다.

설치된 구성 요소의 목록은 연결 아이콘이 답하는 것과 다른 질문에 답한다.

스크립트는 root가 아니라 당신으로 실행된다

클라이언트 스크립팅은 존재하며 이해할 가치가 있다. 문서화된 연결 및 연결 해제 후크는 세션 중에 실행될 수 있고, 프로필과 배포가 활성화하지 않는 한 비활성 상태로 남는다. Windows에서는 사용자의 기존 보안 제한 안에서 실행되므로 그 사용자가 할 권리가 있는 것만 호출할 수 있다. 후크를 활성화하는 것은 실제 추가 기능이며, 자동 관리자 부여라고 설명하는 것은 정확하지 않다.

이 구분은 양방향으로 중요하다. 수동적인 관보다 많고, 도메인 관리자 계정보다 적다.

배포와 업데이트가 진짜 신뢰 경계다

패키지와 업데이트 채널을 통제하는 사람은 당신이 비밀번호를 준 웹사이트보다 더 큰 권한을 가진다. 기기에서 무엇이 실행되는지 바꿀 수 있기 때문이다. 설치 전에 클라이언트가 어떻게 배포되고 업데이트되는지 검토할 정당한 이유다. 그래도 도메인 가입이나 관리 등록과 같은 작업은 아니며, 그것들은 자체적인 가시적 상태를 가진 별개의 관계로 남는다.

조직이 관리 기기를 요구하면 개인 클라이언트가 그 상태를 제공할 수 있다고 가정하지 말고 승인된 업무 기기 방식을 사용하라. 기기가 이미 등록되어 있다면 터널 연결을 끊어도 등록이 취소되지 않는다.

무엇이 설치되어 있고 누가 그 업데이트를 통제하는지 목록을 요구하라. 그 질문에는 답이 있다. 안심에는 없다.