Sier nettleseren fortsatt «Administrert av organisasjonen din» med VPN?
Administrasjonsbanneret gjenspeiler nettleserpolicyen, ikke nettverksveien din. Se hvilket lag som registrerer hva, og hvorfor en VPN ikke kan endre enhets- eller kontoopplysninger.
Du koblet til VPN for to timer siden, og nettlesermenyen sier fortsatt at den administreres av organisasjonen din. Ingenting endret seg, og ingenting skulle endre seg. Banneret viser hvordan nettleseren er konfigurert, ikke hvor trafikken går.
Samme mønster dukker opp andre steder: en agent i systemstatusfeltet du aldri installerte, en jobbkonto som synkroniserer filer, en samsvarsforespørsel etter at du byttet DNS. Hver av dem hører til et ulikt lag, og bare ett av disse lagene bryr seg om tunnelen din.
Finn først ut hvilket lag du ser på. Mesteparten av forvirringen kommer av å behandle et faktum om enhetsadministrasjon og et faktum om nettverksrute som samme spørsmål.
Banneret er et policyflagg
Chrome viser denne etiketten når bedriftspolicyer gjelder for profilen. Policyene kommer som filer eller registerverdier plassert av en installasjonsprogram, eller gjennom skyadministrasjonsregistrering knyttet til en konto. Ingen av veiene berører nettverksgrensesnittet.
To interne sider avgjør saken uten gjetting. chrome://policy lister hver anvendt policy, verdien og om den kommer fra plattformen eller fra skyadministrasjon. chrome://management rapporterer om nettleseren administreres og, på nyere versjoner, hva som administrerer den. Hvis policyer er listet, er banneret riktig og en VPN er irrelevant for det.
Derfor overlever etiketten en annen VPN-server, en annen DNS-resolver eller et hotspot. Du ser på konfigurasjonstilstand som blir liggende på disken.
Tre lag, tre ulike registreringer
Feilen er å anta at det bare finnes én observatør. I praksis finnes minst tre, og de svarer på ulike spørsmål.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
Les tredje rad to ganger. En VPN skjuler adressen din for målet, men målet vet allerede hvem du er fordi du autentiserte deg. Tunnelen flyttet trafikken; den gjorde ikke kontoen anonym.
Hva registreringen avdekker og ikke
Microsoft publiserer en brukerrettet liste om Intune-registrering: enhetsmodell og navn, operativsystem og versjon, appinventar, og for personlig eide enheter et snevrere sett. Samme side sier klart at organisasjonen ikke kan se nettleserhistorikk, e-post, passord, bilder eller innholdet i dokumenter bare gjennom registreringen.
Denne grensen tilhører Intune. Den er ikke en egenskap ved uttrykket administrert enhet. En endepunktsikkerhetsagent, en nettproxy som avslutter TLS, en nettleserutvidelse med innholdstilgang eller en klient mot datalekkasjer kan hver samle mer, og noen mye mer. Spør hvilke produkter som er utplassert, ikke hvilket ord som vises i en meny.
Dette gjelder i begge retninger. Ikke anta at registreringen gir full innsikt, og ikke anta at den ikke gir noe. Det ærlige svaret er en produktliste pluss en registreringsmodell: firmaeid, egen enhet med arbeidsprofil eller en personlig nettleser som tilfeldigvis er pålogget en jobbkonto.
Hvorfor kontorekorden ikke kan skjules med en tunnel
Når du åpner en jobbtjeneste, registrerer tjenesten økten på kontoen som autentiserte seg. Ruting gjennom en VPN i et annet land endrer adressen den logger; den fjerner ikke identiteten, tokenet eller revisjonsposten. Privat nettlesing endrer heller ikke dette, siden den begrenser en lokal økt, ikke påloggingsinformasjonen du presenterer.
Organisasjoner krever stadig oftere en godkjent klient og kan blokkere andre ved gatewayen. Å kjempe mot dette er ikke en personvernstrategi. Det får vanligvis en samsvarskontroll til å feile, ødelegger en påkrevd applikasjon og setter kontoen i fare for en fordel som aldri har eksistert.
Hva du gjør med symptomet
Start der beviset er billig. Åpne chrome://policy og noter policynavnene og kilden deres, deretter chrome://management for registreringstilstanden. På macOS se Innstillinger, Generelt, Enhetsadministrasjon; på Windows Kontoer, Tilgang til arbeid eller skole. De to skjermene forteller om kontrollen er på nettleser-, enhets- eller bare kontonivå.
Bestem deg så for hva du egentlig vil. Er enheten firmaeid, er administrasjonen prisen for å bruke den, og VPN endrer ingenting ved det. Er den personlig med arbeidsprofil, kobler den dokumenterte fjerningsprosessen fra profilen og koster deg vanligvis jobbtilgang; den byttehandelen er den reelle beslutningen, ikke hvilken server du kobler til.
Hvis målet er å skille arbeid fra personlig trafikk, skill identitetene i stedet. En andre nettleserprofil uten jobbkontoen, eller en andre enhet, gjør mer for den grensen enn noen tunnel, fordi det endrer hva som er installert og hvilken konto som er til stede.