Hva en arbeids-VPN-gateway kan se om hvor du er

Adressen en nettside ser etter at du har koblet til en arbeids-VPN, er ikke adressen arbeidsgatewayen så da du koblet til. Gatewayen godtar en innkommende tunnel fra hvilket nettverk laptop-en din enn er på, og den kilden er synlig for den før det i det hele tatt finnes tunnelert trafikk. At en nettleser etterpå rapporterer en bedriftsutgang, sletter ikke den tidligere observasjonen, fordi de to er observasjoner av forskjellige ting. Å forstå hvilken som er hvilken avgjør det meste av diskusjonen om hva en arbeidsgiver kan og ikke kan utlede.

To adresser, to forskjellige observasjoner

Mekanismen er en socket, ikke en policy. Når klienten din åpner tunnelen, sender den pakker fra en lokal adresse til gatewayens offentlige adresse, og kjernen i gatewayen registrerer kilden til den strømmen. Den kilden er nettverksendepunktet som leverandøren din tildelte forbindelsen i det øyeblikket.

Bak en hjemmeruter er kilden ruterens offentlige adresse etter NAT. På et mobilnett kan det være en carrier-grade NAT-adresse som deles med mange andre abonnenter samtidig, og derfor kan to ubeslektede personer se ut som de kommer fra samme sted. På et bedriftsgjestenett er det utgangen til det nettverket. I alle tilfeller lærer gatewayen en adresse, en port og et tidsstempel, og adressen tilhører en nettverksoperatør og ikke en person.

Hva gatewayen faktisk registrerer

Hva som skrives ned etterpå, er et annet spørsmål enn hva som er teknisk synlig. Gatewayen kan logge forbindelsen, autentiseringsidentiteten og den tildelte tunneladressen, eller den kan logge nesten ingenting utover sesjonstilstand. Lagring, eksport til en SIEM og korrelasjon med en konto er driftsbeslutninger, og ingen av dem følger av at kilden var observerbar.

Behandle synlighet og lagring som to akser. En tjeneste kan se alt og lagre ingenting, eller se lite og videresende alt.

Den praktiske konsekvensen er at du ikke kan resonnere om arbeidsgiverens registreringer ut fra klienten du installerte. Spør hva tjenesten er konfigurert til å samle inn og hvor lenge, og forvent at svaret er et policydokument og ikke en teknisk garanti. Det er også verdt å skille VPN-gatewayen fra alt annet på en administrert enhet, fordi endpoint-programvare har egne muligheter og egne registreringer. En personlig VPN endrer en rute; den endrer ikke hva programvare som allerede kjører på maskinen kan observere.

Hva en IP-database kan og ikke kan si

En IP-geolokaliseringsdatabase tar den adressen og returnerer felt: land, region, by, postnummer, bredde- og lengdegrad, pluss en nøyaktighetsradius der leverandøren oppgir en. Feltene er anslag utledet av registreringsdata, nettverkstopologi og målt latens, og de forringes ulikt på hvert nivå. Et landssvar kan være solid mens bysvaret er en gjetning.

MaxMinds egen nøyaktighetsveiledning er tydelig på skillet som betyr noe her: å lokalisere en VPN-server er ikke å lokalisere brukerne, og dataene kan ikke identifisere en husstand, en person eller en gateadresse. Les nøyaktighetsradiusen og konfidensfeltene der produktet viser dem, og behandle manglende data som manglende og ikke som en standardverdi. En kartnål er et visningsvalg, ikke en måling. Registreringsoppføringer og omvendt DNS er enda en type bevis: whois 203.0.113.5 forteller deg hvilken operatør som har tildelingen, og dig +short -x 203.0.113.5 forteller deg hva operatøren kalte den, og ingen av dem er en påstand om hvor en person sto.

Registreringer som ikke er utskiftbare

Dette skjærer begge veier, og derfor er det et dårlig grunnlag for en kategorisk beslutning. Et anslag som passer med den godkjente regionen beviser ikke tilstedeværelse. Et avvik beviser ikke i seg selv bedrag.

En gjennomgang av fjernarbeid som hviler på ett oppslag, svarer på et annet spørsmål enn det som stilles. Det den trenger er kontekst: hvilke steder ordningen tillater, hva personen oppga, og om andre bevis stemmer. Det er en ledelsesprosess med tekniske innspill, ikke en teknisk dom.

De andre registreringene en organisasjon kan ha, er ikke utskiftbare med en kildeadresse. En tidssoneinnstilling er en enhetsinnstilling hvem som helst kan endre; en kontooppføring registrerer at en sesjon fant sted, ikke hvor; en enhetslokasjonslesning fra endpoint-programvare er en annen sensor med andre tillatelser og andre feilmoduser. Å anta at enhver arbeidsgiver samler inn alle, er like feil som å anta at ingen samles inn. Den nyttige disiplinen er å navngi registreringen, eieren og feilmodusen før du behandler den som bevis for noe som helst.

Hva som følger for en arbeidsordning

For dine egne ordninger er spørsmålet hva organisasjonen samler inn og hvilke arbeidssteder den tillater. Det er to svar fra to forskjellige deler av virksomheten.

En visning av kilde-IP kan ikke avgjøre tillatelsen til å arbeide fra et sted, og å endre en rute er ikke en erstatning for å avtale ordningen. Hvis policyen er uklar, er det produktive steget å spørre i stedet for å optimalisere nettverksveien. Tekniske omveier gir vanligvis nettopp den registreringen som ser ut som fortielse.

Den forsvarlige tekniske påstanden er smal, og det er verdt å holde den smal: gatewayen observerer nettverksopprinnelsen til den innkommende forbindelsen, en geolokaliseringsdatabase kan anslå et sted for den opprinnelsen, og enhver påstand om en persons fysiske posisjon trenger bevis utover begge. MaxMinds nøyaktighetsveiledning er referansen for hva disse anslagene støtter. Alt etter det er et politisk spørsmål i teknisk kostyme.