Kva ein arbeids-VPN-gateway kan sjå om kvar du er

Adressa ei nettside ser etter at du har kopla til ein arbeids-VPN, er ikkje adressa arbeidsgatewayen såg då du kopla til. Gatewayen tek imot ein innkomande tunnel frå kva nettverk laptop-en din enn er på, og den kjelda er synleg for han før det i det heile finst tunnelert trafikk. At ein nettlesar seinare rapporterer ein bedriftsutgang, slettar ikkje den tidlegare observasjonen, fordi dei to er observasjonar av ulike ting. Å skjøne kva som er kva avgjer det meste av diskusjonen om kva ein arbeidsgjevar kan og ikkje kan trekkje slutningar.

To adresser, to ulike observasjonar

Mekanismen er ein socket, ikkje ein policy. Når klienten din opnar tunnelen, sender han pakkar frå ei lokal adresse til den offentlege adressa til gatewayen, og kjernen i gatewayen registrerer kjelda til den straumen. Den kjelda er nettverksendepunktet som leverandøren din tildelte sambandet i det augneblinken.

Bak ein heimeruter er kjelda den offentlege adressa til ruteren etter NAT. På eit mobilnett kan det vere ei carrier-grade NAT-adresse som blir delt med mange andre abonnentar samstundes, og difor kan to ubeslekta personar sjå ut som dei kjem frå same stad. På eit bedriftsgjestenett er det utgangen til det nettverket. I alle høve lærer gatewayen ei adresse, ein port og eit tidsstempel, og adressa høyrer til ein nettverksoperatør og ikkje til ein person.

Kva gatewayen faktisk registrerer

Kva som blir skrive ned etterpå, er eit anna spørsmål enn kva som er teknisk synleg. Gatewayen kan logge sambandet, autentiseringsidentiteten og den tildelte tunneladressa, eller han kan logge nesten ingenting utover sesjonstilstand. Lagring, eksport til ein SIEM og korrelasjon med ein konto er driftsavgjerder, og ingen av dei følgjer av at kjelda var observerbar.

Handter synlegheit og lagring som to aksar. Ein teneste kan sjå alt og lagre ingenting, eller sjå lite og videresende alt.

Den praktiske følgja er at du ikkje kan resonnere om registreringane til arbeidsgjevaren din ut frå klienten du installerte. Spør kva tenesta er konfigurert til å samle inn og kor lenge, og rekn med at svaret er eit policydokument og ikkje ei teknisk garanti. Det er også verdt å skilje VPN-gatewayen frå alt anna på ein administrert eining, fordi endepunktsprogramvare har eigne moglegheiter og eigne registreringar. Ein personleg VPN endrar ei rute; han endrar ikkje kva programvare som alt køyrer på maskina kan observere.

Kva ein IP-database kan og ikkje kan seie

Ein IP-geolokaliseringsdatabase tek den adressa og returnerer felt: land, region, by, postnummer, breidde- og lengdegrad, pluss ein nøyaktigheitsradius der leverandøren oppgir ein. Felta er anslag som er avleidde frå registreringsdata, nettverkstopologi og målt latens, og dei blir dårlegare på ulikt vis på kvart nivå. Eit landssvar kan vere solid medan bysvaret er ei gjetting.

Den eigen nøyaktigheitsrettleiinga til MaxMind er tydeleg på skiljet som tel her: å lokalisere ein VPN-server er ikkje å lokalisere brukarane hans, og dataa kan ikkje identifisere ein husstand, ein person eller ei gateadresse. Les nøyaktigheitsradiusen og konfidensfelta der produktet viser dei, og handsam manglande data som manglande og ikkje som ein standardverdi. Ei kartnål er eit visingsval, ikkje ei måling. Registreringsoppføringar og omvendt DNS er endå ein type bevis: whois 203.0.113.5 fortel deg kva operatør som har tildelinga, og dig +short -x 203.0.113.5 fortel deg kva operatøren kalla henne, og ingen av dei er ein påstand om kvar ein person stod.

Registreringar som ikkje er utskiftbare

Dette skjer begge vegar, og difor er det eit dårleg grunnlag for ei kategorisk avgjerd. Eit anslag som passar med den godkjende regionen beviser ikkje at nokon er til stades. Eit avvik beviser ikkje i seg sjølv bedrageri.

Ein gjennomgang av fjernarbeid som kviler på eitt oppslag, svarer på eit anna spørsmål enn det som blir stilt. Det han treng, er kontekst: kva stader ordninga tillèt, kva personen oppgav, og om andre bevis stemmer. Det er ein leiingsprosess med tekniske innspel, ikkje ein teknisk dom.

Dei andre registreringane ein organisasjon kan ha, er ikkje utskiftbare med ei kjeldeadresse. Ei tidssoneinnstilling er ei eininginnstilling kven som helst kan endre; ei kontohending registrerer at ein sesjon fann stad, ikkje kvar; ei einingslokasjonslesing frå endepunktsprogramvare er ein annan sensor med andre løyve og andre feilmodusar. Å tru at kvar arbeidsgjevar samlar inn alle, er like feil som å tru at ingen blir samla inn. Den nyttige disiplinen er å nemne registreringa, eigaren og feilmodusen før du handsamar henne som bevis for noko som helst.

Kva som følgjer for ei arbeidsordning

For dine eigne ordningar er spørsmålet kva organisasjonen samlar inn og kva arbeidsstader han tillèt. Det er to svar frå to ulike delar av verksemda.

Ei vising av kjelde-IP kan ikkje avgjere løyvet til å arbeide frå ein stad, og å endre ei rute er ikkje ei erstatning for å avtale ordninga. Er policyen uklar, er det produktive steget å spørje i staden for å optimalisere nettverksvegen. Tekniske omvegar gir vanlegvis nettopp den registreringa som ser ut som å skjule noko.

Den forsvarlege tekniske påstanden er smal, og det er verdt å halde han smal: gatewayen observerer nettverksopphavet til det innkomande sambandet, ein geolokaliseringsdatabase kan anslå ein stad for det opphavet, og kvar påstand om den fysiske posisjonen til ein person treng bevis utover båe. Nøyaktigheitsrettleiinga til MaxMind er referansen for kva desse anslaga støttar. Alt etter det er eit politisk spørsmål i teknisk kostyme.