Co firmowa brama VPN może zobaczyć o tym, gdzie jesteś

Adres, który widzi witryna po połączeniu z firmowym VPN, nie jest adresem, który widziała brama firmowa w chwili połączenia. Brama przyjmuje tunel przychodzący z dowolnej sieci, w której znajduje się Twój laptop, a to źródło jest dla niej widoczne, zanim w ogóle powstanie ruch tunelowany. To, że przeglądarka zgłosi później firmowe wyjście, nie wymazuje wcześniejszej obserwacji, bo dotyczą one różnych rzeczy. Zrozumienie, które jest które, rozstrzyga większość sporu o to, co pracodawca może, a czego nie może wywnioskować.

Dwa adresy, dwie różne obserwacje

Mechanizmem jest gniazdo, a nie polityka. Gdy Twój klient otwiera tunel, wysyła pakiety z adresu lokalnego na publiczny adres bramy, a jądro bramy zapisuje źródło tego przepływu. To źródło to punkt końcowy sieci, który dostawca przydzielił połączeniu w tym momencie.

Za domowym routerem źródłem jest publiczny adres routera po NAT. W sieci komórkowej może to być adres NAT na poziomie operatora, współdzielony w tym samym czasie z wieloma innymi abonentami, dlatego dwie niepowiązane osoby mogą wyglądać, jakby pochodziły z tego samego miejsca. W firmowej sieci dla gości jest to wyjście tej sieci. W każdym przypadku brama poznaje adres, port i znacznik czasu, a adres należy do operatora sieci, a nie do osoby.

Co brama faktycznie rejestruje

To, co zostanie później zapisane, to osobne pytanie od tego, co jest technicznie widoczne. Brama może rejestrować połączenie, tożsamość uwierzytelnienia i przydzielony adres tunelu, albo prawie nic poza stanem sesji. Przechowywanie, eksport do SIEM i korelacja z kontem to decyzje wdrożeniowe i żadna z nich nie wynika z faktu, że źródło było obserwowalne.

Traktuj widoczność i przechowywanie jako dwie osie. Usługa może widzieć wszystko i nic nie zatrzymywać albo widzieć niewiele i przekazywać dalej wszystko.

Praktyczna konsekwencja jest taka, że nie możesz wnioskować o rejestrach pracodawcy na podstawie zainstalowanego klienta. Zapytaj, co usługa jest skonfigurowana zbierać i jak długo, i spodziewaj się, że odpowiedzią będzie dokument polityki, a nie gwarancja techniczna. Warto też oddzielić bramę VPN od wszystkiego innego na zarządzanym urządzeniu, bo oprogramowanie punktu końcowego ma własne możliwości i własne rejestry. Osobisty VPN zmienia trasę; nie zmienia tego, co może zaobserwować oprogramowanie już działające na maszynie.

Co baza IP może, a czego nie może powiedzieć

Baza geolokalizacji IP bierze ten adres i zwraca pola: kraj, region, miasto, kod pocztowy, szerokość i długość geograficzną oraz promień dokładności, jeśli dostawca go podaje. Te pola to szacunki wyprowadzone z danych rejestracyjnych, topologii sieci i zmierzonego opóźnienia, i pogarszają się inaczej na każdym poziomie. Odpowiedź o kraju może być solidna, podczas gdy odpowiedź o mieście jest domysłem.

Własne wytyczne MaxMind dotyczące dokładności jasno mówią o rozróżnieniu, które tu ma znaczenie: zlokalizowanie serwera VPN to nie zlokalizowanie jego użytkowników, a dane nie mogą zidentyfikować gospodarstwa domowego, osoby ani adresu ulicy. Czytaj promień dokładności i pola pewności tam, gdzie produkt je udostępnia, a brakujące dane traktuj jako brakujące, nie jako wartość domyślną. Pinezka na mapie to wybór prezentacji, nie pomiar. Rejestry rejestracyjne i odwrotne DNS to jeszcze inny rodzaj dowodu: whois 203.0.113.5 mówi, który operator ma przydział, a dig +short -x 203.0.113.5 mówi, jak operator go nazwał, i żadne z nich nie jest twierdzeniem o tym, gdzie stała osoba.

Rejestry, które nie są wymienne

To działa w obie strony, dlatego jest słabą podstawą kategorycznej decyzji. Szacunek zgodny z zatwierdzonym regionem nie dowodzi obecności. Rozbieżność sama w sobie nie dowodzi oszustwa.

Przegląd pracy zdalnej oparty na jednym zapytaniu odpowiada na inne pytanie niż zadane. Potrzebuje kontekstu: jakie lokalizacje dopuszcza ustalenie, co zgłosiła osoba i czy inne dowody się zgadzają. To proces zarządzania z technicznymi danymi wejściowymi, a nie techniczny wyrok.

Pozostałe rejestry, jakie organizacja może mieć, nie są wymienne z adresem źródłowym. Ustawienie strefy czasowej to preferencja urządzenia, którą każdy może zmienić; zdarzenie konta odnotowuje, że sesja miała miejsce, a nie gdzie; odczyt lokalizacji urządzenia z oprogramowania punktu końcowego to inny czujnik, z innymi uprawnieniami i innymi trybami błędu. Zakładanie, że każdy pracodawca zbiera je wszystkie, jest równie błędne jak zakładanie, że nie zbiera się żadnego. Użyteczną dyscypliną jest nazwanie rejestru, jego właściciela i trybu błędu, zanim potraktujesz go jako dowód czegokolwiek.

Co z tego wynika dla ustaleń o pracy

W przypadku własnych ustaleń pytanie brzmi, co organizacja zbiera i jakie miejsca pracy dopuszcza. To dwie odpowiedzi z dwóch różnych części firmy.

Wyświetlenie źródłowego IP nie może rozstrzygnąć zgody na pracę z danego miejsca, a zmiana trasy nie zastępuje uzgodnienia ustalenia. Jeśli polityka jest niejasna, produktywnym krokiem jest zapytać, a nie optymalizować ścieżkę sieciową. Techniczne obejścia zwykle tworzą dokładnie ten zapis, który wygląda na ukrywanie.

Obronne twierdzenie techniczne jest wąskie i warto takie zachować: brama obserwuje sieciowe pochodzenie połączenia przychodzącego, baza geolokalizacji może oszacować lokalizację tego pochodzenia, a każde twierdzenie o fizycznym położeniu osoby wymaga dowodów poza jednym i drugim. Wytyczne MaxMind dotyczące dokładności są odniesieniem dla tego, co te szacunki wspierają. Wszystko poza tym to kwestia polityki w technicznym kostiumie.