Prehliadač stále hlási „Spravuje vaša organizácia“ aj s VPN?
Panel správy odráža politiku prehliadača, nie vašu sieťovú trasu. Pozrite sa, ktorá vrstva čo zaznamenáva a prečo VPN nemôže zmeniť záznamy o zariadení ani účte.
Pripojili ste VPN pred dvoma hodinami a ponuka prehliadača stále hlási, že ho spravuje vaša organizácia. Nič sa nezmenilo a nič sa ani nemalo zmeniť. Ten panel ukazuje, ako je prehliadač nakonfigurovaný, nie kam smeruje jeho prevádzka.
Rovnaký vzorec sa objavuje aj inde: agent v oznamovacej oblasti, ktorý ste nikdy nenainštalovali, pracovný účet synchronizujúci súbory, výzva na súlad po zmene DNS. Každý patrí inej vrstve a len jedna z tých vrstiev sa zaujíma o váš tunel.
Najprv zistite, na ktorú vrstvu sa pozeráte. Väčšina zmätku vzniká tým, že sa skutočnosť o správe zariadenia a skutočnosť o sieťovej trase berú ako jedna otázka.
Panel je príznak politiky
Chrome zobrazuje tento štítok, keď sa na profil vzťahujú podnikové politiky. Politiky prichádzajú ako súbory alebo hodnoty registra vložené inštalátorom, alebo cez zápis do cloudovej správy prepojený s účtom. Ani jedna cesta sa nedotýka sieťového rozhrania.
Dve interné stránky to vyriešia bez hádania. chrome://policy uvádza každú uplatnenú politiku, jej hodnotu a to, či pochádza z platformy alebo z cloudovej správy. chrome://management hlási, či je prehliadač spravovaný a v novších verziách čo ho spravuje. Ak sú politiky uvedené, panel je presný a VPN s ním nemá nič spoločné.
Preto štítok prežije iný server VPN, iný DNS resolver aj hotspot. Pozeráte sa na konfiguračný stav, ktorý zostáva na disku.
Tri vrstvy, tri rôzne záznamy
Chybou je predpokladať jediného pozorovateľa. V praxi existujú aspoň tri a odpovedajú na rôzne otázky.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
Prečítajte tretí riadok dvakrát. VPN skryje vašu adresu pred cieľom, ale cieľ už vie, kto ste, pretože ste sa overili. Tunel premiestnil prevádzku; neurobil účet anonymným.
Čo zápis odhaľuje a čo nie
Microsoft zverejňuje používateľský zoznam k zápisu do Intune: model a názov zariadenia, operačný systém a verziu, zoznam aplikácií a pri osobne vlastnených zariadeniach užší súbor. Tá istá stránka jasne uvádza, že organizácia nevidí históriu prehliadania, e-mail, heslá, fotografie ani obsah dokumentov iba prostredníctvom zápisu.
Tento limit patrí Intune. Nie je vlastnosťou spojenia spravované zariadenie. Bezpečnostný agent koncového bodu, webová proxy ukončujúca TLS, rozšírenie prehliadača s prístupom k obsahu alebo klient na prevenciu úniku údajov môžu každý zbierať viac, a niektoré oveľa viac. Pýtajte sa, aké produkty sú nasadené, nie aké slovo sa objavuje v ponuke.
To je dôležité oboma smermi. Nepredpokladajte, že zápis dáva úplnú viditeľnosť, ani že nedáva žiadnu. Úprimná odpoveď je zoznam produktov plus model zápisu: vlastníctvo firmy, vlastné zariadenie s pracovným profilom alebo osobný prehliadač, ktorý je náhodou prihlásený k pracovnému účtu.
Prečo sa záznam účtu nedá odtunelovať preč
Keď otvoríte pracovnú službu, služba zaznamená reláciu k účtu, ktorý sa overil. Smerovanie cez VPN v inej krajine zmení adresu, ktorú zapisuje; neodstráni identitu, token ani záznam auditu. Anonymné prehliadanie to tiež nemení, pretože obmedzuje lokálnu reláciu, nie prihlasovacie údaje, ktoré predkladáte.
Organizácie čoraz častejšie vyžadujú schváleného klienta a iných môžu zablokovať na bráne. Boj proti tomu nie je stratégia súkromia. Zvyčajne to zhodí kontrolu súladu, rozbije povinnú aplikáciu a ohrozí účet pre výhodu, ktorá nikdy neexistovala.
Čo s tým príznakom robiť
Začnite tam, kde je dôkaz lacný. Otvorte chrome://policy a zapíšte názvy politík a ich zdroj, potom chrome://management pre stav zápisu. Na macOS skontrolujte Nastavenia, Všeobecné, Spravovanie zariadení; na Windows Kontá, Prístup k práci alebo škole. Tieto dve obrazovky povedia, či je kontrola na úrovni prehliadača, zariadenia, alebo len účtu prihláseného niekde inde.
Potom sa rozhodnite, čo naozaj chcete. Ak zariadenie patrí firme, správa je cena za jeho používanie a VPN na tom nič nemení. Ak je osobné s pracovným profilom, dokumentovaný postup odstránenia profil odpojí a zvyčajne vás to bude stáť prístup do práce; táto výmena je skutočné rozhodnutie, nie server, ku ktorému sa pripájate.
Ak je cieľom oddeliť prácu od osobnej prevádzky, oddeľte radšej identity. Druhý profil prehliadača bez pracovného účtu alebo druhé zariadenie urobia pre túto hranicu viac ako akýkoľvek tunel, pretože menia, čo je nainštalované a ktorý účet je prítomný.