Čo môže pracovná VPN brána zistiť o tom, kde ste

Adresa, ktorú vidí web po tom, čo sa pripojíte k pracovnej VPN, nie je adresou, ktorú pracovná brána videla pri pripojení. Brána prijíma prichádzajúci tunel z akejkoľvek siete, v ktorej je váš notebook, a tento zdroj je pre ňu viditeľný skôr, než existuje akákoľvek tunelovaná premávka. To, že prehliadač potom nahlási firemný výstup, nezmaže skoršie pozorovanie, pretože ide o pozorovania rozdielnych vecí. Pochopenie toho, ktoré je ktoré, vyrieši väčšinu sporu o tom, čo zamestnávateľ môže a nemôže odvodiť.

Dve adresy, dve rôzne pozorovania

Mechanizmom je socket, nie politika. Keď váš klient otvorí tunel, posiela pakety z lokálnej adresy na verejnú adresu brány a jadro brány zaznamená zdroj tohto toku. Tým zdrojom je sieťový koncový bod, ktorý váš poskytovateľ v danom okamihu priradil pripojeniu.

Za domácim routerom je zdrojom verejná adresa routera po NAT. V mobilnej sieti to môže byť adresa NAT na úrovni operátora zdieľaná súčasne s mnohými ďalšími účastníkmi, a preto môžu dvaja nesúvisiaci ľudia vyzerať, akoby prichádzali z toho istého miesta. V podnikovej hostiteľskej sieti je to výstup tejto siete. V každom prípade sa brána dozvie adresu, port a časovú pečiatku a adresa patrí sieťovému operátorovi, nie osobe.

Čo brána skutočne zaznamenáva

Čo sa potom zapíše, je oddelená otázka od toho, čo je technicky viditeľné. Brána môže zaznamenávať pripojenie, identitu overenia a pridelenú adresu tunela, alebo nemusí zaznamenávať takmer nič okrem stavu relácie. Uchovávanie, export do SIEM a korelácia s kontom sú rozhodnutia o nasadení a žiadne z nich nevyplýva zo skutočnosti, že zdroj bol pozorovateľný.

Viditeľnosť a uchovávanie berte ako dve osi. Služba môže vidieť všetko a nič neuchovávať, alebo vidieť málo a všetko posielať ďalej.

Praktickým dôsledkom je, že o záznamoch svojho zamestnávateľa nemôžete uvažovať na základe klienta, ktorý ste nainštalovali. Pýtajte sa, čo je služba nakonfigurovaná zbierať a ako dlho, a očakávajte, že odpoveďou bude dokument o politike, nie technická záruka. Vyplatí sa tiež oddeliť VPN bránu od všetkého ostatného na spravovanom zariadení, pretože softvér na koncovom bode má vlastné možnosti aj vlastné záznamy. Osobná VPN mení trasu; nemení to, čo môže pozorovať softvér už bežiaci na stroji.

Čo databáza IP môže a nemôže povedať

Databáza IP geolokácie vezme túto adresu a vráti polia: krajinu, región, mesto, PSČ, zemepisnú šírku a dĺžku, plus rádius presnosti, ak ho dodávateľ uvádza. Tieto polia sú odhady odvodené z registračných údajov, sieťovej topológie a meranej latencie a na každej úrovni degradujú inak. Odpoveď o krajine môže byť spoľahlivá, zatiaľ čo odpoveď o meste je hádanka.

Vlastné pokyny MaxMind k presnosti výslovne upozorňujú na rozdiel, ktorý je tu dôležitý: lokalizovať server VPN nie je to isté ako lokalizovať jeho používateľov a údaje nemôžu identifikovať domácnosť, jednotlivca ani pouličnú adresu. Čítajte rádius presnosti a polia spoľahlivosti tam, kde ich produkt zverejňuje, a chýbajúce údaje berte ako chýbajúce, nie ako predvolenú hodnotu. Špendlík na mape je voľba zobrazenia, nie meranie. Registračné záznamy a reverzný DNS sú ďalším druhom dôkazu: whois 203.0.113.5 vám povie, ktorý operátor drží alokáciu, a dig +short -x 203.0.113.5 vám povie, ako ju operátor nazval, a ani jedno nie je tvrdením o tom, kde človek stál.

Záznamy, ktoré nie sú zameniteľné

Platí to oboma smermi, a preto je to zlý základ pre kategorické rozhodnutie. Odhad, ktorý zodpovedá schválenému regiónu, nedokazuje prítomnosť. Nezhoda sama o sebe nedokazuje podvod.

Preskúmanie práce na diaľku, ktoré sa opiera o jedno vyhľadanie, odpovedá na inú otázku, než aká sa kladie. Potrebuje kontext: ktoré miesta usporiadanie dovoľuje, čo osoba uviedla a či s tým ostatné dôkazy súhlasia. Je to manažérsky proces s technickými vstupmi, nie technický verdikt.

Ostatné záznamy, ktoré organizácia môže mať, nie sú so zdrojovou adresou zameniteľné. Nastavenie časového pásma je predvoľba zariadenia, ktorú môže ktokoľvek zmeniť; udalosť účtu zaznamenáva, že relácia prebehla, nie kde; čítanie polohy zariadenia zo softvéru na koncovom bode je iný senzor s inými oprávneniami a inými režimami chýb. Predpokladať, že každý zamestnávateľ zbiera všetky, je rovnako nesprávne ako predpokladať, že sa nezbiera žiadny. Užitočná disciplína je pomenovať záznam, jeho vlastníka a jeho režim chýb skôr, než ho začnete považovať za dôkaz čohokoľvek.

Čo z toho vyplýva pre pracovné usporiadanie

Pri vlastných usporiadaniach je otázkou, čo organizácia zbiera a ktoré pracovné miesta dovoľuje. Sú to dve odpovede z dvoch rôznych častí firmy.

Zobrazenie zdrojovej IP nemôže vyriešiť povolenie pracovať z určitého miesta a zmena trasy nie je náhradou za dohodu o usporiadaní. Ak je politika nejasná, produktívnym krokom je opýtať sa, nie optimalizovať sieťovú cestu. Technické obchádzky zvyčajne vytvoria práve ten záznam, ktorý vyzerá ako zatajovanie.

Obhájiteľné technické tvrdenie je úzke a vyplatí sa ho také udržať: brána pozoruje sieťový pôvod prichádzajúceho pripojenia, databáza geolokácie môže pre tento pôvod odhadnúť polohu a každé tvrdenie o fyzickej polohe osoby potrebuje dôkazy nad rámec oboch. Pokyny MaxMind k presnosti sú referenciou pre to, čo tieto odhady podporujú. Všetko za týmto bodom je otázka politiky v technickom kostýme.