Brskalnik še vedno piše »Upravlja vaša organizacija« tudi z VPN?
Pasica upravljanja odraža politiko brskalnika, ne vaše omrežne poti. Poglejte, kateri sloj kaj beleži in zakaj VPN ne more spremeniti zapisov naprave ali računa.
VPN ste povezali pred dvema urama, v meniju brskalnika pa še vedno piše, da ga upravlja vaša organizacija. Nič se ni spremenilo in nič se ni bilo treba spremeniti. Ta pasica prikazuje, kako je brskalnik konfiguriran, ne kam gre njegov promet.
Enak vzorec se pojavlja drugje: agent v sistemski vrstici, ki ga niste nikoli namestili, delovni račun, ki sinhronizira datoteke, poziv k skladnosti po spremembi DNS. Vsak pripada drugemu sloju in samo enega od teh slojev zanima vaš tunel.
Najprej ugotovite, kateri sloj gledate. Večina zmede izhaja iz tega, da dejstvo o upravljanju naprave in dejstvo o omrežni poti obravnavamo kot isto vprašanje.
Pasica je oznaka politike
Chrome prikaže to oznako, ko za profil veljajo poslovne politike. Politike pridejo kot datoteke ali vrednosti registra, ki jih namesti namestitveni program, ali prek vpisa v upravljanje v oblaku, povezanega z računom. Nobena od teh poti se ne dotika omrežnega vmesnika.
Dve notranji strani to razrešita brez ugibanja. chrome://policy navaja vsako uporabljeno politiko, njeno vrednost in ali prihaja s platforme ali iz upravljanja v oblaku. chrome://management poroča, ali je brskalnik upravljan in v novejših različicah, kaj ga upravlja. Če so politike navedene, je pasica pravilna in VPN z njo nima nič.
Zato oznaka preživi drug strežnik VPN, drug DNS resolver ali hotspot. Gledate stanje konfiguracije, ki ostane na disku.
Trije sloji, trije različni zapisi
Napaka je predpostaviti enega samega opazovalca. V praksi obstajajo vsaj trije in odgovarjajo na različna vprašanja.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
Preberite tretjo vrstico dvakrat. VPN skrije vaš naslov pred ciljem, a cilj že ve, kdo ste, ker ste se overili. Tunel je premaknil promet; računa ni naredil anonimnega.
Kaj vpis razkrije in kaj ne
Microsoft objavlja uporabnikom namenjen seznam o vpisu v Intune: model in ime naprave, operacijski sistem in različico, popis aplikacij in za osebne naprave ožji nabor. Ista stran jasno navaja, da organizacija ne more videti zgodovine brskanja, e-pošte, gesel, fotografij ali vsebine dokumentov samo prek vpisa.
Ta meja pripada Intune. Ni lastnost izraza upravljana naprava. Varnostni agent končne točke, spletni posrednik, ki zaključi TLS, razširitev brskalnika z dostopom do vsebine ali odjemalec za preprečevanje uhajanja podatkov lahko vsak zbere več, nekateri pa veliko več. Vprašajte, kateri izdelki so nameščeni, ne katera beseda se pojavi v meniju.
To je pomembno v obe smeri. Ne predpostavljajte, da vpis daje popolno vidnost, niti da ne daje ničesar. Pošten odgovor je seznam izdelkov in model vpisa: lastništvo podjetja, lastna naprava z delovnim profilom ali osebni brskalnik, ki je slučajno prijavljen v delovni račun.
Zakaj zapisa računa ni mogoče skriti s tunelom
Ko odprete delovno storitev, storitev zabeleži sejo pri računu, ki se je overil. Usmerjanje prek VPN v drugi državi spremeni naslov, ki ga zabeleži; ne odstrani identitete, žetona ali revizijskega vnosa. Zasebno brskanje tega prav tako ne spremeni, saj omejuje lokalno sejo, ne poverilnic, ki jih predložite.
Organizacije vse pogosteje zahtevajo odobrenega odjemalca in lahko druge blokirajo na prehodu. Boj proti temu ni strategija zasebnosti. Ponavadi spodleti preverjanje skladnosti, pokvari zahtevano aplikacijo in ogrozi račun zaradi koristi, ki ni nikoli obstajala.
Kaj storiti s simptomom
Začnite tam, kjer je dokaz poceni. Odprite chrome://policy in zapišite imena politik ter njihov vir, nato chrome://management za stanje vpisa. V macOS preverite Nastavitve, Splošno, Upravljanje naprav; v Windows Računi, Dostop do dela ali šole. Ta dva zaslona povesta, ali je nadzor na ravni brskalnika, naprave ali samo računa, prijavljenega nekje.
Nato se odločite, kaj v resnici želite. Če je naprava v lasti podjetja, je upravljanje cena za njeno uporabo in VPN pri tem nič ne spremeni. Če je osebna z delovnim profilom, dokumentirani postopek odstranitve profil odklopi in običajno vas stane dostopa do dela; ta menjava je resnična odločitev, ne strežnik, na katerega se povezujete.
Če je cilj ločiti delo od osebnega prometa, ločite identitete. Drug profil brskalnika brez delovnega računa ali druga naprava naredita za to mejo več kot kateri koli tunel, ker spremenita, kaj je nameščeno in kateri račun je prisoten.