Прегледач и даље пише „Управља ваша организација“ уз VPN?
Трака управљања одражава политику прегледача, а не вашу мрежну путању. Погледајте који слој шта бележи и зашто VPN не може да измени податке уређаја или налога.
Повезали сте VPN пре два сата, а мени прегледача и даље каже да га управља ваша организација. Ништа се није променило и ништа није требало да се промени. Та трака показује како је прегледач конфигуриран, а не где иде његов саобраћај.
Исти образац се појављује и другде: агент у системској касети који никада нисте инсталирали, радни налог који синхронизује датотеке, захтев за усаглашеност након што сте променили DNS. Сваки припада другом слоју, а само један од тих слојева мари за ваш тунел.
Прво утврдите на који слој гледате. Највише забуне долази од тога што се чињеница о управљању уређајем и чињеница о мрежној рути третирају као исто питање.
Трака је ознака политике
Chrome приказује ту ознаку када се на профил примењују корпоративне политике. Политике долазе као датотеке или вредности регистра које поставља инсталатер, или кроз упис у управљање облаком повезан са налогом. Ниједан од тих путева не додирује мрежни интерфејс.
Две унутрашње странице то решавају без нагађања. chrome://policy наводи сваку примењену политику, њену вредност и да ли долази са платформе или из управљања облаком. chrome://management извештава да ли се прегледачем управља и, у новијим верзијама, шта њиме управља. Ако су политике наведене, трака је тачна и VPN нема никакве везе с њом.
Зато ознака опстаје са другим VPN сервером, другим DNS резолвером или хотспотом. Гледате у стање конфигурације које остаје на диску.
Три слоја, три различита записа
Грешка је претпоставити само једног посматрача. У пракси постоје најмање три и они одговарају на различита питања.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
Прочитајте трећи ред двапут. VPN сакрива вашу адресу од одредишта, али одредиште већ зна ко сте јер сте се аутентификовали. Тунел је преместио саобраћај; није учинио налог анонимним.
Шта упис открива, а шта не
Microsoft објављује листу намењену корисницима о упису у Intune: модел и назив уређаја, оперативни систем и верзију, инвентар апликација, а за уређаје у личном власништву ужи скуп. Иста страница јасно каже да организација не може да види историју прегледања, имејл, лозинке, фотографије или садржај докумената само кроз упис.
Та граница припада Intune-у. Она није својство израза управљани уређај. Агент за безбедност крајњих тачака, веб прокси који завршава TLS, продужетак прегледача с приступом садржају или клијент за спречавање цурења података могу сваки да прикупљају више, а неки много више. Питајте који су производи распоређени, а не која се реч појављује у менију.
То је важно у оба смера. Не претпостављајте да упис даје потпуну видљивост, нити да не даје ништа. Искрен одговор је листа производа плус модел уписа: власништво компаније, сопствени уређај са радним профилом или лични прегледач који је случајно пријављен на радни налог.
Зашто се запис налога не може сакрити тунелом
Када отворите радну услугу, услуга бележи сесију на налог који се аутентификовао. Рутирање кроз VPN у другој земљи мења адресу коју бележи; не уклања идентитет, токен ни запис ревизије. Ни приватно прегледање то не мења, јер ограничава локалну сесију, а не акредитиве које представљате.
Организације све чешће захтевају одобреног клијента и могу да блокирају друге на мрежном пролазу. Борба против тога није стратегија приватности. Обично обара проверу усаглашености, квари потребну апликацију и ставља налог у ризик због користи која никада није постојала.
Шта чинити са симптомом
Почните тамо где је доказ јефтин. Отворите chrome://policy и запишите називе политика и њихов извор, затим chrome://management за стање уписа. На macOS проверите Подешавања, Опште, Управљање уређајем; на Windows-у Налози, Приступ раду или школи. Та два екрана говоре да ли је контрола на нивоу прегледача, уређаја или само налога пријављеног негде.
Затим одлучите шта заиста желите. Ако је уређај власништво компаније, управљање је цена његовог коришћења и VPN у томе ништа не мења. Ако је лични са радним профилом, документовани поступак уклањања одваја профил и обично вас кошта приступа раду; та размена је права одлука, а не сервер на који се повезујете.
Ако је циљ да одвојите посао од личног саобраћаја, одвојте идентитете. Други профил прегледача без радног налога, или други уређај, чине више за ту границу од било ког тунела, јер мењају шта је инсталирано и који је налог присутан.