Šta operater vidi unutar mobilnog VPN tunela

Mobilna veza koja nosi VPN ima dvije nezavisne zaštite, i gotovo svaka zbunjena tvrdnja o mobilnoj privatnosti nastaje njihovim spajanjem. Radio mreža štiti vlastiti pristup i signalizaciju. VPN klijent autentificira gateway i štiti saobraćaj prema tom gatewayu. Nijedno nije sloj drugoga, i operater ne postaje VPN partner samo zato što prekida zaštitu mobilnog pristupa.

Korak 1: nacrtajte oba odnosa

S jedne strane su telefon i mobilna mreža: registracija, radio nosioci i zaštita koju propisuje standard pristupa. S druge strane su VPN klijent i određeni udaljeni gateway, s vlastitom autentifikacijom i vlastitim ključevima.

Različite krajnje tačke, različit ključni materijal, različiti načini kvara. Nacrtajte ih kao dvije linije, a ne jednu.

Korak 2: označite gdje svaka završava

Kod IPsec tunela u tunelskom režimu klijent umotava unutrašnji paket u novi vanjski IP paket, a mreža prosljeđuje to vanjsko zaglavlje. ESP specifikacija opisuje to enkapsuliranje direktno: korisni teret je zaštićen, a vanjsko adresiranje je ono što put vidi.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Ništa duž puta ne dešifruje korisni teret na rutiranom hopu. Obrada se događa na konfigurisanoj krajnjoj tački, i zato se dvije granice zaštite ne stope u jednu.

Korak 3: navedite šta operater još može

Pristupni operater vidi vanjske destinacije, vrijeme i obim. Može i uticati na dostavu rutiranjem, filtriranjem, gubitkom ili prekinutom vezom. Zato je spor ili neuspješan tunel potpuno moguć bez ikakvog dešifriranja njegovog sadržaja. Skokovi latencije i prisilna ponovna povezivanja pripadaju istoj kategoriji.

Promatranje i ometanje su stvarne mogućnosti. Nisu ista mogućnost kao čitanje unutrašnjeg korisnog tereta.

Korak 4: držite pretpostavke iskrenim

Zaključak vrijedi za podržan, pravilno konfigurisan tunel između krajnjih tačaka kojima vjerujete. Ne preživljava kompromitovan telefon, ukradene akreditive, zastario skup šifri ni gateway koji je i sam zlonamjeran. Ne čini bezopasnim ni neočekivano upozorenje o certifikatu; tretirajte ga kao vlastiti incident, a ne kao nešto što se preskače klikom. Svako od toga kvari pretpostavku, a ne kriptografiju.

Uklanjanje provjere partnera ili certifikata da upozorenje nestane mijenja odnos zaštite na koji ste se oslanjali.

Korak 5: pratite podatke iza gatewaya

VPN zaštita završava na svojoj konfigurisanoj krajnjoj tački. Ono što saobraćaj uradi dalje štiti samo ono što radi na tom sloju, i zato je pravilno validirana HTTPS sesija i dalje važna nakon tunela. Čist tekst poslan dalje od gatewaya treba vlastitu procjenu.

To je dio koji ljudi zaborave kada tunel opisuju kao pokrivanje cijelog puta.

Korak 6: odredite obim tokova koji su zaista zaštićeni

Provjerite klijentsku politiku za izuzete aplikacije, razdvojeno tuneliranje i familije adresa. Izuzeta aplikacija, neobrađena familija adresa ili prekinuta sesija mogu koristiti potpuno drugi put, a ikona statusa vam neće reći koji je tok kuda otišao.

Zapišite zapis kao četiri činjenice: pristupna mreža, autentificirana VPN krajnja tačka, krajnja tačka aplikacije i saobraćaj koji je zaista pokriven. Taj zapis ostaje istinit i kada ikone lažu.