Què veu l’operador dins d’un túnel VPN mòbil

Una connexió mòbil que transporta una VPN té dues proteccions independents, i gairebé totes les afirmacions confuses sobre la privadesa mòbil neixen de fusionar-les. La xarxa de ràdio protegeix el seu propi accés i la seva senyalització. El client VPN autentica una passarel·la i protegeix el trànsit cap a aquesta passarel·la. Cap de les dues no és una capa de l’altra, i l’operador no es converteix en parell de la VPN només perquè acaba la protecció de l’accés mòbil.

Pas 1: dibuixeu les dues relacions

D’una banda hi ha el telèfon i la xarxa mòbil: registre, portadors de ràdio i la protecció que especifica l’estàndard d’accés. De l’altra hi ha el client VPN i una passarel·la remota concreta, amb la seva autenticació i les seves claus.

Punts finals diferents, material de clau diferent, maneres de fallar diferents. Dibuixeu-los com dues línies en lloc d’una.

Pas 2: marqueu on acaba cadascuna

En un túnel IPsec en mode túnel, el client embolcalla el paquet intern en un paquet IP extern nou, i la xarxa reenvia aquesta capçalera externa. L’ especificació ESP descriu aquesta encapsulació directament: la càrrega útil està protegida, i l’adreçament extern és el que veu el camí.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Res del camí desxifra la càrrega útil en un salt encaminat. El processament passa al punt final configurat, i per això les dues fronteres de protecció no es fonen en una.

Pas 3: llisteu què pot fer encara l’operador

Un operador d’accés pot veure destinacions externes, temps i volum. També pot afectar el lliurament mitjançant encaminament, filtratge, pèrdua o una connexió tallada. Per tant, un túnel lent o fallit és del tot possible sense cap desxifrat del seu contingut. Els pics de latència i les reconnexions forçades són a la mateixa categoria.

L’observació i la interrupció són capacitats reals. No són la mateixa capacitat que llegir la càrrega útil interna.

Pas 4: manteniu els supòsits honestos

La conclusió val per a un túnel compatible i ben configurat entre punts finals de confiança. No sobreviu a un telèfon compromès, a credencials robades, a un conjunt de xifratge obsolet ni a una passarel·la que sigui ella mateixa maliciosa. Tampoc no fa inofensiu un avís de certificat inesperat; tracteu-lo com un incident propi i no com una cosa que es pot descartar. Cadascun d’aquests elements trenca un supòsit, no la criptografia.

Treure la validació de parell o de certificat perquè desaparegui un avís canvia la relació de protecció en què confiàveu.

Pas 5: seguiu les dades més enllà de la passarel·la

La protecció VPN acaba al punt final configurat. El que faci el trànsit després només està protegit pel que funcioni en aquella capa, i per això una sessió HTTPS ben validada continua important després del túnel. El text clar que surt de la passarel·la necessita la seva pròpia avaluació.

Aquesta és la part que la gent oblida quan descriu un túnel com si cobrís tot el camí.

Pas 6: delimiteu els fluxos que realment estan protegits

Reviseu la política del client per a aplicacions excloses, túnel dividit i famílies d’adreces. Una aplicació exclosa, una família d’adreces no gestionada o una sessió desconnectada poden fer servir un camí completament diferent, i una icona d’estat no us dirà quin flux va anar on.

Escriviu el registre com a quatre fets: la xarxa d’accés, el punt final VPN autenticat, el punt final de l’aplicació i el trànsit realment cobert. Aquest registre continua sent cert fins i tot quan les icones menteixen.