Co operátor vidí uvnitř mobilního VPN tunelu

Mobilní připojení přenášející VPN má dvě nezávislé ochrany a téměř každé zmatené tvrzení o mobilním soukromí vzniká jejich sloučením. Radiová síť chrání svůj vlastní přístup a signalizaci. VPN klient ověřuje bránu a chrání provoz k této bráně. Ani jedno není vrstvou toho druhého a operátor se nestane VPN protějškem jen proto, že ukončuje ochranu mobilního přístupu.

Krok 1: nakreslete oba vztahy

Na jedné straně je telefon a mobilní síť: registrace, radiová nosná spojení a ochrana, kterou předepisuje standard přístupu. Na druhé straně je VPN klient a konkrétní vzdálená brána s vlastním ověřováním a vlastními klíči.

Jiné koncové body, jiný klíčový materiál, jiné režimy selhání. Kreslete je jako dvě linie, ne jednu.

Krok 2: označte, kde každá končí

U IPsec tunelu v režimu tunelu klient zabalí vnitřní paket do nového vnějšího IP paketu a síť předává tuto vnější hlavičku dál. Specifikace ESP toto zapouzdření popisuje přímo: užitečné zatížení je chráněno a vnější adresování je to, co cesta vidí.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Nic na cestě nedešifruje užitečné zatížení na směrovaném skoku. Zpracování probíhá v nakonfigurovaném koncovém bodu, a proto se obě ochranné hranice neslévají v jednu.

Krok 3: vypište, co operátor ještě může

Přístupový operátor vidí vnější cíle, časování a objem. Může také ovlivnit doručení směrováním, filtrováním, ztrátou nebo přerušeným spojením. Pomalý nebo neúspěšný tunel je tedy zcela možný bez jakéhokoli dešifrování jeho obsahu. Špičky latence a vynucená opětovná připojení patří do stejné kategorie.

Pozorování a narušení jsou skutečné schopnosti. Nejsou totožné se schopností číst vnitřní užitečné zatížení.

Krok 4: udržujte předpoklady poctivé

Závěr platí pro podporovaný a správně nakonfigurovaný tunel mezi koncovými body, kterým důvěřujete. Nepřežije kompromitovaný telefon, ukradené přihlašovací údaje, zastaralý šifrový soubor ani bránu, která je sama škodlivá. Neudělá bezpečným ani neočekávané varování certifikátu; berte je jako vlastní incident, ne jako něco, co se má odklikat. Každé z toho porušuje předpoklad, ne kryptografii.

Odstranění ověření protějšku nebo certifikátu, aby varování zmizelo, mění ochranný vztah, na který jste spoléhali.

Krok 5: sledujte data za bránou

Ochrana VPN končí v nakonfigurovaném koncovém bodu. Co provoz udělá dál, chrání jen to, co běží na oné vrstvě, a proto je řádně ověřená relace HTTPS důležitá i po tunelu. Otevřený text odesílaný z brány dál potřebuje vlastní posouzení.

To je část, na kterou lidé zapomínají, když tunel popisují jako pokrytí celé cesty.

Krok 6: vymezte toky, které jsou skutečně chráněné

Zkontrolujte zásady klienta pro vyloučené aplikace, rozdělené tunelování a rodiny adres. Vyloučená aplikace, neošetřená rodina adres nebo odpojená relace mohou použít zcela jinou cestu a ikona stavu vám neřekne, který tok kam šel.

Zapište záznam jako čtyři fakta: přístupovou síť, ověřený koncový bod VPN, koncový bod aplikace a provoz, který je skutečně pokryt. Tento záznam zůstává pravdivý, i když ikony lžou.