Τι βλέπει ο πάροχος μέσα σε μια κυψελωτή σήραγγα VPN

Μια κυψελωτή σύνδεση που μεταφέρει VPN έχει δύο ανεξάρτητες προστασίες, και σχεδόν κάθε μπερδεμένος ισχυρισμός για την ιδιωτικότητα στα κινητά προκύπτει από τη συγχώνευσή τους. Το ραδιοδίκτυο προστατεύει τη δική του πρόσβαση και σηματοδοσία. Το πρόγραμμα-πελάτης VPN επαληθεύει μια πύλη και προστατεύει την κίνηση προς αυτή την πύλη. Κανένα από τα δύο δεν είναι στρώμα του άλλου, και ο πάροχος δεν γίνεται ομότιμος του VPN μόνο επειδή τερματίζει την προστασία κυψελωτής πρόσβασης.

Βήμα 1: σχεδιάστε και τις δύο σχέσεις

Από τη μία πλευρά είναι το τηλέφωνο και το κινητό δίκτυο: εγγραφή, ραδιοφέροντα και όποια προστασία ορίζει το πρότυπο πρόσβασης. Από την άλλη είναι το πρόγραμμα-πελάτης VPN και μια συγκεκριμένη απομακρυσμένη πύλη, με δική της επαλήθευση ταυτότητας και δικά της κλειδιά.

Διαφορετικά τελικά σημεία, διαφορετικό υλικό κλειδιών, διαφορετικοί τρόποι αστοχίας. Σχεδιάστε τα ως δύο γραμμές και όχι ως μία.

Βήμα 2: σημειώστε πού τελειώνει το καθένα

Σε σήραγγα IPsec με λειτουργία σήραγγας, το πρόγραμμα-πελάτης τυλίγει το εσωτερικό πακέτο σε ένα νέο εξωτερικό πακέτο IP, και το δίκτυο προωθεί αυτή την εξωτερική κεφαλίδα. Η προδιαγραφή ESP περιγράφει άμεσα αυτή την ενθυλάκωση: το ωφέλιμο φορτίο προστατεύεται, και η εξωτερική διευθυνσιοδότηση είναι αυτό που βλέπει η διαδρομή.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Τίποτα κατά μήκος της διαδρομής δεν αποκρυπτογραφεί το ωφέλιμο φορτίο σε δρομολογημένο άλμα. Η επεξεργασία γίνεται στο διαμορφωμένο τελικό σημείο, και γι’ αυτό τα δύο όρια προστασίας δεν συγχωνεύονται σε ένα.

Βήμα 3: καταγράψτε τι μπορεί ακόμη να κάνει ο πάροχος

Ένας πάροχος πρόσβασης βλέπει εξωτερικούς προορισμούς, χρονισμό και όγκο. Μπορεί επίσης να επηρεάσει την παράδοση μέσω δρομολόγησης, φιλτραρίσματος, απώλειας ή διακοπής της σύνδεσης. Μια αργή ή αποτυχημένη σήραγγα είναι επομένως απολύτως δυνατή χωρίς καμία αποκρυπτογράφηση του περιεχομένου της. Οι αιχμές καθυστέρησης και οι εξαναγκασμένες επανασυνδέσεις ανήκουν στην ίδια κατηγορία.

Η παρατήρηση και η διατάραξη είναι πραγματικές δυνατότητες. Δεν είναι η ίδια δυνατότητα με την ανάγνωση του εσωτερικού ωφέλιμου φορτίου.

Βήμα 4: κρατήστε τις παραδοχές ειλικρινείς

Το συμπέρασμα ισχύει για μια υποστηριζόμενη, σωστά διαμορφωμένη σήραγγα μεταξύ τελικών σημείων που εμπιστεύεστε. Δεν επιβιώνει με παραβιασμένο τηλέφωνο, κλεμμένα διαπιστευτήρια, παρωχημένη σουίτα κρυπτογράφησης ή πύλη που είναι η ίδια κακόβουλη. Ούτε κάνει ακίνδυνη μια απρόσμενη προειδοποίηση πιστοποιητικού· αντιμετωπίστε την ως δικό της περιστατικό και όχι ως κάτι που παραβλέπεται με κλικ. Κάθε ένα από αυτά σπάει μια παραδοχή και όχι την κρυπτογραφία.

Η αφαίρεση της επαλήθευσης ομοτίμου ή πιστοποιητικού ώστε να εξαφανιστεί μια προειδοποίηση αλλάζει τη σχέση προστασίας στην οποία βασιζόσασταν.

Βήμα 5: ακολουθήστε τα δεδομένα πέρα από την πύλη

Η προστασία VPN τελειώνει στο διαμορφωμένο τελικό σημείο της. Ό,τι κάνει η κίνηση μετά προστατεύεται μόνο από ό,τι τρέχει σε εκείνο το στρώμα, γι’ αυτό μια σωστά επικυρωμένη συνεδρία HTTPS παραμένει σημαντική και μετά τη σήραγγα. Το καθαρό κείμενο που αποστέλλεται από την πύλη χρειάζεται δική του αξιολόγηση.

Αυτό είναι το μέρος που ξεχνούν οι άνθρωποι όταν περιγράφουν μια σήραγγα ως κάλυψη όλης της διαδρομής.

Βήμα 6: οριοθετήστε τις ροές που προστατεύονται πραγματικά

Ελέγξτε την πολιτική του προγράμματος-πελάτη για εξαιρούμενες εφαρμογές, διαχωρισμένη σήραγγα και οικογένειες διευθύνσεων. Μια εξαιρούμενη εφαρμογή, μια μη διαχειριζόμενη οικογένεια διευθύνσεων ή μια αποσυνδεδεμένη συνεδρία μπορούν να χρησιμοποιήσουν εντελώς άλλη διαδρομή, και ένα εικονίδιο κατάστασης δεν θα σας πει ποια ροή πήγε πού.

Γράψτε το αρχείο ως τέσσερα γεγονότα: το δίκτυο πρόσβασης, το επαληθευμένο τελικό σημείο VPN, το τελικό σημείο της εφαρμογής και την κίνηση που καλύπτεται πραγματικά. Αυτό το αρχείο παραμένει αληθινό ακόμη και όταν τα εικονίδια λένε ψέματα.