Kion la operatoro vidas ene de poŝtelefona VPN-tunelo

Poŝtelefona konekto, kiu portas VPN, havas du sendependajn protektojn, kaj preskaŭ ĉiu konfuza aserto pri poŝtelefona privateco devenas de ilia kunfandiĝo. La radia reto protektas sian propran aliron kaj sian signaladon. La VPN-kliento aŭtentikigas enirejon kaj protektas trafikon al tiu enirejo. Neniu el ili estas tavolo de la alia, kaj la operatoro ne fariĝas VPN-partnero nur ĉar ĝi finas la protekton de poŝtelefona aliro.

Paŝo 1: desegnu ambaŭ rilatojn

Unuflanke estas la telefono kaj la poŝtelefona reto: registriĝo, radiaj portiloj kaj ajna protekto, kiun la alira normo specifas. Aliflanke estas la VPN-kliento kaj specifa fora enirejo, kun propra aŭtentikigo kaj propraj ŝlosiloj.

Malsamaj finpunktoj, malsama ŝlosila materialo, malsamaj fiaskaj reĝimoj. Desegnu ilin kiel du liniojn anstataŭ unu.

Paŝo 2: marku, kie ĉiu finiĝas

En IPsec-tunelo en tunela reĝimo, la kliento envolvas la internan pakaĵon en nova ekstera IP-pakaĵo, kaj la reto plusendas tiun eksteran kaplinion. La ESP-specifikaĵo priskribas tiun ĉirkaŭpakigon rekte: la utilaĵo estas protektita, kaj la ekstera adresado estas tio, kion la vojo vidas.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Nenio laŭlonge de la vojo malĉifras la utilaĵon ĉe enkursigita salteto. La prilaborado okazas ĉe la agordita finpunkto, kaj tial la du protektaj limoj ne kunfandiĝas en unu.

Paŝo 3: listigu, kion la operatoro ankoraŭ povas fari

Alir-operaciisto povas vidi eksterajn celojn, temporigon kaj volumon. Ĝi ankaŭ povas influi liveradon per enkursigado, filtrado, perdo aŭ interrompita konekto. Malrapida aŭ malsukcesa tunelo do tute eblas sen ajna malĉifrado de ĝia enhavo. Latencaj pintoj kaj truditaj rekonektoj apartenas al la sama kategorio.

Observado kaj perturbado estas realaj kapabloj. Ili ne estas la sama kapablo kiel legi la internan utilaĵon.

Paŝo 4: tenu la supozojn honestaj

La konkludo validas por subtenata, ĝuste agordita tunelo inter finpunktoj, kiujn vi fidas. Ĝi ne postvivas kompromititan telefonon, ŝtelitajn akreditaĵojn, eksvalidiĝintan ĉifran aron aŭ enirejon, kiu mem estas malica. Ĝi ankaŭ ne senkulpigas neatenditan atestilan averton; traktu ĝin kiel apartan okazaĵon, ne kiel ion, kion oni forklakas. Ĉiu el tiuj rompas supozon, ne la kriptografion.

Forigi la kontroladon de la partnero aŭ de la atestilo por ke averto malaperu ŝanĝas la protektan rilaton, kiun vi fidis.

Paŝo 5: sekvu la datumojn preter la enirejo

VPN-protekto finiĝas ĉe sia agordita finpunkto. Kion la trafiko faras poste, protektas nur tio, kio funkcias ĉe tiu tavolo, kaj tial ĝuste validigita HTTPS-kunsido daŭre gravas post la tunelo. Klarteksto sendita plu el la enirejo bezonas propran takson.

Tiu estas la parto, kiun homoj forgesas, kiam ili priskribas tunelon kvazaŭ ĝi kovrus la tutan vojon.

Paŝo 6: limigu la fluojn, kiuj estas efektive protektitaj

Kontrolu la klientan politikon pri ekskluditaj aplikaĵoj, dividita tunelado kaj adresaj familioj. Ekskludita aplikaĵo, neprilaborita adresa familio aŭ malkonektita kunsido povas uzi tute alian vojon, kaj statusa piktogramo ne diros al vi, kiun fluon kien iris.

Skribu la protokolon kiel kvar faktojn: la alira reto, la aŭtentikigita VPN-finpunkto, la aplikaĵa finpunkto kaj la trafiko efektive kovrita. Tiu protokolo restas vera eĉ kiam la piktogramoj mensogas.