Mida operaator näeb mobiilse VPN-tunneli sees

Mobiilühendus, mis kannab VPN-i, sisaldab kahte sõltumatut kaitset ja peaaegu iga segane väide mobiilse privaatsuse kohta tuleneb nende ühendamisest. Raadiovõrk kaitseb omaenda juurdepääsu ja signalisatsiooni. VPN-klient autendib lüüsi ja kaitseb liiklust selle lüüsini. Kumbki ei ole teise kiht ja operaator ei muutu VPN-partneriks ainult seetõttu, et ta lõpetab mobiilse juurdepääsu kaitse.

Samm 1: joonistage mõlemad seosed

Ühel pool on telefon ja mobiilivõrk: registreerimine, raadiokandjad ja kaitse, mille juurdepääsustandard ette näeb. Teisel pool on VPN-klient ja kindel kauglüüs oma autentimise ja oma võtmetega.

Erinevad lõpp-punktid, erinev võtmaterjal, erinevad tõrkerežiimid. Joonistage need kahe, mitte ühe joonena.

Samm 2: märkige, kus kumbki lõpeb

Tunnelirežiimis IPsec-tunneli puhul mähitakse sisemine pakett uude välimisse IP-paketti ja võrk edastab selle välimise päise. ESP spetsifikatsioon kirjeldab seda kapseldust otseselt: kasulik koormus on kaitstud ja välimine adresseerimine on see, mida tee näeb.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Miski tee peal ei dekrüpteeri kasulikku koormust marsruuditud hüppes. Töötlemine toimub konfigureeritud lõpp-punktis ja seetõttu ei sulandu kaks kaitsepiiri üheks.

Samm 3: loetlege, mida operaator veel suudab

Juurdepääsuoperaator näeb välimisi sihtkohti, ajastust ja mahtu. Ta saab mõjutada ka kohaletoimetamist marsruutimise, filtreerimise, kadude või katkenud ühenduse kaudu. Aeglane või ebaõnnestunud tunnel on seega täiesti võimalik ilma selle sisu dekrüpteerimata. Latentsuse tipud ja sunnitud taasühendused kuuluvad samasse kategooriasse.

Jälgimine ja häirimine on tõelised võimed. Need ei ole sama võime kui sisemise kasuliku koormuse lugemine.

Samm 4: hoidke eeldused ausad

Järeldus kehtib toetatud ja õigesti konfigureeritud tunneli kohta teie usaldatud lõpp-punktide vahel. See ei püsi kompromiteeritud telefoni, varastatud mandaatide, vananenud šifrikomplekti ega ka ise pahatahtliku lüüsi korral. See ei muuda kahjutuks ka ootamatut sertifikaadihoiatust; käsitlege seda eraldi juhtumina, mitte millegi mahaklikitavana. Igaüks neist lõhub eeldust, mitte krüptograafiat.

Partneri või sertifikaadi valideerimise eemaldamine hoiatuse kadumiseks muudab kaitsesuhet, millele te toetusite.

Samm 5: järgige andmeid lüüsist kaugemale

VPN-kaitse lõpeb selle konfigureeritud lõpp-punktis. Seda, mida liiklus edasi teeb, kaitseb ainult see, mis selles kihis töötab, ja seetõttu on korralikult valideeritud HTTPS-sessioon ka pärast tunnelit oluline. Lüüsist edasi saadetav avatekst vajab oma hinnangut.

Just selle osa unustavad inimesed, kui kirjeldavad tunnelit kogu tee katvana.

Samm 6: piiritlege tõesti kaitstud vood

Kontrollige kliendi poliitikat välistatud rakenduste, jaotatud tunneldamise ja aadressiperekondade osas. Välistatud rakendus, käsitlemata aadressiperekond või katkenud sessioon võivad kasutada hoopis teist teed ja olekuikoon ei ütle teile, milline voog kuhu läks.

Kirjutage kirje nelja faktina: juurdepääsuvõrk, autenditud VPN-i lõpp-punkt, rakenduse lõpp-punkt ja tegelikult kaetud liiklus. See kirje jääb tõeseks ka siis, kui ikoonid valetavad.